近期， 据火绒威胁情报中心监测 ，有大量用户感染DDos病毒。经溯源分析，传播源头指向一款通过抖音、淘宝等渠道推广的游戏盒子，会被捆绑投放DDos病毒。病毒落地后，攻击者可通过设置云控配置，远程控制受感染设备对其他Steam入库工具服务器以及任意目标网站发起DDos攻击，从而使该网站服务崩溃。 目前，火绒安全产品可对上述病毒进行拦截查杀。
火绒安全工程师通过溯源发现， 名称为“蒸汽平台”“全界游戏盒子”“3GM游戏”“大玩家”等游戏盒子通过抖音平台进行大量推广。经分析，这些所谓不同名称的游戏盒子，本质上均为同一套模板的换皮产品，只在外观、名称和包装上进行了区分。
此外，根据“大玩家游戏盒子”中的使用教程可发现，不同游戏盒子之间的VIP并不互通。由此推测，这些游戏盒子很可能出自同一套底层平台，由不同渠道商分别进行分发、运营，因此形成了同源产品多渠道换皮推广模式。
大玩家游戏盒子使用教程VIP不相通声明
其中的教程视频中还会建议用户关闭Windows Defender（Windows 自带安全软件），被用于攻击其他网站。
经进一步分析云控配置发现，被攻击的网站其中之一为cool666.top。进一步分析其站点结构后，
随后该 DDos 病毒会主动获取云控配置并解密解析，其配置中包含需要攻击的目标IP或网址，随后利用循环的方式进行访问，其中会通过修改注册表达到持久化的目的。
1.1 游戏盒子捆绑下发原理
该poget函数会从云控配置中读取speed_url与speed_url2字段，随后，程序通过cefQuery通信接口向宿主端（steamall.exe）发送js_aria2_download、js_changeFileName、RunExe等命令，
js_aria2_download： 下图为前端（chrome.exe）发送的RPC/JSON请求数据，exe）处理该请求，最终调用bin.
js_changeFileName： 该指令最终会使 steamall.168.0.71 文件改名为 BeService.exe。
1.2 DDos 病毒
从上述游戏盒子中的逻辑可以看出DDos病毒会有两种，两种病毒分别为C#与C++所写，但其中逻辑基本一致，可以通过云控配置的解密和解析手段判断，且云控配置同样是被DES加密并使用Base64编码的字符串，同时云控配置的结构同样是类似于INI文件的自定义结构。
而BeService.exe（C#）与slinati.exe（C++）最大的区别在于支持的协议，其中前者支持 GET、POST、WS等协议，而后者只支持TCP与UDP协议。
初期该DDos病毒会主动访问以下链接获取云控配置：
云控配置相关链接或函数
随后通过Base64解码和DES算法配合密钥（"44556677"）与初始化向量（"77665544"）实现解密。
解密云控配置后可以发现存在以下字段，分别含义如下：
md5=3F1F86ECEA840D3596A8FF0A4BC98D1D
ShowConsole=0
AutoStart=1
Method=POST
Delay=1000
POST /steam/SteamTools HTTP/1.1
Connection: keep-alive
Accept: */*
Host: get.cool666.top
Accept-Encoding: gzip, deflate
Content-Length: 0
Body=page=4&pageSize=50&keyword=
md5=3F1F86ECEA840D3596A8FF0A4BC98D1D
ShowConsole=0
AutoStart=1
Method=GET
Threads=10
Delay=1000
Method=GET
Method=GET
Threads=10
Delay=1000
Method=GET
Method=GET
Threads=10
Delay=1000
Method=GET
Url=ws://steamclould.cn:8080/
Threads=15
Delay=1000
Method=GET
Threads=15
Delay=1000
Method=GET
ShowConsole=0
AutoStart=1
Url=183.136.132.43:443
Delay=1000
Url=211.154.31.195:443
Threads=30
Delay=1000
Url=103.120.90.75:443
Threads=30
Delay=1000
最终会通过解析得到的云控配置规则进行循环访问或发送数据，使被攻击的服务过载，进而拒绝服务。
切勿轻信非官方游戏盒子的推广内容，不要随意关闭系统安全防护软件。警惕某些营销号的引流话术，避免设备被恶意程序利用，及时防范、注意风险。火绒安全将持续监测该类恶意威胁，让您安心玩游戏，守好安全关。
全部评论