可感染iPhone的QQ群蠕虫“灵顿”深度分析

2月7日凌晨，360互联网安全中心接到用户举报称，在QQ群下载的文件打开后会跳转到色情网站，被360安全卫士拦截查杀。

经分析后发现，这是一种QQ群蠕虫病毒，360互联网安全中心将其命名为“灵顿”。灵顿会伪装成QQ群分享文件将用户引导至色情网站，之后诱骗网友在电脑上安装所谓的视频播放器。但实际上这个播放器不会播放任何内容，还会对受害者的设备进行区分，并推送不同的病毒软件，对Windows、Android和iOS系统进行无差别攻击。

该蠕虫借助QQ群传播，具有诱骗性，传播力强，不仅会感染PC，还会感染安卓手机甚至未越狱的iPhone和iPad。

以下是对灵顿QQ群蠕虫的详细分析：

样本文件原始包，包含一个带签名Open Source Developer, liujun的msi安装包和一个隐藏属性的cab数据包：

MSI安装包行为比较简单，解包和按顺序执行释放出的文件。

Cab数据包中包含5个可执行文件

文件列表：

88b4f5bb5f8958dc7a8515a44d855f74  天使嫩女视频全集.msi

fb09248bec748995dad0ab712f4aa76f  Act.cab

063dd2b2ceff421e944446057a77fce9 u.exe

26280d19ade5fc068188bbbe42fab087 u

d50d238555c6b31562637d9287664c85 inst.exe

e882a6ae7619d1fca7ac6172d9c461f1 setup.zip

         298ac1f9c662bec50b60cd1d8b9615de  ziyt.scr

608c43d8cb56fb13f5fa20a1dd201ab8  亲情视频秀.exe

9e94b0902c9e8e665fc94a0b7c038230  leba99_setup_220041398.exe

安装过程：

1.      Msi安装程序解包Act.cab释放  安装程序inst.exe，安装包setup.zip， 证书文件u， 证书导入程序u.exe（微软的UPDROOTS）

2.      Msi安装包启动u.exe向系统导入证书u

3.      Msi启动安装程序inst.exe

4.      安装程序inst.exe解包setup.zip，释放推广程序“ziyt.scr”、QQ群蠕虫“亲情视频秀.exe”，以及被推广程序leba99_setup_220041398.exe（乐吧视频社区），并依次启动。

被导入的虚假VeriSign证书：

木马利用导入的证书，伪造Symantec的签名，保护自己不被杀毒软件查杀。

安装程序inst.exe读取同目录下名为setup.zip的压缩包，解开并依次执行其中文件。

被inst.exe启动的ziyt.scr是一个推广器程序，通过百度云，获取其推广列表：

列表地址：http://bcs.duapp.com/sttupq/cp.txt

样本被捕获时，推广内容：

http://bcs.duapp.com/sttupq/cpca.zip

包括瑞星杀毒，桔子浏览器在内的7款软件通过这个木马推广：

之后依次执行推广包：

被inst.exe启动的“leba99_setup_220041398.exe”是一个乐吧视频社区的安装程序。

被inst.exe启动的“亲情视频秀.exe”是一个QQ群蠕虫。

通过腾讯的统一登录接口，获取当前计算机中登录的QQ号码的授权token：

之后通过获取到的这个token，计算出用来操作授权的skey

之后，利用计算出的key，就可以操作用户的QQ空间，QQ群，QQ邮箱，QQ钱包等几乎全部QQ相关的业务！

木马在查询用户Q币余额：

通过sz789.net自动打码的方式识别验证码。

查询用户QQ群情况：

利用QQ群文件共享接口，再次传播木马

木马内置了68个上传使用的文件名，全部是色情和诱惑性的，因名称大都不堪入目，不在此罗列。

被捕获的同一家族的另一变种中也发现了大量上传用的名称，同样都是色情和诱惑性的名称。

上传的html文件会打开这么一个诱惑性的页面：

页面代码中，通过判断useragent的方式，区分了来访设备，如果是android（包括linux）设备或者ios设备会分别跳转到一个不同的下载页面：

IOS端，会跳转到一个诱导页面，安装Beijing Yingmob公司签发的一款应用。

这款应用以色情视频为诱饵，诱导用户安装它的推广软件牟利：

Android端会诱惑提示系统更新安装播放器组件，然后自动下载一些推广应用，非常恶劣。

木马传播者使用到的几个典型的域名：

hyyjty.com ==> 118.193.222.176香港特别行政区 中国电信国际数据中心

3dme.com.cn

btgmsfx.com ==>118.99.31.207  香港特别行政区

沙发

厉害！！！木马包都能解码成这样，果真技术帝啊！！！！膜拜！！！！不过，估计着又有高级黑会说是360自个儿制作的吧？？？额，居然抢到板凳了？？？？意外呀！！！！

地板是我的啦，哈哈哈！

可怕

确实是非常有深度的分析，谢谢

这个伪造签名的法子很牛叉！
看来各杀毒软件公司有苦吃了……

AV不能看

如果是安卓手机端不给他权限   在沙箱中运行   不给予识别码  呵呵   你闹去吧    我就喜欢木马了    下了好多    不过很危险的    要是  开机  安全管家 不启动   呵呵  完蛋去吧

大家辛苦了360工作人员工程师加油呀

支持360

我大安卓遭遇类似病毒，被撬了10块。。。

{:4_95:}

好厉害该怎么办呢？

速度查杀

我也拽上地砖了{:4_86:}{:4_86:}{:4_86:}

恶心

感谢360

我最信任360了。