关于【如何打击非法的聚合支付】，针对聚合支付商户的定向网络盗刷，今天乾乾小编给您分享一下，如果对您有所帮助别忘了关注本站哦。

经过分析推测该团伙的产业链如下图所示：

该团伙画像如下：

由于在最新版本的样本中在收集系统信息时出现了中文描述信息如：“忙”、“闲”、“显示器”、“数量”、“硬盘”、“内存”等字符，因此推断该团伙成员可能为国内人员。

该团伙至少从2021年8月开始活动，通过发布钓鱼网站针对使用网银支付的用户发起信息窃取和银行卡盗刷攻击。捕获的样本中包含“安全控件”、“公钥”等关键词，最终载荷中包含经过魔改的远控木马如Gh0st、大灰狼等，魔改后的远控木马能够窃取受害者的敏感信息，在受害者不知情的情况下盗刷银行卡。

该团伙通过一定的手段，引诱受害者点击伪造的“支付平台”等具有迷惑性的网站，通过层层诱导下载包装为控件、密钥等程序的恶意木马。

目前我们观察到至少8类伪装为支付页面的站点，包括“易联支付”、“敏付”、“杉德支付”、“农银汇理基金”、“中睿合银”、“盛付通”、“聚合支付”等。其中3类示例如下：

01第一类钓鱼站点

该类钓鱼网站通过伪造“敏付”支付页面，以“1分钱体验”为主题诱导用户进行支付。

点击移动端支付时会跳出提示，让用户只能点击PC端支付。

点击PC端支付后会让用户选择银行和卡类型。

点击支付后会跳转到伪造的下载安全控件的页面。

点击后会下载包含恶意软件的压缩包。

02第二类钓鱼站点

该类网站伪造了“易联支付”DNA手机支付页面，进入网站后显示的是登录界面，诱导输入用户名和密码进行登录。

登录后的页面制作粗糙，甚至网页代码的模板都没有进行替换。

页面提示用户进行验卡，但是无论是否填写信息，都会跳出提示点击指定链接。

点击链接将下载包含恶意软件的压缩包。

03第三类钓鱼站点

该类网站伪造了杉德支付平台。

同时，在安恒威胁分析平台中发现一个样本攻击手法与该团伙攻击手法完全吻合，并且文件名为“杉德公钥.rar”， 目前该钓鱼网站已关闭。

该团伙使用的木马程序经过多个版本的迭代，投递过程到最终载荷落地分为多个阶段，最终载荷为老牌远控程序进行魔改，版本越新越轻量化，通过插件化形式实现一些特定功能。经统计发现从2021年8月至2022年1月出现的样本的最终载荷为最初的版本（也可能有更早的版本，这里设定为新控第一代版本），从2022年2月至2022年4月的最终载荷为第二代版本，从2022年5月至今的最终载荷为第三代版本。

样本大致攻击流程图如下图所示：该团伙通过钓鱼网站诱导用户下载恶意软件，软件执行后通过回连C2服务器下载一个压缩包*.zip（*表示任意字母或数字）和一个解压软件8z.exe，通过创建的lnk文件运行8z.exe解压*.zip，压缩包中共包含4个文件，最终会将svchost.txt中包含的最终载荷加载至内存并执行。

统计的样本中还发现部分样本文件信息伪装成其他软件如qq音乐、360浏览器、skype、酷狗音乐等，说明该团伙的投递样本可能不仅限于支付页面的钓鱼网站。从时间上来看，该团伙每隔一小段时间就会更换载荷分发服务器的ip网段，每隔一大段时间就会更换载荷分发服务器的ip。

此外，以地址“hxxp://118.99.36[.]1:280/*.zip?=0”为例，对全部可能的地址进行遍历请求，发现其响应的的最终载荷回连了不同命令分发服务器，足以见得该团伙的基础设施实力不容小觑。该行为可能由于该团伙考虑到被害主机的规模，均衡各个命令分发服务器的负载。

01版本一

最初版本的最终载荷基于Gh0st远程控制软件进行魔改，通过接收服务器的命令实现不同的功能。

部分命令功能尚不明确，已知的功能包括如下：

02版本二

第二代版本的最终载荷中集成了“大灰狼”远程控制木马的插件，包含命令控制模块如下：

部分命令功能尚不明确，已知的功能包括如下：

03ATT&CK

第三代版本的最终载荷中出现的大量的汉字用于描述收集的系统信息和命令执行结果，说明攻击者极有可能来自国内。命令控制模块中减少了可选的命令，但包含加载插件的功能。

已知的功能包括如下：

此外，在第三代版本的最终载荷与命令控制服务器建立连接后每10秒判断一次系统忙闲状态并发送至服务器，如果系统挂机时长超过3分钟，则转为“闲”状态。

通过这种忙闲状态判断能够让攻击者知道用户是否在操作主机，以便能够在主机空闲时悄悄操控主机，避开用户使用阶段。

该团伙在半年多的活动时间里，攻击手法始终变化不大，都是通过回连载荷分发服务器获取包含最终载荷的压缩包和解压软件，并通过“白加黑”的加载方式将最终载荷注入到内存中，躲避反病毒软件的检测。经过关联分析发现了该团伙掌握着大量的ip和域名，足以见得该团伙规模，而经过溯源发现的以支付页面为主题的钓鱼网站很有可能只是“冰山一角”。

目前安全数据部已具备相关威胁检测能力，对应产品已完成IoC情报的集成：

●安恒产品已集成能力：

针对该事件中的最新IoC情报，以下产品的版本可自动完成更新，若无法自动更新则请联系技术人员手动更新：

（1）AiLPHA分析平台V5.0.0及以上版本

（2）AiNTA设备V1.2.2及以上版本

（3）AXDR平台V2.0.3及以上版本

（4）APT设备V2.0.67及以上版本

（5）EDR产品V2.0.17及以上版本

● 安恒云沙盒已集成了该事件中的样本特征：

用户可通过云沙盒，对可疑文件进行免费分析，并下载分析报告

安恒安全数据部，下设猎影实验室、零壹实验室、析安实验室和回声实验室，团队以数据分析与技术研究为核心，致力于数据驱动安全创造用户价值。

本文关键词：打击非法支付活动，聚合支付风险防范措施，何为非法聚集，关于开展违规聚合支付清理整治工作的通知，合法聚集和非法聚集。这就是关于《如何打击非法的聚合支付，针对聚合支付商户的定向网络盗刷》的所有内容，希望对您能有所帮助！更多的知识请继续关注《犇涌向乾》百科知识网站：http://www.029ztxx.com！