设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [9317] 2015-09-07_“短信拦截马”黑色产业链与溯源取证 ...
返回列表 发新帖
查看: 0|回复: 0

[9317] 2015-09-07_“短信拦截马”黑色产业链与溯源取证研究

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 6 天前 | 显示全部楼层 |阅读模式
2015-09-07_“短信拦截马”黑色产业链与溯源取证研究 “ 短 信 拦 截 马 ” 黑 色 产 业 链 与 溯 源 取 证 研 究 F r e e B u f   2 0 1 5 - 0 9 - 0 7 “ 短 信 拦 截 短 信 拦 截 ” 木 马 作 为 安 卓 手 机 病 毒 中 的 一 类 常 见 样 本 ， 近 两 年 来 显 现 出 爆 发 增 长 的 趋 势 ， 其 背 后 的 黑 色 产 业 链 也 日 木 马 作 为 安 卓 手 机 病 毒 中 的 一 类 常 见 样 本 ， 近 两 年 来 显 现 出 爆 发 增 长 的 趋 势 ， 其 背 后 的 黑 色 产 业 链 也 日 益 发 展 壮 大 ， 益 发 展 壮 大 ， “ 短 信 拦 截 马 短 信 拦 截 马 ” 的 日 趋 泛 滥 已 经 成 为 移 动 支 付 、 网 银 财 产 等 各 环 节 的 焦 点 安 全 问 题 。 的 日 趋 泛 滥 已 经 成 为 移 动 支 付 、 网 银 财 产 等 各 环 节 的 焦 点 安 全 问 题 。 “ 短 信 拦 截 马 ” 导 致 网 银 资 金 被 盗 的 新 闻 屡 见 报 端 ， 作 为 一 个 安 全 厂 商 我 们 对 受 害 用 户 的 遭 遇 也 深 感 痛 心 ， 这 也 推 动 我 们 在 查 杀 对 抗 “ 短 信 拦 截 马 ” 的 工 作 中 投 入 更 多 的 努 力 。 在 安 全 对 抗 过 程 中 我 们 对 “ 短 信 拦 截 马 ” 黑 产 的 运 作 有 了 一 些 了 解 ， 在 针 对 黑 产 团 伙 进 行 追 踪 取 证 方 面 也 做 出 了 一 些 尝 试 ， 下 面 把 在 我 们 这 个 过 程 中 产 生 的 一 些 经 验 和 思 考 做 一 个 分 享 ， 希 望 可 以 让 用 户 能 够 更 多 地 了 解 和 规 避 此 类 安 全 风 险 ， 也 希 望 安 全 圈 内 有 更 多 的 目 光 可 以 关 注 到 这 个 问 题 。 典 型 样 本 分 析 典 型 样 本 分 析 典 型 的 “ 短 信 拦 截 马 ” 从 技 术 原 理 和 实 现 上 看 并 不 复 杂 ， 大 多 通 过 注 册 短 信 广 播 （ B r o a d c a s t R e c e i v e r ） 或 者 观 察 模 式 （ C o n t e n e t O b s e r v e r ） 监 控 手 机 短 信 的 收 发 过 程 ， 当 然 也 出 现 一 些 功 能 更 全 面 强 大 的 远 控 类 手 机 木 马 ， 短 信 拦 截 只 中 的 一 项 功 能 。 网 上 类 似 的 短 信 拦 截 源 码 也 非 常 多 ， 了 解 过 安 卓 开 发 的 都 可 以 很 快 编 写 出 一 个 “ 短 信 拦 截 马 ” ， 这 也 是 “ 短 信 拦 截 马 ” 变 种 速 度 快 、 传 播 泛 滥 的 一 个 重 要 原 因 。 在 我 们 近 期 的 云 端 监 控 中 有 一 类 “ 短 信 拦 截 马 ” 变 种 非 常 活 跃 ， 占 据 总 体 样 本 量 的 1 5 % 左 右 。 该 样 本 使 用 “ s t a l k e r ” 作 为 配 置 信 息 的 加 密 密 钥 ， 所 以 我 们 将 其 命 名 为 “ 潜 行 者 ” ， 下 面 我 们 就 以 它 为 例 对 典 型 “ 短 信 拦 截 马 ” 进 行 简 单 的 技 术 分 析 。
从 上 图 可 以 看 出 一 个 从 上 图 可 以 看 出 一 个 “ 短 信 拦 截 马 短 信 拦 截 马 ” 的 典 型 功 能 结 构 ， 在 我 们 对 的 典 型 功 能 结 构 ， 在 我 们 对 “ 潜 行 者 潜 行 者 ” 样 本 的 分 析 过 程 中 也 发 现 一 些 比 较 有 意 思 的 样 本 的 分 析 过 程 中 也 发 现 一 些 比 较 有 意 思 的 细 节 ， 如 下 ： 细 节 ， 如 下 ： 1 ） 出 于 兼 容 性 考 虑 ， 木 马 同 时 使 用 了 “ 广 播 机 制 ” 和 “ 观 察 者 模 式 ” 两 种 方 法 进 行 短 信 拦 截 。 从 木 马 启 动 的 时 候 检 查 授 权 时 间 也 可 以 看 出 这 个 变 种 是 由 木 马 作 者 开 发 以 后 进 行 外 部 出 售 的 。 2 ） 木 马 在 向 控 制 手 机 回 传 部 分 短 信 时 对 敏 感 关 键 词 进 行 了 过 滤 替 换 ， 防 止 手 机 安 全 软 件 进 行 监 控 拦 截 。
黑 色 产 业 链 结 构 黑 色 产 业 链 结 构 如 下 图 所 示 ， “ 拦 截 马 ” 黑 色 产 业 链 条 从 整 体 分 工 层 次 上 看 相 对 比 较 清 晰 ， 木 马 作 者 、 分 发 传 播 、 出 料 、 洗 拦 截 料 、 转 账 洗 钱 构 成 了 黑 色 产 业 链 的 关 键 环 节 ， 其 中 握 有 大 量 “ 拦 截 料 ” 的 料 主 在 整 个 链 条 中 处 于 相 对 核 心 的 地 位 。 另 一 方 面 从 实 际 运 作 来 看 整 个 圈 子 又 具 有 一 定 程 度 的 复 杂 性 ， 除 了 上 述 几 个 重 要 参 与 角 色 ， 每 个 产 业 链 环 节 还 会 有 一 些 其 他 黑 产 人 员 参 与 其 中 ， 比 如 盗 卖 个 人 信 息 、 黑 卡 买 卖 、 钓 鱼 后 台 维 护 、 木 马 免 杀 处 理 等 等 ， 甚 至 还 包 括 一 些 境 外 洗 钱 组 织 的 身 影 。 黑 产 圈 子 内 部 也 充 满 了 欺 诈 ， “ 黑 料 ” 这 样 的 事 情 也 成 为 常 态 ， 具 有 一 定 技 术 实 力 的 团 伙 才 是 暴 利 所 得 者 ； 另 外 某 些 技 术 、 资 源 实 力 强 大 的 团 伙 ， 可 能 会 包 揽 整 个 链 条 的 多 个 甚 至 是 全 部 环 节 ， 其 暴 利 收 益 自 然 也 是 最 高 的 。
传 播 渠 道 传 播 渠 道 伴 随 着 “ 短 信 拦 截 ” 黑 色 产 业 链 的 发 展 ， 技 术 门 槛 低 、 回 报 收 益 高 的 特 点 吸 引 着 众 多 的 各 路 黑 产 从 业 人 员 相 继 加 入 ， 拦 截 马 的 传 播 渠 道 也 随 之 日 渐 丰 富 ， 各 种 钓 鱼 诱 骗 手 段 层 出 不 穷 ， 从 伪 基 站 、 短 信 猫 等 硬 件 设 备 群 发 、 色 情 钓 鱼 网 站 诱 导 以 及 鱼 龙 混 杂 的 第 三 方 a p p 分 发 渠 道 均 有 介 入 。
我 们 从 近 期 拦 截 的 “ 短 信 拦 截 马 ” 中 抽 取 了 2 0 0 0 个 活 跃 样 本 ， 对 其 传 播 使 用 的 文 件 名 和 部 分 钓 鱼 短 信 内 容 进 行 了 关 键 词 提 取 ， 统 计 结 果 如 下 图 所 示 ， 从 中 我 们 可 以 看 出 利 用 “ 相 册 相 片 ” 、 “ 文 件 资 料 ” 等 关 键 词 的 钓 鱼 手 法 占 据 了 一 半 以 上 ， 这 类 关 键 词 一 般 用 于 通 讯 录 群 发 这 样 的 病 毒 式 传 播 手 段 ， 拦 截 量 相 对 较 高 。 其 次 是 伪 基 站 类 的 钓 鱼 手 法 ， 常 见 类 型 如 1 0 0 8 6 积 分 兑 换 、 银 行 升 级 等 ； 还 有 一 部 分 是 针 对 特 定 人 群 的 钓 鱼 攻 击 ， 比 如 车 辆 违 章 、 校 园 通 、 成 绩 单 等 ， 这 些 往 往 是 由 于 车 主 或 者 家 长 信 息 泄 漏 导 致 的 ； 最 后 还 有 一 些 是 利 用 社 会 热 点 进 行 传 播 的 ， 比 如 前 段 时 间 很 火 的 “ 优 衣 库 ” 事 件 。 如 下 图 所 示 ， 传 播 渠 道 的 变 化 还 表 现 出 一 个 重 要 趋 势 ， 从 早 期 “ 普 遍 撒 网 ” 的 暴 力 传 播 模 式 开 始 向 定 向 精 准 化 钓 鱼 攻 击 转 变 。 尤 其 是 近 年 来 个 人 信 息 数 据 的 泄 漏 买 卖 行 为 日 益 活 跃 ， 成 为 拦 截 马 定 向 传 播 的 一 大 帮 凶 。 黑 产 团 伙 通 过 购 买 商 业 贷 款 、 信 用 卡 办 理 、 网 购 用 户 等 具 有 较 高 目 标 价 值 的 个 人 数 据 ， 然 后 根 据 相 关 情 景 去 精 心 构 造 钓 鱼 短 信 ， 由 于 短 信 中 包 含 用 户 姓 名 、 身 份 证 号 或 者 银 行 卡 号 等 个 人 数 据 ， 而 且 短 信 的 情 景 也 符 合 近 期 办 理 的 业 务 ， 收 到 钓 鱼 短 信 的 用 户 往 往 放 松 了 安 全 警 惕 导 致 中 招 。 又 例 如 出 现 一 些 “ 背 包 客 ” 随 身 携 带 伪 基 站 设 备 群 发 钓 鱼 短 信 ， 他 们 主 要 在 大 型 购 物 商 场 、 高 端 写 字 楼 等 区 域 活 动 ， 这 些 地 方 人 流 量 足 够 大 ， 更 重 要 的 是 在 此 类 区 域 活 动 的 人 群 具 有 更 高 的 “ 经 济 附 加 值 ” 。
洗 料 通 道 洗 料 通 道 用 户 银 行 卡 卡 内 的 资 金 能 够 被 黑 产 团 伙 顺 利 转 移 ， 一 方 面 是 由 于 用 户 网 银 信 息 泄 漏 和 手 机 被 木 马 控 制 ， 另 一 方 面 重 要 原 因 在 于 国 内 各 类 混 乱 的 支 付 渠 道 缺 乏 有 效 安 全 监 管 ， 或 多 或 少 都 存 在 一 些 风 险 控 制 上 的 漏 洞 。 以 我 们 去 年 跟 进 的 一 个 “ 洗 料 通 道 ” 案 件 为 例 ， 北 京 某 第 三 方 平 台 的 支 付 渠 道 被 黑 产 团 伙 利 用 ， 短 短 数 月 的 时 间 内 受 害 用 户 多 达 数 千 人 ， 损 失 金 额 从 几 十 到 数 万 不 等 。 黑 产 团 伙 “ 洗 拦 截 料 ” 的 方 式 多 种 多 样 ， 不 同 “ 洗 料 通 道 ” 的 转 账 限 额 也 有 差 异 。 黑 产 团 伙 一 般 是 通 过 银 行 、 商 户 或 者 第 三 方 支 付 的 各 类 快 捷 支 付 渠 道 将 用 户 卡 内 资 金 转 走 ， 从 部 分 受 害 用 户 追 查 的 消 费 记 录 来 看 ， 资 金 流 向 也 五 花 八 门 ， 包 括 购 买 游 戏 币 、 彩 票 、 话 费 充 值 、 机 票 门 票 等 多 种 多 样 的 洗 料 方 法 。 有 些 信 用 卡 c v v 码 泄 漏 的 用 户 还 发 现 通 过 境 外 消 费 渠 道 被 划 走 资 金 。 有 些 被 感 染 手 机 可 能 还 会 被 订 阅 一 些 恶 意 扣 费 服 务 或 者 使 用 手 机 话 费 支 付 购 买 游 戏 点 卡 后 再 进 行 销 赃 。
越 来 越 多 的 认 证 绑 定 、 安 全 验 证 被 转 移 到 用 户 手 机 上 ， 作 为 个 人 信 息 中 心 的 智 能 手 机 扮 演 了 基 础 通 讯 之 外 更 多 的 角 色 。 一 方 面 确 实 带 来 了 非 常 多 的 便 捷 。 但 另 一 方 面 在 手 机 中 毒 这 样 的 特 定 场 景 下 ， 用 户 的 安 全 防 线 往 往 变 得 脆 弱 不 堪 。 在 保 持 手 机 支 付 便 捷 性 的 同 时 ， 我 们 需 要 一 些 更 安 全 可 靠 的 认 证 方 式 ， 比 如 指 纹 认 证 。 安 全 对 抗 可 能 永 远 都 不 会 止 步 ， 但 是 我 们 相 信 未 来 可 以 做 得 更 好 。 溯 源 取 证 案 例 溯 源 取 证 案 例 在 近 两 年 与 “ 短 信 拦 截 马 ” 的 安 全 对 抗 中 ， 我 们 也 实 际 接 触 到 了 非 常 多 的 受 害 用 户 ， 被 盗 资 金 少 则 数 百 上 千 ， 多 则 数 十 万 ， 而 多 方 互 相 推 诿 责 任 、 立 案 取 证 追 查 困 难 可 能 是 大 多 数 受 害 用 户 得 到 的 最 终 结 果 。 抛 开 外 部 各 方 的 其 他 因 素 ， 此 类 网 络 犯 罪 的 技 术 取 证 也 确 实 存 在 一 些 难 点 ， 以 “ 短 信 拦 截 马 ” 为 例 ： 1 ) 黑 产 各 环 节 关 系 交 错 复 杂 ， 一 条 “ 拦 截 料 ” 被 洗 之 前 往 往 可 能 被 买 卖 转 手 多 次 ； 2 ) 其 用 于 钓 鱼 网 站 搭 建 或 者 接 收 控 制 的 后 台 服 务 器 较 多 使 用 国 外 主 机 ； 3 ) 用 于 命 令 控 制 的 手 机 卡 基 本 都 是 不 记 名 卡 ， 追 查 定 位 相 对 困 难 ； 4 ) 盗 洗 的 资 金 也 往 往 经 过 较 多 次 的 分 流 清 洗 ， 基 本 上 都 使 用 黑 卡 转 账 ， 给 资 金 流 向 追 踪 带 来 困 难 。 当 然 作 为 一 家 安 全 厂 商 ， 在 这 场 安 全 对 抗 中 也 有 我 们 自 己 的 优 势 ， 针 对 此 类 诈 骗 短 信 、 钓 鱼 网 站 以 及 “ 短 信 拦 截 马 ”   变 种 传 播 速 度 较 快 的 特 点 ， 我 们 优 化 加 强 了 云 端 安 全 鉴 定 机 制 ， 可 以 做 到 更 快 的 全 网 响 应 拦 截 ， 避 免 其 进 一 步 传 播 危 害 用 户 ； 另 一 方 面 通 过 对 这 些 分 散 的 网 银 钓 鱼 攻 击 、 手 机 木 马 传 播 等 拦 截 数 据 的 汇 总 分 析 ， 从 中 我 们 可 以 梳 理 出 全 国 各 地 区 活 跃 度 较 高 的 黑 产 团 伙 ， 然 后 进 行 更 具 针 对 性 的 监 控 和 追 踪 取 证 。 [ 一 一 ] 、 伪 基 站 短 信 钓 鱼 案 例 、 伪 基 站 短 信 钓 鱼 案 例 伪 基 站 短 信 钓 鱼 是 “ 短 信 拦 截 马 ” 非 常 重 要 的 一 个 传 播 渠 道 ， 从 伪 基 站 钓 鱼 网 站 拦 截 这 方 面 着 手 ， 云 端 数 据 显 示 从 1 4 年 下 半 年 开 始 ， 伪 基 站 短 信 钓 鱼 进 入 异 常 活 跃 期 ， 高 峰 期 平 均 每 天 新 增 的 钓 鱼 网 站 多 达 近 千 个 。
“ 短 信 拦 截 马 ” 的 安 全 威 胁 、 影 响 范 围 都 远 超 其 他 类 型 的 手 机 病 毒 ， 当 黑 产 团 伙 同 时 掌 握 了 用 户 的 银 行 卡 信 息 和 验 证 手 机 ， 用 户 的 网 银 资 产 可 以 说 是 完 全 沦 为 “ 砧 板 上 的 鱼 肉 ” 。 我 们 对 其 中 的 活 跃 钓 鱼 网 站 进 行 了 分 类 和 安 全 测 试 ， 也 对 从 其 他 渠 道 收 集 到 的 伪 基 站 钓 鱼 网 站 源 码 进 行 了 分 析 ， 发 现 了 包 括 s q l 注 入 、 存 储 型 x s s 、 后 台 越 权 等 多 类 安 全 漏 洞 ， 由 于 这 些 常 见 伪 基 站 钓 鱼 站 点 大 多 基 于 几 类 固 定 模 版 开 发 编 写 ， 所 以 这 些 安 全 漏 洞 通 用 性 相 对 较 高 。 这 些 漏 洞 相 对 都 比 较 简 单 ， 今 年 在 乌 云 等 安 全 平 台 也 多 有 披 露 ， 这 里 就 不 再 赘 述 技 术 细 节 。 活 跃 度 高 的 伪 基 站 钓 鱼 网 站 会 自 动 加 入 我 们 的 取 证 系 统 中 ， 通 过 对 上 述 漏 洞 的 批 量 自 动 利 用 我 们 可 以 对 全 国 范 围 内 的 活 跃 黑 产 团 伙 进 行 长 期 监 控 。 综 合 受 害 者 分 布 、 钓 鱼 后 台 登 录 I P 等 数 据 分 析 ， 我 们 对 全 国 伪 基 站 钓 鱼 黑 产 的 规 模 和 运 作 有 了 更 深 入 的 了 解 。 1 ） 全 国 受 害 用 户 众 多 ， 从 数 百 钓 鱼 网 站 后 台 记 录 中 共 发 现 超 过 4 0 万 条 的 用 户 网 银 数 据 ， 包 括 ： 姓 名 、 身 份 证 号 、 开 户 行 、 银 行 卡 号 、 取 款 密 码 、 C V V 码 等 ； 通 过 跟 踪 对 比 ， 这 些 活 跃 钓 鱼 后 台 平 均 每 天 新 增 数 据 超 过 3 0 0 条 ， 有 些 甚 至 多 达 上 千 条 。
2 ） 黑 产 团 伙 和 受 害 用 户 的 分 布 都 存 在 地 域 聚 集 的 特 点 。 黑 产 团 伙 集 中 在 广 东 、 福 建 、 海 南 、 广 西 等 地 区 ， 比 例 超 过 8 0 % ； 受 害 用 户 分 布 较 多 的 为 广 东 、 湖 南 、 湖 北 、 河 南 4 大 省 份 ， 比 例 超 过 6 0 % 。 从 1 4 年 下 半 年 开 始 我 们 加 强 了 对 “ 伪 基 站 钓 鱼 ” 传 播 渠 道 的 监 控 力 度 ， 共 筛 选 梳 理 出 2 0 余 个 高 度 活 跃 的 黑 产 团 伙 ， 我 们 将 掌 握 的 部 分 犯 罪 证 据 和 追 踪 定 位 信 息 反 馈 给 全 国 多 地 警 方 ， 配 合 打 击 了 这 批 黑 产 犯 罪 团 伙 。 目 前 其 中 的 部 分 涉 案 团 伙 已 经 抓 捕 归 案 ， 涉 案 金 额 最 少 都 在 百 万 级 别 ， 希 望 更 多 的 受 害 用 户 在 结 案 以 后 能 追 回 自 己 被 盗 的 资 金 。 [ 二 二 ] 、 、 “ 短 信 拦 截 马 短 信 拦 截 马 ” 取 证 案 例 取 证 案 例 在 本 文 的 开 始 也 提 到 了 近 两 年 “ 短 信 拦 截 马 ” 样 本 变 种 的 拦 截 量 增 长 非 常 迅 猛 。 “ 短 信 拦 截 马 ” 样 本 中 相 当 一 部 分 使 用 邮 箱 收 信 ， 同 时 使 用 手 机 短 信 进 行 远 程 控 制 ， 这 些 特 点 都 可 以 作 为 溯 源 取 证 的 常 见 入 手 点 。 当 然 也 有 部 分 样 本 使 用 一 些 W e b 程 序 进 行 收 信 管 理 ， 在 我 们 的 实 际 测 试 过 程 中 同 样 发 现 了 多 类 安 全 漏 洞 ， 可 以 用 来 辅 助 实 现 自 动 化 的 安 全 取 证 ； 另 一 方 面 ， 针 对 “ 短 信 拦 截 马 ” 的 特 点 和 传 播 场 景 ， 我 们 也 尝 试 过 “ 以 彼 之 道 还 施 彼 身 ” 的 “ 反 向 钓 鱼 ” ， 后 面 会 讲 到 如 何 使 用 “ 反 向 钓 鱼 ” 手 段 去 追 踪 黑 产 团 伙 。
我 们 的 安 全 监 控 系 统 会 对 入 库 的 “ 短 信 拦 截 马 ” 样 本 进 行 解 包 分 析 ， 根 据 辅 助 特 征 自 动 从 反 编 译 代 码 中 提 取 出 黑 产 团 伙 使 用 的 邮 箱 帐 号 密 码 和 控 制 手 机 号 码 ， 对 其 中 拦 截 量 较 大 的 变 种 类 型 我 们 也 会 相 应 加 强 后 续 的 监 控 跟 踪 。
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:05 , Processed in 1.030833 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表