“门前大桥下,游过一群鸭 快来快来数一数,二四六七八……”
“Duck?”
“No,Hacker!”
“Hacker?”
“Yes,Hacker!“
0x1故事梗概
故事情节是这样的：
一大波小黑，或许是为了免费体验Roblox游戏和Discord游戏聊天平台，或者是为了彰显自己的技术实力，虚心学习了 Harioboy（网络ID）上传至Youtube的破解视频，并忠心耿耿的下载了Harioboy提供的工具，心急如焚的在自己电脑上小试身手，功夫不负有心人他们居然破解成功了。哼着小曲，玩着游戏……
此时此刻幕后的Harioboy亦哼着小调，欢乐着盯着屏幕上的数据：二四六七八……
（某游戏玩家玩的不亦乐乎，殊不知，你的游戏被黑客截图回传了）
0x2故事原型
故事绝无虚构，如有雷同，纯属吻合。
事实上，腾讯反病毒实验室在追溯Agent Tesla系列APT攻击案例中，关注到一个网络ID为Harioboy的黑客或黑客组织，Harioboy利用水坑攻击引导受害者下载&执行其定制的Agent Tesla，进而控制受害者电脑。
初步预测已有数十万Hacker机器沦为Harioboy的肉鸡。
截止撰稿前一周里，仍有1K+多受害者变身为Harioboy的“小鲜肉”。
从Harioboy的后台上传来看，沦陷的机器多为游戏资深玩家和一些小黑客，部分机器上发现装有Visio Studio开发环境 和 Cheat Engin等黑客工具。
（回传的受害者电脑桌面，发现Cheat Engin黑客工具）
受害者电脑上的游戏账号、网上银行信息以及比特币等敏感信息均会被Harioboy回传至C&C服务器，致使受害者财产面临着严重的安全威胁。
（回传的受害者电脑桌面，小心比特币信息泄漏了）
0x3事件盘点
1. 投毒黑客工具
盘点一下案例，Harioboy提供了免费的RC7 Cracked 和 Discord破解工具，并在Youtube等视频网站投放教学视频，手把手教用户怎么破解RC7 和 Discord，然后坐等受害者入坑。
受害者通过搜索引擎发现视频 或roblox(RC7 Cracked)、Discord破解工具，下载并执行恶意代码，恶意代码在受害者电脑下载并执行Agent Tesla，黑客利用Agent Tesla C&C服务器监视、控制受害者电脑。
2. Agent Tesla
（Agent Tesla 官方网站https://www.agenttesla.com）
基于Youtube视频资料，至少2014年起Agent Tesla就已经存在，Agent Tesla原本是一个简单的键盘记录器（Keylogger），记录用户的按键行为，并回传至黑客服务器。历经两三年的发展，Agent Tesla恶意程序开发发团队不断迭代新的功能，将Agent Tesla从一个简单的键盘记录器演化成了一个模块化的间谍软件，并通过互联网对Agent Tesla进行出售，而买家可以按需购买Agent Tesla模块，进而方便地部署利用Agent Tesla木马。
Agent Tesla包含了反分析工具，检测到用户在用安全软件的时候，就能自动终止Agent Tesla的运行，甚至还具备躲避虚拟机检测的能力。
另外Agent Tesla具有桌面截图、记录键盘或虚拟键盘的敲击、窃取剪贴板数据、通过摄像头偷拍照片等一些功能，还具备自我复制至USB设备的能力，以此达到扩散的目的。
此外，Agent Tesla还可以从Chrome、Opera、Yandex、Firefox、IE、SeaMonkey、Comodo、Chromium、DynDNS、Filezilla、FlashFXP、Outlook、Netscape等应用转储密码。
必要时，Agent Tesla可以自我卸载，甚至禁用UAC、任务管理器、CMD、运行、控制面板、注册表、系统还原等核心Windows功能。
Agent Tesla的最常见的攻击方式是利用钓鱼邮件进行鱼叉式攻击，邮件中藏有恶意文件。用户一旦打开并允许程序执行，该恶意文件 就会自动下载安装Agent Tesla。但是随着针对性攻击事件不断发生，人们对钓鱼邮件的警觉性正在逐渐增强，钓鱼邮件的攻击成功率势必受到影响。
3. Harioboy水坑攻击
Harioboy似乎并未受到影响，Harioboy没有利用钓鱼邮件，而是利用水坑式攻击的思路，主要针对游戏玩家、黑客或破解爱好者这个群体，进行靶向攻击。首先，Harioboy在互联网部署一个植入恶意代码的黑客工具，并通过Youtube发布其使用教程。受害者在Youtube相关视频引导下会主动下载并运行这个黑客工具，进而遭受Harioboy的APT攻击。
（Youtube 搜索 Harioboy）
(RC7 Cracked视频https://www.youtube.com/watch?v=DC9OdA7APJU)
(Discord破解视频https://www.youtube.com/watch?v=8Q6byRxeGI4)
“姜太公钓鱼，愿者上勾”，黑客工具一旦在受害者电脑上运行，就会执行Harioboy事先植入的恶意代码，进而下载Harioboy定制的Agent Tesla木马。 Harioboy此时此刻就如同潜伏在水坑旁的狮子，享受着等待着猎物（受害者）的“投怀送抱”。Harioboy借助Agent Tesla C&C服务器与受害者电脑进行通信，对受害者电脑进行监控、控制，甚至窃取受害者银行账号、游戏账号、以及比特币等敏感信息并将回传到C&C服务器。
黑客利用Agent Tesla木马向C&C服务器回传了大量的受害者账号信息。
(C&C服务器回传的部分账号信息)
0x4木马危害
木马保留了远控功能，可通过接收C&C服务器发送的指令下载执行任何恶意代码。
同时该木马会收集各种软件信息、系统信息、文件信息，并通过木马定制窃取FTP客户端、浏览器数据、邮箱账号信息、比特币钱包等隐私数据，涉及的软件/客户端有上百款：
1. 木马运行流程
木马会从资源中解密Shellcode加载&执行。
1）首先Shellcode会通过GetTickCount检测指令运行时差、GetCursorPos检测鼠标移动等方式进行调试检测，如果认为木马程序被调试，则会进入一个死循环，永不进行后续代码的执行。
2）利用“借尸”方法创建一个同名的进程，然后通过ZwUnmapViewOfSection，ZwWriteVirtualMemory将再次解密的恶意代码注入到新建的进程中。
3）通过GetThreadContext，SetThreadContext，ZwResumeThread恢复目标进程的执行。从而完成“僵尸”进程的创建，继而执行注入恶意代码。
4）恶意代码可以同时包含数百个窃取信息的函数，每个函数可以针对一种或一类软件进行信息窃取，罗列了几种窃取场景：
①窃取Safari 浏览器账号密码存储
Keychain.plist存放着Safari 浏览器记录的账号密码信息，通过命令将Keychain.plist转换成xml文件，再利用windows Windows DPAPI 可以轻易的解密加密后的账号密码。
转换XML的命令行如下：
plutil.exe -convert xml1 -s -o c:\keychain.xml "c:\users\administrator\appdata\roaming\apple
computer\preferences\keychain.plist"
②窃取Chorme浏览器的密码存储
通过查找文件，索引数据库表项，获取敏感信息。
③窃取FileZilla账号密码
FileZilla是一款包含服务端和客户端的FTP软件。木马可通过查找FileZilla相关xml文件获取到账号信息。
④窃取OutLook邮箱信息
通过查询注册表获取邮箱信息。
⑤窃取网络赌博（PokerStars）平台账号信息
PokerStars目前是世界上最大的网络平台扑克室。
通过遍历查找特定文件夹中是否含有users.ini文件，解密其中的PWD字段或者其他字段进行窃取。
⑥窃取比特币信息
比特币钱包的wallet.dat文件对于比特币账户来说非常重要，文件里存有私钥信息，如果没有通过严格加密，是完全有可能造成私钥泄漏，出现比特币被盗的。
0x5传播趋势
C&C服务器上传的截图分析发现，大部分受害者都是游戏爱好者，喜欢研究游戏破解。这些受害者或可称为“Script Kiddie”。
受害者电脑上发现有使用包括屏幕录像直播、游戏开发引擎、鼠标自动点击、内存编辑，DLL注入在内一款或多款工具 以及一些Steam游戏：
地区分布来看美国、欧洲一些国家感染比较明显，亚洲地区主要集中在东南亚地区，这跟Roblox游戏及Discord的发布地区密切相关。
