报告编号：B6-2021-042301

报告来源：360CERT

报告作者：360CERT

更新日期：2021-04-23

就在漏洞曝出第二天，360安全大脑监就测到有疑似使用该聊天软件漏洞，下发执行剪切板劫持木马的攻击。从文件时间戳(2021-04-18 22:18:55)看，该木马在漏洞曝出后进行编译。执行时持续监控剪贴板数据，替换其中的比特币钱包地址，企图通过这种方式让受害者在不知觉的情况下向木马替换后的钱包地址进行转账。

0x01   攻击过程

攻击者会挑选特定目标用户发起攻击，像这些用户群发钓鱼链接，当有用户不慎在PC端打开时，攻击即被触发。

攻击者利用该漏洞，通过聊天软件进程下发并执行剪贴板木马。攻击发起时的进程树如下图：

0x02   剪贴板木马分析

该木马执行后即开始工作，每隔300毫秒检查一次剪贴板中数据，如果发现内容长度大于25则进行比特币钱包地址的搜索和替换。

搜索比特币地址方式是字符串首字母为’1’、’3’、’b’、’0’的位置。这次所发现的木马对其中3种格式的地址进行替换，包括’1’开头的传统地址、’3’开头的P2SH地址、’0x’开头的以太坊地址。

如果发现粘贴板内容能够匹配上之后，即对内容中的地址字符串进行替换，木马内置了大量钱包地址，从中随机选择。含有传统地址和P2SH地址各25个，以太坊地址15个。（我们在分析中发现，由于木马随机算法问题，三个地址列表中的后2个地址无法被使用到）。

木马内置钱包地址如下

从4月18号初次出现至今，已有大量用户受到该木马影响：

0x03   360安全大脑查杀拦截

360安全大脑建议用户，尽快将聊天软件升级至最新版，解决该漏洞问题。

使用360安全产品的用户也无需担心，360安全卫士已增加对该漏洞攻击的防护，并且早在2018年就已推出区块链防火墙，抵御此类剪贴板木马攻击。

当用户在进行加密货币交易时，开启“区块链防火墙”功能后，如果剪贴板中“银行卡号”被篡改，360安全产品就会弹出警示窗口。360安全大脑建议币圈人士，都安装并开启该功能。

0x04   IOCs

MD5

16529046ab84cf9addb74cfd76dbab89

0x05   产品侧解决方案

360AISA全流量威胁分析系统

针对微软本次安全更新，360AISA已基于流量侧提供对应检测能力更新，请AISA用户联系techsupport@360.cn获取更新，尽快升级检测引擎和规则，做好安全防护工作。

360企业安全浏览器

360企业安全浏览器相比传统浏览器，360企业安全浏览器兼集中管控、企业数据防护、安全大脑赋能、跨平台适配、商用密码算法支持、应用兼容等六大特点。请用户前往360企业安全浏览器获取对应产品。

360城市级网络安全监测服务

360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn)，通过资产测绘技术的方式，对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。

360安全分析响应平台

360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段，对该类漏洞的利用进行实时检测和阻断，请用户联系相关产品区域负责人或(shaoyulong#360.cn)获取对应产品。

360安全卫士

Windows用户可通过360安全卫士实现对应补丁安装、漏洞修复、恶意软件查杀，其他平台的用户可以根据修复建议列表中的安全建议进行安全维护。

360CERT建议广大用户使用360安全卫士定期对设备进行安全检测，以做好资产自查以及防护工作。

360安全卫士团队版

用户可以通过安装360安全卫士并进行全盘杀毒来维护计算机安全。360CERT建议广大用户使用360安全卫士定期对设备进行安全检测，以做好资产自查以及防护工作。

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台，实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测，请及时更新网络神经元（探针）规则和本地安全大脑关联分析规则，做好防护。

360终端安全管理系统

360终端安全管理系统软件是在360安全大脑极智赋能下，以大数据、云计算等新技术为支撑，以可靠服务为保障，集防病毒与终端安全管控功能于一体的企业级安全产品。

360终端安全管理系统已支持对相关漏洞进行检测和修复，建议用户及时更新漏洞库并安装更新相关补丁。

0x06   时间线

2021-04-18 360安全大脑发现威胁

2021-04-23 360CERT发布通告

0x07   特制报告下载链接

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT正式推出安全通告特制版报告，以便用户做资料留存、传阅研究与查询验证。 用户可直接通过以下链接进行特制报告的下载。

若有订阅意向与定制需求请发送邮件至 g-cert-report#360.cn ，并附上您的 公司名、姓名、手机号、地区、邮箱地址。