布景

    尊龙凯时威胁谍报中心在终端侧运营过程中发现了一个规模巨大并且可能劫持受害者 Google 搜索内容和劫持电商链接等恶意行为的境表黑客团伙，，，，，，，基于 PDNS 数据发现该团伙从 2021 年起头活跃，，，，，，，并且恶意域名在 OPENDNS 的 top 1m 列表中，，，，，，，全球受影响的终端至少百万级别。。。。。。

    有关域名在国内的接见量也很大：

    我们在浏览器中找到了一个恶意插件，，，，，，，并将其定名为“鬼魂插件”。。。。。。

    攻击者绕过了 Google CSP 机造，，，，，，，当使用 Google 搜索时会向页面中注入 js，，，，，，，注入前截图如下：

    注入后了局如下：

    Google 搜索页面加载了额表的 js，，，，，，，额表在顶部展示出攻击者推送的了局，，，，，，，除了节造搜索了局表，，，，，，，受害者接见肆意页面时城市注入另一段 js，，，，，，，用来追踪受害者接见习惯和轨迹，，，，，，，当受害者接见电商类型的网站时恶意 js 会从 overbridgenet.com/jsv8/offer 获取到一个新的域名用来劫持当前页面中的跳转链接。。。。。。

    overbridgenet.com 解析的IP为 5.223.52.27，，，，，，，该 IP 下存在多个可疑域名，，，，，，，接见量都很大。。。。。。

    基于 VT 数据能够看到大量 URL，，，，，，，URL 的字段与上述拼接的字段一致，，，，，，，只是挨次有所分歧，，，，，，，所以这些 URL 是恶意 js 拼接后的劫持链接，，，，，，，观察到被劫持的 URL 存在一些 web 登录页面。。。。。。

    目前劫持链接只有跳转职能，，，，，，，劫持逻辑由攻击者在云端节造，，，，，，，理论上能够定造化劫持特定的网站，，，，，，，甚至能够进行中央人劫持获取登录页面的账密。。。。。。

    影响领域

    基于 PDNS 数据，，，，，，，我们对受到到恶意插件影响的国内受害者进行了统计：

    当 Google 搜索了局被劫持时会接见 svdred.com 和 xerogala.com，，，，，，，那么能够统计现实被成功劫持的国内受害情况：

    技术细节

    如此大规模的受害水平，，，，，，，攻击蹊径可能不止一个，，，，，，，基于终端数据我们观察到该恶意插件暗藏在破解装置包中，，，，，，，如下：

    攻击者将类似这种伪造的装置包上传到一些破解软件的下载站，，，，，，，期待受害者下载，，，，，，，受害者点击后会在 C:\Users\Public\data 下开释一系列恶意组件。。。。。。

    其中的一部门组件首先会被开释到 C:\Windows\System32 文件夹下。。。。。。

    之后由 mdwslp 实现这些组件从 Windows\System32 到 Users\Public\data 的过渡。。。。。。

    开释结束后会执行 sc create XblGame binPath="C:\Users\Public\data\mdwslp.exe" start= auto 号令，，，，，，，将 mdwslp 组件注册为服务，，，，，，，而后启动该服务。。。。。。

    mdwslp.exe

    该组件掌管整个恶意 web 插件的初始化，，，，，，，首先会判断有关组件是否存在来确定是否已初始化实现。。。。。。

    将 Windows\System32\data1.zip 解压到 Public\data\ext。。。。。。

    该部门为恶意 web 插件的 js 代码。。。。。。

    之后会循环检测是否存在 Public\data\uptimecrx.exe，，，，，，，不存在就从 Windows\System32\uptimecrx.dat 拷贝。。。。。。

    拷贝之后会使用 微软官方署名工具 signtool.exe 对其进行署名。。。。。。

    具体的署名攻击者自己创建的。。。。。。

    最后将 uptimecrx.exe 注册为另一个服务 XblGame2 并启动。。。。。。

    uptimecrx.exe 的署名每 10 幼时更新一次。。。。。。

    检测标志文件 Public\data\up1.dat 是否存在，，，，，，，若是存在则暗示自身必要更新，，，，，，，退出循环，，，，，，，该组件的更新由 uptimecrx.exe 实现。。。。。。

    除此之表，，，，，，，该组件还会循环检测恶意 DLL 是否注入到指标过程。。。。。。

    若是没检测到就会挪用注入工具进行注入。。。。。。

    该工具为之前开释的 Windows\System32\datax.dat，，，，，，，挪用时会为其随机设置一个新文件名并拷贝到 AppData\Local\Temp\xtdbf 文件夹下。。。。。。

    之后以 --install/--uploaddll 等参数启动该工具。。。。。。

    uptimecrx.exe

    该组件用于更新和悠久化 mdwslp.exe，，，，，，，循环检测 mdwslp.exe 是否存在，，，，，，，若是不存在则从 Windows\System32\mi_nt_svc.dat 拷贝，，，，，，，并沉新注册服务并启动。。。。。。

    检测 mdwslp.exe 注册的服务 XblGame 是否已终场，，，，，，，若是终场则沉新启动。。。。。。

    通过标志文件 Public\data\up1.dat 检测 mdwslp.exe 是否必要更新，，，，，，，依然通过拷贝 Windows\System32\mi_nt_svc.dat 进行更新并对其沉新署名，，，，，，，更新结束后注册并启动服务。。。。。。

    datax.dat

    该组件为 DLL 注入工具，，，，，，，其重要职能为将恶意的 ntdb.dll 注入到指标过程中。。。。。。

    凭据参数的分歧，，，，，，，注入的指标过程如下所示：

    --install：注入到 explorer 过程；；；；；；；；

    --browser_chrome：注入到 chrome 过程；；；；；；；；

    --browser_msedge：注入到 msedge 过程；；；；；；；；

    --uploaddll：从 Windows\System32\ntdb.dat 处获取新的载荷 DLL，，，，，，，并沉新署名。。。。。。

    ntdb.dll

    该组件用于加载恶意 web 插件，，，，，，，首先判断自身是否在 explorer.exe、chrome.exe、msedge.exe过程中，，，，，，，若是不是则实现运行。。。。。。

    若是其在 chrome.exe 或 msedge.exe 中，，，，，，，hook 有关 dll 中的 ChromeMain 函数。。。。。。

    以及 hook 有关事务函数。。。。。。

    若是在 explorer.exe 过程中，，，，，，，则会以 --load-extension 等参数启动浏览器，，，，，，，用于加载恶意 web 插件。。。。。。

    恶意插件蹊径指定为 Users\Public\data\ext。。。。。。

    启动结束后会将自身注入到浏览器过程。。。。。。

    Ext（浏览器插件）

    若是恶意插件加载成功，，，，，，，浏览器扩大栏会显示一个空缺页面。。。。。。

    具体信息如下：

    manifest.json

    界说有关 js 的作用领域，，，，，，，service_worker.js 为后盾服务工作过程：

    content_script.js 会在 url 匹配到搜索引擎有关时被加载：

    disabled-trusted-types.js 在职何时辰被加载；；；；；；；；

    之后界说了一些杂项，，，，，，，蕴含版本信息，，，，，，，更新链接等。。。。。。

    content_script.js

    获取当前 uuid 传递给 web_accessible_resource.js 并加载。。。。。。

    web_accessible_resource.js

    首先进行单一 url 检测，，，，，，，检测成功后会向 calnor.info 要求 js 并注入到当前页面。。。。。。

    凭据 manifest.json 中的规定，，，，，，，接见 Google 搜索时会加载该 js，，，，，，，能够看到 calnor.info 返回的 js 已经呈此刻网页源码中。。。。。。

    disabled-trusted-types.js

    关关浏览器的 XSS 防御战术。。。。。。

    service_worker.js

    该 js 为后盾服务过程，，，，，，，在扩大被启动时运行，，，，，，，首先会注册一个装置事务监听器，，，，，，，当该扩大被初次装置时执行。。。。。。

    首先从 klymos.info 获取一个 uuid：trackInstall。。。。。。

    注册客户端 ID，，，，，，，向 dash.zintrack.com 发送该事务的新闻：sendApiRequest。。。。。。该域名是 Google Analytics 的轻量级代替，，，，，，，攻击者注册了自己的 api key 用来统计受害者。。。。。。

    设置该扩大被卸载时接管新闻的域名 dash.zintrack.com：setUninstallURL。。。。。。之后会设置一个按时器，，，，，，，每过一段功夫进行规定更新。。。。。。

    规定依然从 klymos.info 获。。。。。。，，，，，并将获取到的规定利用到该扩大的网络要求拦截中。。。。。。

    获取到的规定如下，，，，，，，其职能是对部门搜索网站的网络要求中移除掉 content-security-policy、X-Xss-Protection 等安全战术。。。。。。

    注册按时器 update-rc 用于获取远程代码。。。。。。

    fetchRemoteCode 用于从 infird.com 获取 js 代码。。。。。。

    注册选项卡更新事务，，，，，，，每当用户创建了新的浏览器选项卡时，，，，，，，将获取到的远程 js 代码加载到当前页面，，，，，，，若是当前页面 url 在 blacklist 中则不加载。。。。。。

    当用户接见任何不在 blacklist 中的网页时，，，，，，，该 js 被加载到网页源码中。。。。。。

    最后会天生一个 page_view 事务，，，，，，，用于批示受害者已经加载了 service_worker.js。。。。。。

    这些信息会被发送到 Google 的网络分析服务网站 www.google-analytics.com，，，，，，，攻击者在该网站注册了自己的 API，，，，，，，可能是用于统计受害者。。。。。。

    remote code.js

    该 js 是从 infird.com 获取的远程 js 文件，，，，，，，会在用户打开新网页(新增选项卡)时加载，，，，，，，其恶意逻辑通过攻击者设置的几个限时 cookie 进行节造。。。。。。

    首先会对当前页面 url 进行严格过滤，，，，，，，对于大部门的色情网站、社交媒体、搜索引擎等会终场执行。。。。。。

    url 中若是存在以下字段也会终场执行，，，，，，，能够看出攻击者在预防高接见量的场景，，，，，，，可能是用于暗藏自身。。。。。。

    若是通过了过滤，，，，，，，会设置一个按时器，，，，，，，每 20000 ms 执行相应操作。。。。。。

    进行初始化阶段，，，，，，，检测相应 cookie 项是否存在，，，，，，，若是存在则终场执行并断根按时器。。。。。。

    其中 Lda_aKUr6BGRn 是用于攻击者进行沉定向的网址，，，，，，，当他为空时，，，，，，，会从 overbridgenet.com 获取一个新网址进行填充。。。。。。

    overbridgenet.com 会返回一个 json 文件，，，，，，，其中 at 项用来填充 Lda_aKUr6BGRn，，，，，，，在现实调试中该页面仅返回 {"s":1,"n":1} 体式的 json 文件，，，，，，，攻击者可能会筛选指标后才会在特按功夫填充 at 项进行攻击。。。。。。

    若是 n = 1，，，，，，，perf_dv6Tr4n 项会被创建并填充为 1，，，，，，，json 中的 c 项为 cookie 过期功夫，，，，，，，用于节造该 js 文件是否持续执行 (在初始化阶段时 perf_dv6Tr4n = 1 就返回)。。。。。。

    由于现实调试时 json 文件没有 c 项，，，，，，，该 cookie 不会过期。。。。。。

    若是 Lda_aKUr6BGRn 项被填充，，，，，，，则进入下一阶段过滤：

    1、当前 url 为指定电商网站且 Ac_aqK8DtrDL 为空。。。。。。

    执行链接代替操作。。。。。。

    首先会创建一个点击事务监听器，，，，，，，当用户在该页面点击了带有指定标签的元素时，，，，，，，劫持用户跳转并将用户沉定向到攻击者指定的链接。。。。。。

    新链接由 Lda_aKUr6BGRn 拼接得来，，，，，，，新链接可能用于攻击者进行垂钓。。。。。。

    2、当前 url 不是电商网站且 Lda_aKUr6BGRn 不为空以及 Ac_aqK8DtrDL 为空。。。。。。

    将整个页面劫持到攻击者的链接，，，，，，，设置 Ac_aqK8DtrDL 为 1，，，，，，，Ac_aqK8DtrDS 用于计数。。。。。。

    3、Ac_aqK8DtrDL 不为空 Fm_kZf8ZQvmX 为空

    创建一个新 iframe，，，，，，，将 src 项设置为攻击者的链接，，，，，，，设置其形状并将其插入到当前页面内容中，，，，，，，最后设置 Fm_kZf8ZQvmX 为 1。。。。。。

    calnor.js

    该 js 是从 calnor.info 处获取的 js 代码，，，，，，，用于攻击者拦截有关 manifest.json 规定中的网页并将其注入。。。。。。

    其重要针对 Google 等搜索引擎，，，，，，，攻击者能够代替用户搜索页面的内容，，，，，，，首先会检测当前页面是否存在攻击者设置过的标签 mdorkirgneorpowtn。。。。。。

    若是存在则向 svdred.com 发送有关标签数据，，，，，，，不存在则发送 global。。。。。。

    同样的，，，，，，，检测页面是否蕴含另一些元素，，，，，，，并向 svdred.com 发送元素对应数据，，，，，，，这些元素在正常的 Google 搜索页面上并不存在，，，，，，，是由攻击者进行设置的，，，，，，，对其进行检测用于去除沉复执行。。。。。。

    对于该 js，，，，，，，执行后会在当前页面插入元素 mdorkirgneorpowtn。。。。。。

    对于以上所有元素，，，，，，，检测到之后会终止执行，，，，，，，用于预防分歧的组件相互影响。。。。。。

    通过检测之后，，，，，，，首先设置 mdorkirgneorpowtn 值为 a=4001&u=0106-20250304-ORG。。。。。。

    攻击者会预防在一些搜索模式中执行该组件，，，，，，，如用户搜索图片和购物等，，，，，，，仅凭据搜索内容分辨并向 xerogala.com 发送分歧类型的信息，，，，，，，而后终止执行。。。。。。

    之后会向页面 head 中增长一个名为 referrer 的 meta 元素。。。。。。

    之后进入代替逻辑，，，，，，，首先获取搜索内容，，，，，，，创建一个新 style 元素并设置形状。。。。。。

    凭据获取的搜索内容拼接 url 要求，，，，，，，发送到 xerogala.com 并获取返回数据。。。。。。

    将返回数据处置后，，，，，，，填充到元素 sadsfs 中，，，，，，，插入到当前页面。。。。。。

    其职能是在搜索页面的开头处插入攻击者代替的搜索了局，，，，，，，如下是受害者进行搜索后的成效，，，，，，，能够看到最开头的几个搜索了局被代替。。。。。。

    正常用户的搜索了局中不蕴含最起头的内容。。。。。。

    通过调试页面能够看到攻击者插入的内容正是 sadsfs 元素，，，，，，，其大无数情况下是告白内容。。。。。。

    总结

    目前，，，，，，，基于尊龙凯时威胁谍报中心的威胁谍报数据的全线产品，，，，，，，蕴含尊龙凯时威胁谍报平台（TIP）、天擎、天眼高级威胁检测系统、尊龙凯时NGSOC、尊龙凯时态势感知等，，，，，，，都已经支持对此类攻击的精确检测。。。。。。

    IOC

    C2：

    calnor.info

    klymos.info

    infird.com

    overbridgenet.com

    infirc.com

    xerogala.com

    svdred.com

    cachedclr.com

    MD5:

    40210f065e82d06b364f56c9ab4efdcd

    a4aa475e2309f05ac83d8289b4604cbd

    1c6271c9bd6281b06965ca780b292e65

    ebee140bdb9f1f80597cdea66860e1b6