暗夜小偷：Redline Stealer 木马盗币分析

Original 慢雾安全团队慢雾科技

By：爱上平顶山 & 耀

近日，据慢雾区情报反馈，有不少朋友遭遇钓鱼木马，已经导致数百万美金的损失。

据我们了解，这种攻击主要是通过 Discord 邀请用户参与新的游戏项目内测，打着“给予优惠”等幌子，或是通过群内私聊等方式发一个程序让你下载，一般是发送压缩包，解压出来是一个大概 800 M 左右的 exe 文件，一旦你在电脑上运行，它会扫描你电脑上的文件，然后过滤包含 Wallet 等关键词的文件上传到攻击者服务器，达到盗取加密货币的目的。

时间线

最早这类骗局出现在 2022 年 8 月 1 日，以 WinSomeNft 的项目名称出现：

2022 年 8 月 1 日，以 CthulhuWorldP2E 的项目名称出现：

(https://twitter.com/Estetshcrypto/status/1561290861652082689)

2022 年 8 月 30 日，再次出现：

(https://twitter.com/NiqisLucky/status/1564315179466166272)

然后再次以 idlemaster3d 项目名称出现：

官网：https://idlemaster3d.com

DC：https://discord.gg/KFyqCdRRst

DC 看起来似乎正常，但怀疑他们是直接 Fork 真 DC 消息过来，以假乱真，里面大量机器人。

目前该项目改名为 Yoyo Game Ltd（https://twitter.com/YoyoGame_RPG）继续诈骗。

分析

推特用户 @BoxMrChen 遇到的情况：

(https://twitter.com/BoxMrChen/status/1566053823281410050)

他遇到的木马名称是：Master3DRPG_v3.5.3.zip，我们以此木马文件为例分析：

解压后的文件：Master3DRPG_v3.5.3.exe，大小 749.7 M。正常木马文件不会这么大，所以我们用文本编辑器打开看下：

填充大量 0000 空文件，导致木马文件巨大，这样可以逃避杀毒软件查杀。

（注：正常在线杀软分析大小 50 M， PC 端杀毒软件能分析的文件大小大概 500 M 左右）

我们直接批量删除所有的 0000 文件，整理出一个 300 KB 左右的真实木马文件：

虚拟机运行，简单抓个包、监控下进程，看看行为：

扫描 Wallet 钱包相关信息，并上传到远程 C2 服务器。

发现它以伪装成 Flash Player 更新包程序方式进行控制：

我们再使用微步在线分析，在 Win7 64 bit 分析网络行为：

该 IP 77.73.134.5 近期关联多个恶意样本，都是针对加密圈用户钓鱼：

当时诈骗人员创建 24 个推特账户（包括主账户）进行诈骗推广。

我们再看下木马信息：是 RedLine Stealer 家族木马

(https://bazaar.abuse.ch/sample/0cf542852fcec699b8c6be230e5b38daa7380479cace60f2a6d3a3fcd357b718/)

RedLine Stealer 家族木马是什么？

RedLine Stealer 是一种恶意木马软件，2020 年 3 月被发现，在地下论坛上单独出售。该恶意软件从浏览器中收集保存的凭据、自动完成数据和信用卡等信息。在目标机器上运行时，会搜集如用户名、位置数据、硬件配置和已安装的安全软件等详细信息。新版本的 RedLine 增加了窃取加密货币的能力，能够自动扫描本地计算机已安装的数字货币钱包信息，并上传到远端控制机。该恶意软件具有上传和下载文件、执行命令以及定期发回有关受感染计算机的信息的能力。

(https://malpedia.caad.fkie.fraunhofer.de/details/win.redline_stealer)

从下图可以看到，针对加密货币钱包目录、钱包文件进行扫描，目标很明确。

我们看下他们的官方发布功能：非常齐全的功能，而且价格便宜。

服务也 SaaS 化：

选择产品：

展示每款产品的价格：

准备付款：

同意相关协议、付款：

典型的俄语生态木马：

我们可以看到还有针对 MetaMask、Wallet 等信息。

窃取程序针对以下钱包和浏览器扩展进行攻击：MetaMask, YoroiWallet, TronLink, NiftyWallet, MathWallet, Coinbase, BinanceChain, BraveWallet, GuardaWallet, EqualWallet, JaxxxLiberty, BitAppWallet, iWallet, Wombat, AtomicWallet, MewCx, GuildWallet, SaturnWallet, RoninWallet。

总结

随着 Web3 兴起，加密货币越来越流行，传统的黑客组织、独狼黑客也瞄准了加密货币行业，他们针对加密货币钱包发起攻击，像 Redline 这样的恶意软件，可以以每月 100 美元的价格轻松提供给犯罪分子，这对加密货币用户产生巨大的威胁。

慢雾在此建议行业从业人员随时关注国内外安全公司安全情报，做好自我排查，提高警惕，运行可执行程序之前，做好必要的安全检查。建议 Windows、Mac 电脑用户务必安装杀毒软件，如卡巴斯基、AVG、360 等，保持安全软件实时防护开启，并随时更新最新病毒库。

在区块链黑暗世界，时刻保持警惕，切勿贪婪捡便宜，个人安全意识永远是安全的第一道防线。

技术扩展阅读：

https://securityscorecard.com/research/detailed-analysis-redline-stealer

https://cyberint.com/blog/research/redline-stealer/

https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md

往期回顾

“零元购” NFT 钓鱼分析

引介｜EVM 深入探讨-Part 1

Celer Network cBridge 跨链桥事故真相：BGP 劫持