搜索

[14657] 2019-10-03_Adwind家族恶意软件

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-10-03_Adwind家族恶意软件 A d w i n d 家 族 恶 意 软 件 K r i s t o n   F r e e B u f   2 0 1 9 - 1 0 - 0 3 2 0 1 2 年 初 ， 开 发 人 员 开 始 销 售 年 初 ， 开 发 人 员 开 始 销 售 A d w i n d 家 族 的 第 一 个 基 于 家 族 的 第 一 个 基 于 J a v a 的 远 程 访 问 工 具 （ 的 远 程 访 问 工 具 （ R A T ） ， 称 为 ） ， 称 为 “ F r u t a s ” 。 在 随 后 。 在 随 后 的 几 年 里 它 被 改 写 了 至 少 七 次 。 它 的 其 他 名 字 包 括 的 几 年 里 它 被 改 写 了 至 少 七 次 。 它 的 其 他 名 字 包 括 a d w i n d 、 、 u n r e c o m 、 、 a l i e n   s p y 、 、 j s o c k e t 、 、 j b i f r o s t 、 、 u n k n o w n r a t 和 和 j c o n n e c t p r o 。 。 A d w i n d 在 野 外 仍 然 很 普 遍 。 A d w i n d 迭 代 中 收 集 了 超 过 4 5 0 0 0 个 样 本 。 自 2 0 1 7 年 以 来 ， 已 经 观 察 到 这 些 样 本 超 过 2 0 0 万 次 攻 击 。 A d w i n d   R A T 诞 生 诞 生 2 0 1 2 年 1 月 1 1 日 ， 西 班 牙 语 i n d e t e c t a b l e s 网 络 论 坛 用 户 “ a d w i n d ” 发 布 了 关 于 “ f r u t a s   r a t ” 项 目 的 帖 子 ， 如 图 1 和 图 2 所 示 。 到 2 0 1 2 年 发 布 了 几 个 f r u t a s 的 更 新 。 到 2 0 1 2 年 1 2 月 ， A d w i n d 将 免 费 F r u t a s 更 名 为 付 费 “ A d w i n d   R A T ” 。 A d w i n d 重 塑 重 塑 从 2 0 1 3 年 初 起 ， 改 名 的 A d w i n d   R a t 在 A d w i n d [ . ] c o m [ . ] M X 出 售 ， 如 下 图 3 和 4 所 示 。
2 0 1 3 年 1 0 月 5 日 ， A d w i n d 发 布 了 “ v 3 . 0 ” ， 并 声 称 他 将 把 它 交 给 “ 其 他 人 ” 进 行 维 护 ， 如 图 5 所 示 。 一 些 研 究 者 声 称 J R A T 和 A d w i n d 鼠 家 族 有 亲 缘 关 系 。 虽 然 J R A T 是 J a v a   R A T ， 我 们 已 经 确 定 它 是 完 全 不 同 的 ， 并 且 是 由 不 同 的 作 者 编 写 的 。 那 么 ， 为 什 么 要 重 塑 ？ 尽 管 我 们 怀 疑 在 这 个 r a t 家 族 的 后 期 迭 代 中 更 名 的 其 他 原 因 ， 但 至 少 在 本 例 中 ， a d w i n d 的 作 者 试 图 将 他 的 身 份 与 恶 意 软 件 的 开 发 和 销 售 隔 离 开 来 。 U n R e C o M   R a t 在 A d w i n d 于 2 0 1 3 年 1 0 月 1 2 日 发 布 “ 所 有 权 变 更 ” 公 告 一 周 后 ， 注 册 了 U n r e c o m [ . ] N e t 域 名 。 该 网 站 出 售 下 一 代 A d w i n d 家 族 品 牌 “ U n r e m c o m   R A T 。 图 6 显 示 了 美 国 、 西 班 牙 和 墨 西 哥 受 害 者 的 联 系 。
该 站 提 供 每 月 订 阅 ， 并 且 能 够 直 接 购 买 软 件 ， 如 图 7 所 示 。 一 些 研 究 人 员 认 为 这 是 一 种 “ 恶 意 软 件 即 服 务 ” （ m a a s ） 模 式 。 A l i e n   S p y A l i e n s p y [ . ] N e t 于 2 0 1 4 年 6 月 7 日 注 册 。 这 次 改 名 的 原 因 不 得 而 知 。 这 可 能 是 作 者 故 意 想 躲 避 未 完 成 的 购 买 / 订 阅 ， 创 建 了 一 个 “ 新 ” 的 软 件 来 代 替 购 买 。 也 可 能 是 为 了 避 免 声 誉 问 题 — — 关 于 A d w i n d 家 族 的 投 诉 在 论 坛 上 很 常 见 ： 该 网 站 展 示 了 一 份 客 户 推 荐 信 ， 它 掩 盖 了 将 该 软 件 用 作 合 法 管 理 工 具 的 说 法 ， 如 下 图 8 所 示 。
2 0 1 5 年 4 月 F i d e l i s 发 布 A l i e n   S p y 研 究 报 告 。 月 底 ， 下 一 个 A d w i n d 家 族 更 名 的 域 名 已 经 注 册 ， 注 册 商 已 经 暂 停 A l i e n s p y [ . ] n e t 。 这 些 品 牌 之 间 的 连 续 性 在 A l i e n   S p y 的 S k y p e 配 置 文 件 中 很 明 显 ， 如 图 9 所 示 。 J S O C K 域 名 j s o c k e t [ . ] o r g 于 2 0 1 5 年 4 月 2 0 日 注 册 ， 注 册 时 间 为 f i d e l i s 报 告 发 布 后 1 2 天 。 截 至 2 0 1 9 年 8 月 ， 该 域 名 仍 在 注 册 中 ， 不 过 自 2 0 1 6 年 初 以 来 ， 该 域 名 尚 未 有 活 动 。 图 1 0 显 示 了 这 个 站 点 与 其 前 一 个 站 点 之 间 的 一 些 明 显 的 相 似 之 处 。
2 0 1 6 年 2 月 ， A d w i n d 作 者 被 捕 的 谣 言 在 论 坛 上 流 传 。 2 0 1 6 年 2 月 8 日 ， 卡 巴 斯 基 发 表 了 一 份 关 于 j s o c k e t 的 报 告 。 J B i f r o s t A d w i n d 再 次 对 2 0 1 6 年 2 月 8 日 发 表 的 卡 巴 斯 基 研 究 报 告 作 出 迅 速 回 应 。 一 个 新 的 域 名 j b i f r o s t [ . ] c o m 在 两 天 后 即 2 月 1 0 日 注 册 。 这 个 网 站 放 弃 了 公 共 广 告 ， 转 而 支 持 一 个 只 有 会 员 的 私 人 网 站 ， 包 括 论 坛 、 销 售 和 聊 天 。 据 报 道 ， 该 网 站 于 2 0 1 6 年 6 月 底 被 暂 停 ， F o r t i n e t 于 2 0 1 6 年 8 月 1 6 日 发 布 了 对 j b i f r o s t 的 研 究 。 U n k n o w ( n )   R A T 在 j b i f r o s t [ . ] 网 站 暂 停 运 营 后 ， A d w i n d 花 了 更 长 的 时 间 重 新 建 立 自 己 的 网 站 。 U n k n o w s o f t [ . ] c o m 于 2 0 1 6 年 8 月 2 日 注 册 ， 同 样 ， 这 个 网 站 支 持 私 人 会 员 。
图 1 2 所 示 的 用 于 重 新 命 名 的 徽 标 与 图 1 1 所 示 的 j b i f r o s t 的 徽 标 基 本 上 没 有 变 化 。 J C O N T L P R O a d w i n d 家 族 最 后 一 个 已 知 的 网 站 j c o n n e c t p r o [ . ] i n f o 于 2 0 1 6 年 1 2 月 1 0 日 注 册 。 该 站 点 有 助 于 记 录 恶 意 软 件 家 族 的 联 系 和 演 变 ， 如 图 1 3 所 示 。 “ a l i n e s p y > > j s o c k e t > > j b i f r o s t > > u n k o n w n > > j c o n n e c t p r o ” 图 1 3 所 示 的 j c o n n e c t   p r o 位 点 与 图 1 4 所 示 的 先 前 U n k n o w s o f t 具 有 明 显 的 相 似 性 。 该 网 站 于 2 0 1 7 年 4 月 初 被 I S P 暂 停 。
有 可 能 j c o n n e c t p r o [ . ] 信 息 不 是 由 a d w i n d 维 护 ， 只 是 一 个 冒 名 顶 替 者 在 出 售 破 解 版 的 U n k n o w s o f t 。 在 I S P 暂 停 之 前 ， U n k n o w s o f t [ . ] c o m 发 布 了 一 条 公 告 ， 称 他 们 没 有 接 纳 任 何 新 客 户 。 加 密 服 务 加 密 服 务 在 U n k n o w n s o f t [ . ] c o m 和 J C o n n e c t P r o [ . ] i n f o 被 删 除 后 ， A d w i n d 的 踪 迹 无 从 得 知 。 虽 然 无 法 找 到 A d w i n d   R A T 的 一 个 新 的 变 种 ， 但 找 到 了 一 个 J a v a   R A T 特 有 的 加 密 服 务 。 恶 意 软 件 运 营 商 使 用 一 种 称 为 “ c r y p t i n g ” 的 技 术 来 避 免 基 于 签 名 的 防 病 毒 检 测 。 该 技 术 将 修 改 恶 意 软 件 二 进 制 文 件 ， 使 其 具 有 新 的 、 唯 一 的 哈 希 值 ， 而 不 改 变 其 功 能 。 这 种 加 密 服 务 采 用 了 U n k n o w n R a t 的 名 字 — — U n k n o w n C r y p t e r （ U n k n o w n C r y p t e r [ . ] c o ） （ 图 1 5 ） 。
经 过 论 证 ， 这 不 是 由 a d w i n d 研 发 的 新 的 变 种 ， 该 加 密 服 务 研 发 者 最 近 推 出 了 基 于 j a v a s c r i p t 的 r a t ， 称 为 “ w s h   r a t ” ， 它 的 代 码 库 非 常 不 同 ， 并 不 是 a d w i n d 的 r a t 的 新 变 种 。 破 解 版 破 解 版 尽 管 A d w i n d 显 然 不 再 在 网 上 或 论 坛 上 出 售 a d w i n d   r a t ， A d w i n d 家 族 恶 意 软 件 的 破 解 版 本 已 经 流 传 了 好 几 年 ， 一 直 到 图 1 6 所 示 的 U n k n o w   r a n t 的 破 解 版 本 。
首 次 观 察 到 A d w i n d 家 族 的 样 本 在 2 0 1 6 年 1 2 月 5 日 将 B u l l g u a r d 二 进 制 文 件 “ l i t t l e h o o k . e x e ” 的 注 册 表 项 添 加 到 反 恶 意 软 件 中 。 这 与 J C o n n e c t P r o 更 名 密 切 相 关 ， 该 域 名 仅 在 5 天 后 注 册 。 自 2 0 1 6 年 1 2 月 以 来 ， 我 们 收 集 了 1 4 0 0 0 个 样 本 。 早 期 A d w i n d 家 族 r a t 破 解 版 本 似 乎 是 其 他 r a t 的 两 倍 。 在 同 一 时 期 ， 我 们 发 现 了 近 3 0 0 0 0 个 A d w i n d 样 本 。 深 入 分 析 深 入 分 析 我 们 分 析 了 A d w i n d 不 同 R A T 中 的 基 础 架 构 ， 发 现 他 的 操 作 安 全 性 （ O p S e c ） 非 常 好 。 域 名 注 册 商 和 托 管 服 务 明 显 发 生 了 改 变 ， 基 础 架 构 未 被 重 用 。 没 有 发 现 与 其 他 可 能 暗 示 A d w i n d 身 份 活 动 的 联 系 。 在 分 析 了 成 千 上 万 的 基 础 架 构 之 后 ， 这 种 持 续 良 好 的 o p s e c 是 罕 见 的 。 A d w i n d 不 仅 试 图 隐 藏 自 己 的 身 份 ， 为 了 与 名 声 不 佳 的 问 题 保 持 距 离 ， 他 还 试 图 更 换 所 有 权 。 尽 管 改 名 了 ， 本 身 并 没 有 明 显 的 变 化 ， 只 是 增 加 了 一 些 新 功 能 。 下 图 为 该 家 族 演 化 时 间 线 。 背 后 黑 手 背 后 黑 手 如 前 所 述 ， A d w i n d 拥 有 非 常 好 的 O p s e c ， 最 初 ， 通 过 他 的 基 础 架 构 确 定 他 身 份 是 不 可 能 的 。 最 初 销 售 A d w i n d 的 网 站 是 A d w i n d [ . ] c o m [ . ] M X ， Y o u T u b e 上 的 一 些 视 频 和 截 图 显 示 ， 墨 西 哥 主 机 占 据 了 主 导 地 位 （ 图 1 8 ） 。 电 子 邮 件 地 址 a d w i n d [ a t ] l i v e . c o m 位 于 f r u t a s 字 符 串 中 （ 图 1 9 ） ， 并 在 一 个 推 广 a d w i n d   1 . 0 的 Y o u T u b e 视 频 中 被 引 用 。
此 电 子 邮 件 地 址 与 S k y p e 配 置 文 件 “ A d w i n d A n d r e s ” （ 图 2 0 ） 关 联 ， 其 中 包 括 A d w i n d 徽 标 。 s k y p e 的 个 人 资 料 也 被 h a c k f o r u m s [ . ] n e t 用 来 销 售 早 期 版 本 的 a d w i n d   r a t 。 这 也 是 原 始 A d w i n d 网 站 上 列 出 的 S k y p e （ 图 3 和 图 2 1 ） 。 同 样 的 电 子 邮 件 地 址 也 可 以 在 学 术 论 文 中 找 到 ， 与 s k y p e 中 提 到 的 “ a n d r e s ” 同 名 ： “ C .   M .   A n d r é s   i s   a   s t u d e n t   f r o m   J █ █ █ █ █   A u t o n o m o u s   U n i v e r s i t y   o f   T █ █ █ █ █ █   i n   M e x i c o   i n   t h e   l a s t s e m e s t e r   o f   t h e   d e g r e e   i n   c o m p u t e r   s y s t e m s ;   ( e m a i l :   a d w i n d   [ a t ] l i v e . c o m ) . ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理