热门在线游戏帐户 遭木马工具组锁定

　　时下网络犯罪分子们在运作时所使用的工具，包含Twitter推特的垃圾讯息(Twitter spam)和傀儡僵尸网络工具(利用 Twitter 讯息下达指令的恶意程序)，假POS销售点工具(fake point-of-sale (POS) devices)，及DDoS分散式服务阻断型攻击工具(黑客在Youtube 上卖DDoS 工具，售价15美金)。现在要和大家分享另一款特别会影响到中文在线游戏玩家的工具。

　　中国拥有庞大的在线游戏人口。一份最近发表的研究(a recently published study)声称，中国在2009年共有6千8百万名的游戏玩家，此人口数预期将在2014年增加到1亿4千1百万人。

　　而随着游戏产业的持续发展，网络犯罪分子也从中取得良机，通过贩卖从偷盗来的游戏帐户中所抽取出的虚拟资产来赚取暴利。

　　就如同先前所说的不同的工具一样，网络犯罪分子也运用的Trojan木马产生器，窃取线上游戏帐户。 “响尾马”(Xian Wei Ma 或 XWM，中文意思为“响着尾巴的Trojan木马”)是一套热门的中文Trojan木马工具组。XWM工具组的主要特色是，它不只是Trojan木马的产生器，同时更是后台服务器，可用来接收或整理窃得的资料，让犯罪分子的运作更加便利。

　　XWM工具组包括21个Trojan木马产生器，可针对国内不同的热门线上游戏，多数皆为当地的游戏(见图1)。

　　图1、攻击目标游戏之标示图

　　这些产生器在产生新的Trojan木马前需要进行部分的设定。使用者需要输入后台服务器的URL才能从Trojan木马接收偷盗来的资料。

　　图2、输入可传送窃得资料之URL的操控台

　　被受害人系统上执行时，所产生的Trojan木马会投掷下列的档案：

　　%system32%\{4个随机字母}.dll

　　%system32%\{4个随机字母}.cfg

　　%system32%\drivers\msacpe.sys

　　.DLL档案程序是安置在系统的内存中，用来偷盗帐户资料及将资料传送回给使用以下字串做为URL参数的后台服务器：

　　?a=%s&s=%s&u=%s&p=%sr=%s[%s]&l=%d&m=%d&pin=%s

　　上述的参数有8种变化，用来传送窃得的资料回后台服务器。参数的变化定义如下：

　　‘a’ — 线上游戏服务器区域

　　‘s’ — 服务器名称

　　‘u’ — 使用者名称

　　‘p’ — 密码

　　‘r’ — 角色

　　‘l’ — 层级

　　‘m’ — 虚拟货币

　　‘pin’ — PIN个人辨识码

　　偷盗得的资料接着被传送到后台服务器的URL中，URL是包含在 .CFG档案程序中。网络犯罪分子跟着通过特别设计的主网页，来进入存储了所有偷盗资料的后台服务器。

　　贩卖这套工具的网络犯罪分子甚至还提供了示范页面，其中展示了一份应该是偷盗得的资料列表，以显示该套工具的性能。

　　图3、工具组示范页面

　　其中的危险不只是在此套工具有能力挑起攻击，同时更在于其容易取得的程度。愈多的人使用此套工具组，就有更多的人会受害。因此也就会有更多的网络犯罪分子受到鼓励来进行他们的运作。这再一次证明科技能为我们让许多事变得更便利，也很不幸的是，对网络犯罪分子们来说也是如此。