-
-
[原创]腾讯QQ升级程序存在漏洞 被利用植入后门病毒
-
发表于: 2019-8-18 21:43
-
【快讯】近日，火绒安全团队根据用户反馈，发现一起利用腾讯QQ升级漏洞植入后门病毒的攻击事件，攻击者可利用该漏洞下发任意恶意代码。截止到目前，最新版QQ（包括TIM、QQ、QQ轻聊版、QQ国际版等等）都存在该漏洞。
经分析，该事件中被利用的升级漏洞曾在2015年就被公开披露过（https://www.secpulse.com/archives/29912.html），之后腾讯对该漏洞进行修复并增加了校验逻辑。但从目前来看，QQ此处升级逻辑仍存在逻辑漏洞。
另外，在排除本地劫持的可能后（LSP、驱动劫持等等），火绒工程师推测可能是运营商劫持或路由器劫持。通过和用户沟通，得知用户曾刷过第三方路由器固件，所以不排除路由器被劫持的可能性，具体劫持的技术分析仍有待后续跟进，火绒安全团队会持续对此次攻击事件进行跟踪分析。
由于QQ软件用户群过大，遂漏洞具体细节不便透露。火绒敦促腾讯QQ团队加紧修复，避免问题扩大，如果需要漏洞相关细节，请随时与火绒联系，火绒可向腾讯QQ团队提供详细细节及分析内容。
附：【分析报告】
火绒近日截获，有黑客正在利用QQ升级程序漏洞进行病毒传播。受害终端网络在被恶意劫持的情况下，黑客可以下发任意恶意代码到本地执行，受到该漏洞影响的QQ软件版本包括：TIM、QQ、QQ轻聊版、QQ国际版等。本次漏洞攻击事件中所使用QQ升级逻辑漏洞早在2015就被公开披露过，QQ升级程序也就当时报出的漏洞进行了修补，但升级代码中依然存在逻辑漏洞。
火绒在被劫持现场中发现，QQ升级程序在发送升级请求后，会下载执行名为“txudp.exe”的病毒程序。QQ升级网址被劫持后，下载执行病毒程序。如下图所示：
后门程序和腾讯升级程序进程关系
我们在实验室环境复现了劫持现场，漏洞利用情况如下图所示：
漏洞利用现场
被黑客劫持后，升级相关的网络请求数据，如下图所示：
网络数据
“txudp.exe”程序会向http://updatecenter.qq.com/queryselfupdate（IP”61.129.7.17“，百度检索该IP是上海市深圳市腾讯计算机系统有限公司电信节点）服务器POST数据请求更新，POST的XML数据如下：
请求数据内容
POST的数据没有问题，但是在网络数据中可以看到一个伪造的回应数据包，该回应包数据包含一个二进制头，在二进制头之后依次是：更新的ZIP包下载地址，ZIP包的MD5校验值，ZIP包大小。数据如下：
被劫持后返回的数据
图中URL www.baidu.com/abcload/qq.zip （IP:180.101.49.11）下载的是病毒压缩包“qq.zip”，该压缩包会被下载到用户计算机临时目录，之后解压运行名为“txudp.exe”的病毒程序。
需要说明的是，该URL“www.baidu.com/abcload/qq.zip ”事实上是无效地址，但在被劫持的现场中，对该地址的HTTP GET请求会收到相应的响应包，并且会下载到包含病毒的qq.zip压缩包。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
