搜索

[9039] 2015-06-17_躲避杀软小能手：隐藏于图片中的恶意程序Stegoloader

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2015-06-17_躲避杀软小能手：隐藏于图片中的恶意程序Stegoloader 躲 避 杀 软 小 能 手 ： 隐 藏 于 图 片 中 的 恶 意 程 序 S t e g o l o a d e r F r e e B u f   2 0 1 5 - 0 6 - 1 7 微 信 号 ： 微 信 号 ： f r e e b u f 戴 尔 戴 尔 S e c u r e W o r k s 的 安 全 人 员 周 一 披 露 了 一 种 名 为 的 安 全 人 员 周 一 披 露 了 一 种 名 为 S t e g o l o a d e r 的 恶 意 程 序 ， 其 隐 藏 于 图 片 文 件 中 ， 同 时 采 用 多 种 方 法 的 恶 意 程 序 ， 其 隐 藏 于 图 片 文 件 中 ， 同 时 采 用 多 种 方 法 躲 避 杀 毒 软 件 的 躲 避 杀 毒 软 件 的 “ 追 杀 追 杀 ” 。 。 S t e g o l o a d e r 也 叫 W i n 3 2 / G a t a k . D R   及 T S P Y _ G A T A K . G T K ， 它 是 一 款 首 次 于 2 0 1 3 年 被 发 现 的 恶 意 程 序 ， 但 当 时 并 未 引 起 人 们 的 注 意 ， 主 要 是 以 为 它 的 设 计 很 隐 秘 ， 因 此 很 多 反 病 毒 解 决 方 案 并 不 能 检 测 得 到 。 信 息 隐 藏 技 术 是 用 来 在 另 一 信 息 或 者 图 像 文 件 中 隐 藏 信 息 的 一 种 技 术 。 恶 意 程 序 作 者 利 用 它 在 图 像 文 件 中 隐 藏 执 行 代 码 ， 在 一 系 列 的 安 全 检 测 实 施 完 之 后 ， 他 才 会 被 提 取 出 来 并 运 行 。 这 种 隐 藏 技 术 还 被 其 他 的 一 些 恶 意 程 序 家 族 利 用 ， 如 M i n i d u k e   A P T 组 织 、 A u l r e o n 木 马 、 L u r k 下 载 器 。 机 智 的 躲 避 杀 毒 软 件 机 智 的 躲 避 杀 毒 软 件 戴 尔 安 全 研 究 员 指 出 ， S t e g o l o a d e r 攻 击 首 先 会 以 一 个 部 署 模 块 开 始 ， 然 后 再 在 受 感 染 的 设 备 上 下 载 、 发 布 程 序 的 主 模 块 。 躲 避 方 法 躲 避 方 法 1 ： ： 在 部 署 其 他 的 模 块 之 前 ， 该 恶 意 程 序 会 检 查 它 不 是 处 在 （ 杀 毒 软 件 的 ） 调 试 环 境 中 。 例 如 ， 部 署 一 个 模 块 监 视 鼠 标 光 标 的 移 动 情 况 ， 如 果 鼠 标 不 停 的 变 换 位 置 或 者 永 远 不 变 换 位 置 ， 就 说 明 当 前 环 境 有 “ 猫 腻 ” ， 恶 意 程 序 会 立 即 终 止 所 有 恶 意 行 为 。 躲 避 方 法 躲 避 方 法 2 ： ： 部 署 模 块 会 列 出 系 统 当 前 运 行 的 进 程 ， 一 旦 发 现 某 些 安 全 工 具 的 硬 编 码 字 符 ， 如 W i r e s h a r k 、 F i d d l e r ， 它 就 不 会 在 该 系 统 上 运 行 。 如 果 没 有 发 现 任 何 的 安 全 威 胁 ， 它 才 会 与 C & C 服 务 器 连 接 ， 加 密 通 信 ， 下 载 含 有 恶 意 程 序 的 P N G 文 件 。 无 论 是 P N G 图 片 还 是 解 密 后 的 代 码 均 不 会 存 储 在 磁 盘 上 ， 这 样 的 话 传 统 基 于 磁 盘 的 分 析 工 具 就 很 难 发 现 该 恶 意 程 序 。 主 模 块 功 能 主 模 块 功 能
一 旦 主 模 块 成 功 在 内 存 中 占 据 了 一 席 之 地 ， 那 情 况 就 大 不 相 同 了 。 部 署 模 块 就 会 终 止 ， 恶 意 程 序 开 始 与 C & C 服 务 器 通 信 ， 接 受 一 些 指 令 ， 比 如 显 示 系 统 详 细 信 息 、 列 出 被 感 染 系 统 上 安 装 的 程 序 、 发 送 火 狐 、 c h r o m e 、 I E 浏 览 器 的 历 史 记 录 、 执 行 s h e l l 代 码 、 停 止 执 行 程 序 、 休 眠 等 。 如 果 S t e g o l o a d e r 搜 集 到 的 信 息 和 某 些 条 件 匹 配 的 话 ， 网 络 犯 罪 者 就 会 进 一 步 的 配 置 其 他 的 模 块 ， 以 执 行 不 同 的 任 务 ， 如 窃 取 I D A 文 件 、 访 问 最 近 打 开 的 文 件 、 显 示 主 机 的 地 理 位 置 、 释 放 P o n y 密 码 窃 取 程 序 等 。 该 恶 意 程 序 不 是 通 过 钓 鱼 邮 件 方 式 传 播 ， 而 是 通 过 感 染 第 三 方 网 站 上 的 盗 版 软 件 进 行 传 播 ， 一 旦 受 害 者 下 载 了 该 软 件 就 会 被 感 染 。 目 前 发 现 受 害 者 多 为 健 康 中 心 、 教 育 机 构 、 制 造 业 。 戴 尔 的 研 究 人 员 没 有 在 目 标 攻 击 中 发 现 有 使 用 该 恶 意 程 序 的 ， 但 是 他 们 也 没 能 完 全 排 除 这 种 可 能 性 。 扩 展 阅 读 ： 一 张 图 片 黑 掉 你 ： 在 图 片 中 嵌 入 恶 意 程 序 扩 展 阅 读 ： 一 张 图 片 黑 掉 你 ： 在 图 片 中 嵌 入 恶 意 程 序 印 度 N e t - S q u a r e 公 司 C E O 、 网 络 安 全 专 家 S a u m i l   S h a h 最 近 发 现 了 一 种 攻 击 方 式 ： 攻 击 者 可 以 把 恶 意 程 序 写 到 一 张 普 通 的 图 片 文 件 里 ， 人 们 只 要 打 开 看 一 眼 这 张 看 似 普 通 的 图 片 ， 电 脑 就 会 被 黑 。 技 术 原 理 S a u m i l   S h a h 把 这 种 隐 藏 恶 意 程 序 命 名 为 S t e g o s p l o i t 。 *   参 考 来 源 t h r e a t p o s t ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理