deepseek钓鱼攻击逆向工程：从恶意广告到BrowserVenom内存驻留

/ DeepSeek App / 作者： /

 一、攻击基础设施溯源（含独家数据）

黑客团伙基础设施布局：

类型域名/IP用途归属地
钓鱼入口deepseek-platform[.]com谷歌广告投放俄罗斯
载荷分发r1deepseek-ai[.]com托管AI_Launcher_1.21.exe巴拿马
C2服务器141.105.130[.]106:37121流量代理&数据窃取荷兰
技术关联：代码中出现俄语注释 // проверка капчи（验证码检查），与TA505团伙手法高度重合。

💻 二、BrowserVenom深度逆向分析

  1. 代理劫持模块工作流程图表代码渲染失败
  2. 证书注入技术细节硬编码证书特征：
    • Issuer: C=RU, O=BrowserVenom, CN=Proxy CA
    • SHA1 Thumbprint: a3d4e8...
      该证书使攻击者能对HTTPS流量进行中间人解密，窃取：
    • 邮箱/社交账号登录凭证
    • 加密货币交易所会话Cookie
    • deepseek官网账户token
  3. 对抗分析技术csharp// 检测虚拟机环境（摘录自样本） bool IsSandboxed() { if (Registry.GetValue(@”HKEY_LOCAL_MACHINE\HARDWARE\ACPI\DSDT”, “VBOX__”, null) != null) return true; //检测VirtualBox if (Environment.GetEnvironmentVariable(“SBOX_”) != null) return true; //检测Windows Sandbox return false; }

📊 三、影响范围量化评估

数据窃取能力矩阵：

数据类型获取方式风险等级
浏览器历史代理日志全记录⭐⭐⭐⭐⭐
账号密码HTTPS中间人解密⭐⭐⭐⭐⭐
deepseek API密钥嗅探api.deepseek.com请求⭐⭐⭐⭐
企业损失案例：
  • 墨西哥某银行员工中招，导致内部风控系统账号泄露
  • 印度开发者deepseek API密钥被盗，算力资源遭恶意挖矿

🛡️ 四、高级威胁狩猎方案

  1. 网络层检测规则（Suricata）json{ “action”: “drop”, “src_ip”: “any”, “dest_ip”: “141.105.130.106”, “msg”: “Block BrowserVenom C2 Traffic” }
  2. 内存取证指南使用Volatility检测BrowserVenom进程：bashvolatility -f memory.dump pslist | grep -i “chrome.exe\|msedge.exe” # 检查异常启动参数：–proxy-server=141.105.130.106:37121
  3. 证书黑名单操作powershell# 一键清除恶意证书 Get-ChildItem -Path Cert:\LocalMachine\Root | Where-Object { $_.Thumbprint -eq “A3D4E8…” } | Remove-Item -Force

🌐 五、deepseek官方响应与生态防护建议

官方行动：

  • 已向Google提交22个恶意广告删除请求
  • 联合ICANN冻结8个仿冒域名

开发者防护SDK提案：

python

# deepseek客户端安全校验模块（示例）
def verify_installer(file_path):
    official_hash = "9a2f4b..."
    if sha256(file_path) != official_hash:
        raise SecurityAlert("文件哈希不匹配！可能被篡改")

Related Posts