梁景禎，警察在找你！Ban：huitailang【多次注冊馬甲發布軟件捆綁木馬】

LCG

Ban：huitailang【多次注冊馬甲發布軟件捆綁木馬】

此人最早可以追溯到2015年4月的大號418500646發布軟件被發現捆綁木馬封號了

俄羅斯軟件公司【ABBYY泰比】11中文版+注冊補丁【圖片轉文字】【pdf轉word】精準度99%
http://www.kvamco.live/thread-347585-1-1.html

之后，此人樂此不疲，依然時不時注冊賬號來發個軟件捆綁木馬，利用時下比較熱門的軟件如”百度云加速破解版“、”TeamViewer破解版“等，很不巧的是論壇為了保障用戶安全，新手發帖都需要審核通過才能顯示，絕大多數情況下在木馬貼還沒發出來就被封號了，下面我們來庖丁解馬，把這個捆綁遠控的木馬剝離分尸看看他究竟都有些什么功能。

一：木馬行為分析

此遠控木馬以”正常白文件+木馬DLL“的方式進行運作（過主流安全軟件云防護），目前發現三種被利用白文件，以TeamViewer捆綁的木馬舉例分析，木馬核心就2個文件：

TeamViewer無限換ID.exe（正常文件，用來劫持 MD5: F28DC3698714D559C20E46D1780FA9B0），這文件原始名稱是IRScriptEditor.exe，木馬作者為了達到劫持的目的，改名成TeamViewer來混淆視聽。

cmcs21.dll （木馬文件 MD5: 7A3D3060EEAB5566A52B819713328367），這是木馬的核心DLL。

運行TeamViewer無限換ID.exe后，程序會自動加載cmcs21.dll木馬DLL，這時候cmcs21.dll開始干活，簡單來說干了以下幾件事：



1、檢測是否存在vmtoolsd.exe進程，來判斷是否是虛擬機，如果是的話就退出。
2、通過修改EnableLUA注冊表來禁用UAC。
3、釋放出3個新的木馬文件并復制TeamViewer無限換ID.exe和cmcs21.dll到指定目錄
C:\Program Files\Windows NT\iusb3mon.exe（正常文件，用來劫持  MD5: 86E78DBD4C4B87594B0D8D4D85894682）
C:\Program Files\Windows NT\iusb3mon.dll（木馬文件 MD5: 36923A0170B1FDF4F1B94D0D24F208F6）
C:\Program Files\Windows Media Player\SystemCsrss.exe（就是上面的TeamViewer無限換ID.exe）
C:\Program Files\Windows Media Player\data.sys（非PE文件，被加密的木馬核心EXE，后面接續說）
C:\Program Files\Windows Media Player\cmcs21.dll（同上cmcs21.dll）
4、將釋放的iusb3mon.exe劫持文件添加到啟動項做自啟動，并運行（圖為SSM主動防御程序攔截）。



C:\Program Files\Windows NT\iusb3mon.exe正常文件運行后會自動加載目錄下的木馬iusb3mon.dll文件，這個DLL功能很簡單，就是啟動C:\Program Files\Windows Media Player\SystemCsrss.exe木馬，這個exe被劫持放到啟動項的目的就是重啟電腦后啟動木馬。



我們接著看SystemCsrss.exe（依然是木馬dll的功能）啟動后干了什么：
1、檢測是否存在vmtoolsd.exe進程，來判斷是否是虛擬機，如果是的話就退出。
2、通過修改EnableLUA注冊表來禁用UAC。
3、讀取目錄下data.sys進行解密，解密出來以后是一個exe，暫命名為data.exe（木馬文件 MD5: B870A317D9B16BE72BD10418931A1A01），然后通過傀儡進程的方式把解密出來的exe寫到自己的進程中并執行。

做了這么多次的黑白文件利用，終于主角要登場了，data.exe文件其實也是一個loader，他會通過自己程序中一段加密代碼解密出space.dll（木馬文件 MD5: 1906EB41E171693E16F18495F838DD34），然后內存加載DLL進行執行。

space.dll就是遠控木馬的核心了，功能挺多，支持遠程多開、內網映射等，就不一一贅述了，簡單看一下木馬作者留的上線地址

”Z4ODfzksLHVpbn+ALXBsaixmfyxsaC2Dd4NP“加密了，解密后”http://fjaps.com/ip/ok.txt“，域名使用的是阿里云萬網注冊的，服務器也使用的是阿里云服務器，包含120.27.123.191、120.25.247.207、139.224.194.3，木馬作者真實IP：117.30.46.85（2016-11-16 15:23 從運營商那通過ip很容易查到人）

木馬的內網映射功能會從http://www.xmhairong.com/htl/lcx.exe下載文件進行。



文中涉及文件：
TeamViewer無限換ID.exe（正常文件，用來劫持 MD5: F28DC3698714D559C20E46D1780FA9B0）
cmcs21.dll （木馬文件 MD5: 7A3D3060EEAB5566A52B819713328367）
iusb3mon.exe（正常文件，用來劫持  MD5: 86E78DBD4C4B87594B0D8D4D85894682）
iusb3mon.dll（木馬文件 MD5: 36923A0170B1FDF4F1B94D0D24F208F6）
data.exe（木馬文件 MD5: B870A317D9B16BE72BD10418931A1A01）
space.dll（木馬文件 MD5: 1906EB41E171693E16F18495F838DD34）

已經把木馬打包，壓縮包中1.IRScriptEditor就是上文分析的文件，2.tpsvcBase是老版本的木馬（上線地址http://fjaps.com/ip/2118529640.txt），感興趣的同學可以下載自行分析：

梁景禎你的馬掉了.7z (3.21 MB, 下載次數: 5848)

2016-11-17 12:47 上傳

點擊文件名下載附件
解壓密碼：52pojie

解壓密碼：52pojie

注：木馬程序中有部分加了VMP和Shielden的殼，使用論壇OD即可正常調試，虛擬機注意vmtoolsd.exe進程會被檢測。

二：木馬作者信息

和放小木馬的家伙你來我往這么久，這人到底是誰了？警察叔叔都在找你！通過域名和被封賬號不難查出木馬作者常用信息如下：

姓名：梁景禎
年齡：31
身高：身高171CM
出生地：福建泉州人
暫住地：福建廈門
手機：13666044244
QQ：418500646
微信:vip-20000
支付寶：[email protected]
郵箱：[email protected]

小編還看到木馬作者在網上發的交流帖子，天天在電腦前搞木馬是約不到女盆友滴！（主要還是丑。。。照片不貼了）



三：圍剿木馬抓捕梁景禎

近期此人趁開放注冊活躍用戶增加帖子數量增多，在管理沒能審核到的新帖發布了捆綁遠控的木馬進行傳播，根據統計，我們發現確實有論壇部分用戶中招，并且深夜無人的時候遠程控制肉雞的老賬號來發木馬貼，在第一時間查封賬號封鎖源頭。

通過木馬文件分析后，我們已經和360安全衛士、QQ電腦管家、阿里云和網警取得聯系，將木馬詳細的工作手段和傳播方式交給安全廠商，在360安全衛士和QQ電腦管家工作平臺上可以徹底查殺！將木馬作者的阿里云服務器和阿里萬網注冊的域名提供給阿里，木馬作者的阿里云服務器已經被查封，fjaps.com域名也在給阿里萬網反饋中，大家可以一同發郵件舉報反饋[email protected]，可以盡早的封掉木馬域名，這樣木馬作者就無法進行控制了。木馬作者的信息已經提交給網警，由他們介入調查，如果有同學中毒可以在當地執法機關報案，一同對梁景禎進行抓捕！吾愛最為活躍的互聯網精英們多數來自這些安全公司，在這撒野只能濕了自己的褲襠，奉勸那些蠢蠢欲動的人，盡快走入正途，不要誤入歧途！

以防萬一，建議大家使用360安全衛士或者QQ電腦管家進行木馬查殺，防止中毒，有經驗的朋友可以通過上述木馬分析自行診斷是否中毒，大家在下載使用論壇程序的時候請多注意安全，如果發現任何有問題的程序可以到論壇投訴舉報區舉報，我們會及時處理，同樣我們也會堅持和加強對論壇安全性保障，持續監控木馬做作者的小動作。

最后感謝大家一直以來對吾愛破解論壇的支持和維護，論壇安全離不開大家監督，任何違法違規的行為都逃不過大家的眼睛和管理的審查，對待此類*渣論壇絕不手軟，堅決處罰到底！

Hmily

雖然木馬作者的阿里云服務器已經被查封，但fjaps.com域名暫時還沒被查封，阿里內部已經幫忙反饋，大家可以一同發郵件舉報反饋[email protected]，可以盡早的封掉木馬域名，這樣木馬作者就無法進行控制了。

為了安全起見，大家應該用360進行木馬掃描查一下，保證電腦安全。

2016.12.7 木馬作者更新木馬，使用騰訊TP白文件劫持TPHelperBase.dll木馬DLL方式，虛擬機檢測多增加了vmtools的其他進程，使用最新上線域名：

http://360tray.vip/dns/211852.txt
103.230.123.118
112.74.204.198

點我啟動百度云.exe MD5: A4160B50026DDC0F8D6ED33F0B679A06

C:\WINDOWS\ActiveSocketes.zip
C:\WINDOWS\2.exe
C:\WINDOWS\TPHelperBase.dll MD5: 720D69EA2F25BC5669811FB5E2600363

C:\Program Files\Common Files\System\Ole DB\nusb3mon.exe
C:\Program Files\Common Files\System\Ole DB\nusb3mon.dll MD5: 8697811C8704F51C1CD38FE3DAE9AFC8

C:\Program Files\Common Files\System\msadc\SystemCsrss.exe
C:\Program Files\Common Files\System\msadc\TPHelperBase.dll MD5: 720D69EA2F25BC5669811FB5E2600363
C:\Program Files\Common Files\System\msadc\CPUID.des


樣本下載，解壓密碼：52pojie 木馬.7z (3.71 MB, 下載次數: 2182)

2016-12-7 10:38 上傳

點擊文件名下載附件

2017.1.6 木馬作者在此捆綁大灰狼遠控木馬http://www.kvamco.live/thread-570588-1-1.html ，木馬使用服務啟動。

木馬位置：
C:\Program Files\Common Files\svchost.exe （load程序 MD5: 89C9EDABBD9C85F2A04FB8F50FE9BB98）
C:\Program Files\AppPatch\fku.dll  (dll木馬核心 http://123.57.83.46/fku.dll 下載來的)

木馬還會下載：http://www.baihes.com:8282/cpa.exe

木馬上線地址從qq空間獲取：
users.qzone.qq.com/fcg-bin/cgi_get_portrait.fcg?uins=2118529640
返回加密地址：
portraitCallBack({"2118529640":["http://qlogo1.store.qq.com/qzone/2118529640/2118529640/100",0,-1,0,0,0,"###tvxuqtxwdagy***",0]})
解密又是阿里云服務器：
123.57.83.46

木馬遠控肉雞后會用TeamViewer正規遠控進行遠程盜取支付寶資金，受害者：http://www.kvamco.live/thread-571115-1-1.html ，大家可以一起報案，論壇提供的技術信息可以輕松抓人。

樣本下載，解壓密碼：52pojie   木馬.7z (1.46 MB, 下載次數: 1681)

2017-1-6 12:03 上傳

點擊文件名下載附件

2017.5.8再次捕捉到一個樣本，360tray.vip木馬上線域名再次恢復

http://360tray.vip/dns/bw0rg6.txt
imdtend.dopaminee.top
120.25.250.149

樣本下載，解壓密碼：52pojie   木馬.7z (618.27 KB, 下載次數: 1244)

2017-5-8 11:02 上傳

點擊文件名下載附件

2017.7.31 木馬作者依然活躍，更換木馬控制端域名
gamelion27.vancleefarpelspro.com
120.24.165.30

樣本下載，解壓密碼：52pojie   木馬.7z (399.78 KB, 下載次數: 1010)

2017-7-31 11:14 上傳

點擊文件名下載附件

smile1110

姓名：梁景禎
年齡：31歲
QQ：418500646
身高：171cm
畢業學校：青島農業大學

社會關系：
幕后老板-李子龍（在職于北京金山科技，對木馬服務端做免殺360處理，并負責搭建網站）  
騙子女朋友-改名前：梁景耀 改名后：梁景珍/禎（疑似本人，性別女，國內外的域名和域名空間全在此人名下，安防行業一家皮包公司的法人，目前也從事網絡詐騙）
主要騙子成員-XXXX波（QQ：312019071 應該是叫李小波，寧波職業技術學院畢業，此人負責使用木馬盜號并洗信，并以低價充值游戲貨幣和販賣游戲賬號詐騙，現居浙江省寧波市余姚市   于1994年12月30日出生）
主要騙子成員-馬XXXX（QQ：1870086154 ，應該叫馬錦江，手機號15185357408 ,此人責網絡招嫖并實施詐騙，曾在河北石家莊賣電話小黑卡，現居地貴州省安順市平壩縣區肖家村 于1997年8月16日出生）

祖籍：泉州
電話：
      13850008222      13666044244
      13666044144
      86-0592-7551589
微信：vip-20000

郵箱：[email protected]
      [email protected]

業界出身：12年加入華中黑客組織至今
業界水平：腳本小子，僅會捆綁傳播
木馬類型：ghost華中帝國專版
          大灰狼個人修改版
          aegis crypter8.5

獨資公司（民間借貸性質）：
廈門市海融正大投資有限公司

公司地址：
一：廈門市同安區岳東路6號
二：上海市
虹口北外灘大連路535號創富大廈
楊浦區五角場國定東路275號8樓
楊浦區五角場國賓路18號12樓
虹口區歐陽路85號14樓
虹口區花園路128號一街區a座2樓
浦東新區八佰伴張楊路560號1103室
普陀區中山北路2911號5樓
閔行區莘莊莘凌路211號6樓
閔行區東蘭路248號A棟3樓3
徐匯區中山西路1602號2樓
徐匯東安路599號 西塔(B座)7樓
黃浦區中華路1359號7樓
靜安區新閘路1136弄1號10樓
閘北區江場西路299弄49號601室
虹口區大連路535號3-4樓廈門市湖里區枋湖路368號【2016年11月23日查到】

現居地：
廈門市同安區西科環東海域 83棟 2樓
北京夏家胡同(西行)育芳小區附近


常出差去地：
北京市豐臺區南苑機場附近一家理發店

這是一個從事民間借貸和網絡詐騙團伙公司，成員四十多個，年齡多從23-32歲不均，剩下資料正在查詢...請叫我紅領巾~
@LCG @Hmily @Peace

zhanggl1996

根據作者IP查到的地址
數據來源1:福建省廈門市
數據來源2:中國 福建省 廈門市 思明區 福建省廈門市思明區湖濱北路314號 在巴羅克鋼琴藝術中心(蓮岳分校)附近, 在育秀中路旁邊, 靠近湖濱北路--育秀東路路口
數據來源3:福建省廈門市同安區梧侶路 禹洲陽光花城附近32米
數據來源4:福建省 廈門市 同安區區 最有可能距離:[五顯路219號]附近2000米范圍內 廈門市同安職業技術學校附近 福建省廈門市同安區五顯鎮五顯路219號 附近 廈門市同安職業技術學校 附近 福建省廈門市同安區五顯鎮五顯路219號 附近 廈門市同安職業技術學校-南門 附近
數據來源6:中國 福建省 廈門市 同安區 福建省廈門市同安區同輝路63號 在中國郵政儲蓄銀行(廈門同安區新民營業所)附近, 在同輝路旁邊, 靠近二環南路--同輝路路口
數據來源7:福建省廈門市同安區同輝路666新民,城南路 名劍幼兒園北100米
數據來源10:中國 福建省 廈門市 同安區 福建省廈門市同安區通褔路686-之14號 在官潯附近, 在西福三路旁邊, 靠近海翔大道--西福三路路口
數據來源11:福建省廈門市同安區濱海西大道輔路 后田村附近46米
數據來源12:福建省 廈門市 同安區區 最有可能距離:[布塘緝仔亭里6號]附近2000米范圍內 緝仔亭公交車站附近 福建省廈門市同安區五顯鎮布塘村緝仔亭里86號 附近 廈門永佳捷物流有限公司 附近

taintitly

姓名：梁景禎
年齡：31
身高：身高171CM
出生地：福建泉州人
暫住地：福建廈門 廈門市湖里區枋湖路368號
手機：13666044244 /13779989506
QQ：418500646
微信:vip-20000
支付寶：[email protected]
郵箱：[email protected]
兩家公司唯一股東：
廈門海融正大投資管理有限公司 10萬元
廈門市同安區岳東路6號

廈門海融正大投資有限公司
廈門市同安區岳東路6號

czh66668888

版主膜拜啊，一直很放心的用吾愛破解的軟件，都是管理員辛苦審核的結果，感謝管理員！

Hey丶man

我的天 我看下我有沒有中毒 前段時間我還下載了那

如果我徘徊

我只想說，干得好

Anonyomus

前排前排！出售香煙啤酒瓜子！

zgywqm

呵呵 抓雞也敢來52  不知道52的都是鳳凰啊···

圣母皇太后

威武，真威武，厲害。佩服。這種人真該死

我來巡山

謝謝樓主

renfeng

前排趕緊占位

車大炮

微博看到過來 的{:1_912:}

青菜粥不喝粥

支持  別走偏路

小人國歷險記

可以這很“坦誠直率”

zhoulinzhi

關鍵是抓了再上抓捕圖才是威武，怕就怕沒人管，