黑暗幽灵（ DCM）木马详细分析

[c0878]

http://www.freebuf.com/articles/system/101447.html

看完背后发凉 妈的这就是中国的棱镜门啊

[21grams]

企鹅药丸

[yksoft1]

这个木马其他地方都很正常，问题就在于这个通信方式需要在用户可控范围之外做手脚才能实现。

[xmoiduts]

所以说 120.52.72.0/15 等设备是一盘大棋呀

[Mutoo]

针对特定人群的 GOV 马

[Jankst]

这这这。。。太可怕了 。。这玩意儿难不成真是 GOV 搞的？只是我大企鹅怎么有勇气给拦截了，然后还给出这样一个详细的分析报告？

[c0878]

可推断墙不止是在出口有部署 全国城域网内应该也有相关设备收集数据

[xdeng]

不止 gov 劫持到关键节点的黑客也可以这么玩吧

[panlilu]

大写的服气

[ProfFan]

@c0878 不用推断就是

[lhbc]

下一版 QQ 电脑管家更新日志：修复能查杀 DCM 木马的 bug

[c0878]

@xdeng 真黑到这个份上被抓到就是吃牢房的份 黑客为财 不会做这种高风险的事情

[venster]

我觉的这个似乎是有针对性的对某个跨国公司采取的商业行为吧？

[oldcai]

我刚还想，以后得找个冷门点的杀软了，结果一看列表， 43 个，只有想不到的，没有过不掉的。

感觉这才是国家级的项目的水平，什么 12306 简直不算。

感觉又有希望了，祖国欣欣向荣。

[inoricho]

头一次对企鹅这么服过。

[mc468ma]

有人评论，电脑管家不懂事π_π

[Phariel]

PR 懵逼了 鹅厂药丸 doge

[KenGe]

马化腾这搞过头了啊

[VmuTargh]

用 F-PROT

[fengxiang]

这一定是美帝的阴毛。('・ω・')

[gimp]

服！

[vtea]

我想知道怎么才能检查自己中没中招

[kkhaike]

哪里有样本。。学习下

[percentsfg]

这防不胜防啊，另外这木马功能怎么这么奇怪。

[momou]

谍战大片啊。。。

[shutongxinq]

卧槽这个也太强了。针对 Gmail 和向 baidu ， 163 通过发 dns 包通讯...只能说是天朝

马，简称天马


.-' _..`.
/ .'_.'.'
| .' (.)`.
;' ,_ `.
.--.__________.' ; `.;-'
| ./ /
| | /
`..'`-._ _____, ..'
/ | | | |\ \
/ /| | | | \ \
/ / | | | | \ \
/_/ |_| |_| \_\
|__\ |__\ |__\ |__\

[ostholz]

呐泥? 星矢?

[clino]

@vtea 你要是会被盯上你就有可能会获得和平奖的

[fany]

大家好，我是某讯管家负责人，从我的观点来看，这个报告写的还是很不错的，有理有条，各个部分分析的都很到位，至于木马是怎么被放置到网关上的这个问题，我觉得应讠

[shyrock]

http://image.3001.net/images/20160412/14604534983828.jpg!small

我就想知道，这个源代码是哪里来的？

[raptium]

@shyrock 看起来是 ida

[jy02201949]

怎么检测中没中

[shyrock]

@raptium ida 反编译？出来的源码命名还能有含义的？

[DesignerSkyline]

@shyrock IDA+某个价格相当贵的插件

[ZhaoMiing]

@fany 好冷

[dapang1221]

这波太 6 了，腾讯为我们演示了手拆木马，接下来就是赵家手拆腾讯了

[RobertYang]

不错 BAT 里面就服 B 了，服 B

[lanyusea]

@shyrock 理论上 ida 可以做到

[zmj1316]

为什么不可能是配合路由器完成感染和监控？路由器里面劫持要容易的多啊

[jqw1992]

@Mutoo 算么
@clino 是不是？

[Tink]

@RobertYang 这不是 T 干的吗

[wizardforcel]

消灭人类暴政，世界属于 AI 。

[c4tn]

特侦的马也敢分析，妈的，又得重写了

[springx]

@fany 段子不错=w=

[mrjoel]

@c0878 这种人才肯定会被爱惜的。

[Myprincess]

方校长不开心

[plqws]

只有我一个人觉得可能是腾讯电脑管家的炒作么…
如果是真的话还真的要对腾讯刮目相看了 hhhhh

[tinkerer]

(｡･ω･｡) 赵家人不开心

[blanu]

不过是不是只要不通过自带的升级方式升级这些软件就行了呢。。。

[kofip]

@blanu 只要你上网就行了，你的任何操作，都可以劫持，只是人家想不想劫持。

[wbsdty331]

删除
%windir%\ntshrui.dll
%windir%\msls32.dll
%windir%\AduioSes.dll
%CommonProgramfiles%\TEXTCONV\*elp.dll
%windir%\msaodex.dll
%CommonProgramfiles%\Microsoft Shared\Web Folders\msaodex.dll
C:\WINDOWS\Temp\{E53B9A13-F4C6-4d78-9755-65C029E88F02}\soft.prog
同目录的 time().v
drive.d
ie.his
time().hd
RtkBDll.dll
QQHelperdll.dll
所有后缀名为.k 的文件
然后修复 lsp ，用 pc hunter 这类 ark 工具修复一下被挂的钩子和注入的 dll
应该就没问题了

我写个专杀工具好了
2333

[RobertYang]

@Tink 在于腾讯敢报啊

[RobertYang]

@wbsdty331 吃顿好

[Tink]

@RobertYang 腾讯就是 T 啊

[shakespaces]

win10 没写在系统版本里面，会被影响吗？

[lsmgeb89]

默默关注！

[ANT1FLAG]

为什么都说和政府有关？没看出来哪里是个人做不到的啊

[EYSAEX]

@wbsdty331 吼啊，中央也资瓷

[wbsdty331]

@RobertYang t/271538

[Quaintjade]

@ANT1FLAG
不一定是政府，但政府可能性较高，也有可能是商业间谍行为。

从技术看，开发成本应该不低。然而既不是为了炫技，也不是直接窃取财产，而是潜伏着监控，说明目标利益来源于监控的数据。
另一方面，但从木马本身来看，制作者如果在互联网上很难获取数据。

有几种获取数据的可能：
* 配合其他渠道（比如控制路由），看似发到大网站的数据，其实转发到真正收集数据的服务器。
* 制作者就在链路上，比如内网里，或者运营商节点上。
* 各大网站与制作者有合作，看似应该被丢弃的数据其实会被接收和记录。
* 其他[?]

[ovear]

http://drops.wooyun.org/tips/14911
评论 PGP 可怕

[inoricho]

@wbsdty331 细软跑。。

[dsb2468]

http://www.freebuf.com/author/dcm_team_member?comment=1

[Bryan0Z]

@ovear 卧槽，真的假的

[inoricho]

@ovear 。。。。可啪

[XhstormR]

首先我要证实一下大家的猜测：这个木马确实和 G0V 有关系，属于一款特殊用途的专用木马。

[DcmTeamMember]

https://www.v2ex.com/t/271590

[jhaohai]

这个应该就是公安部的金盾吧，传说耗资比 gfw 大，在各大运营商的骨干网上都有部署

[bookit]

@XhstormR 针对哪一类的人？还是所有人？

[0xC0000005]

这个木马主要特别在两点：
1.涵盖几乎所有主流安防软件的巨大投入；
2.极其特殊的数据通信方式和针对目标

[RobertYang]

@Tink 。。。打错了😂

[wbsdty331]

https://github.com/wbsdty331/DCM-Killer
专杀已更新，但只能删除部分文件，被挂的钩子和 DLL 仍需自己解除，聊胜于无吧。

[Aquamarine]

@wbsdty331 请问下，挂钩只存在 SPI/LSP 中吧？

[wbsdty331]

@Aquamarine 应该还在进程中存在 你需要多留心

[rix]

@kkhaike https://github.com/rixtox/DCM-Virus-Samples