黑客一个失误，暴露了自己的信息

前言

恶意软件开发人员的操作失误，使得Check Point Research的研究人员能够获取到恶意软件的开发人员的信息，包括位置信息、账号信息、电话号码信息、电脑截图等个人信息，发现了两个团伙成员，一个在土耳其、一个在尼日利亚。

我们来看一看研究人员是怎么发现的。

S

Styx Stealer恶意软件的开发人员，下文简称S。

Styx Stealer

Styx Stealer恶意软件，中招后，会盗取受害者电脑上的敏感信息，包括浏览器保存的各种密码，一些特定后缀的文件等。会盗取T平台的登录信息。

这个软件的开发人员就是在土耳其的成员。

C

安全公司Check Point Research的安全研究人员，下文简称C。

F

Agent Tesla恶意软件的利用者之一，下文简称F。这个就是在尼日利亚的成员。使用到的是另一款恶意软件。

T

两款恶意软件使用到的Bot软件。

01

起因

C的公司客户收到一些钓鱼邮件，里面包含了恶意软件附件。

钓鱼邮件

02

Token

C通过对恶意文件的分析，发现是一款偷取信息的恶意软件。

点评

邮件中的未知附件不要随便点击，有可能就是钓鱼邮件、恶意软件。

C发现这款恶意软件使用的是T平台来接收文件，同时C在恶意软件的配置中找到了T平台的Bot Token。

通过这个Bot Token，C可以获取到Bot收到的信息和发送的信息。

就是说，一旦有新的消息发送给这个Bot，C是可以接收到对应消息的。C就可以获取到文件进行分析，这也是后面分析的基础。

03

监控

C开始监控并分析Bot收到的文件信息。

C分析发现，有一个文件跟常规的文件格式不一样，分析发现是Styx Stealer，就是恶意软件作者开发的恶意软件。

同时发现，里面包含一张桌面截图，分析发现是恶意软件的作者在调试恶意软件，截图中包含了另一个T平台的Bot Token。

点评

由于是在恶意软件的作者电脑上运行的，因此保护了恶意软件作者的电脑上的各种信息，也为后面的分析提供了基础。

截图

04

分析

截图中的语言（截图右下角，同时里面的comment也不是英文）是显示的土耳其语言。

C从文件中提取出加密的T平台账号信息，这个文件是从S的电脑上上传的，其中一个账号的电话号码是+90开头的，是土耳其的号码。

手机

同时这两个账号的状态地址也是土耳其的城市。

地址

同时还发现S和F两人之间使用T平台聊天的信息，S将软件卖给F使用。

由于软件检测到虚拟机，F在虚拟机上没有运行成功，F在自己的电脑上运行了。这样就暴露了F的位置信息。

S收到F电脑上传到文件信息，在T平台，同样C也可以获取到。

下图是F的ip地址信息，和Mac地址，ip信息是尼日利亚。

下图是S的ip地址信息，和Mac地址，ip信息显示是土耳其

综合各个信息，以及获取到的其他账号信息，进一步调查，交叉验证，可以判断出，S是在土耳其，F是在尼日利亚。

05

总结

S开发了恶意软件，在自己的电脑上进行调试，所以自己电脑上的信息被窃取上传到T平台。

同时S将恶意软件卖给F，让F也运行，由于F在虚拟机运行失败，在自己的电脑上运行了，导致F的信息也上传到T平台。

同时，S让F把T平台的Bot Token发给他，他更新恶意软件之后，再次在自己的电脑上运行，导致自己的电脑信息再次被获取。

研究人员拿到这些信息，完成了对他们身份的分析。

关系图

一次“失误”，导致两个恶意软件背后的人员信息被分析。

传播恶意软件是违法行为，未知附件不要点击，日常提高安全意识。

文章详细信息可以进一步查看https://tcp.im/YbPubJ。

题外话

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程
网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我们和网安大厂360共同研发的的网安视频教程，之前都是内部资源，专业方面绝对可以秒杀国内99%的机构和个人教学！全网独一份，你不可能在网上找到这么专业的教程。

内容涵盖了入门必备的操作系统、计算机网络和编程语言等初级知识，而且包含了中级的各种渗透技术，并且还有后期的CTF对抗、区块链安全等高阶技术。总共200多节视频，200多G的资源，不用担心学不全。

因篇幅有限，仅展示部分资料，需要见下图即可前往获取

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

3.技术文档和电子书
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

4.工具包、面试题和源码
“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源
————————————————

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
侵权，请联系删除。