搜索

[10507] 2016-09-15_冒用数字签名的对抗：亟需加强的签名审核

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-09-15_冒用数字签名的对抗：亟需加强的签名审核 冒 用 数 字 签 名 的 对 抗 ： 亟 需 加 强 的 签 名 审 核 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 6 - 0 9 - 1 5 前 言 前 言 很 多 时 候 ， 杀 毒 软 件 都 会 对 一 个 可 执 行 程 序 的 数 字 签 名 进 行 验 证 ， 而 每 个 数 字 签 名 都 配 对 着 该 可 执 行 程 序 的 H a s h 值 ， 以 防 其 它 程 序 盗 用 这 个 软 件 的 独 有 的 数 字 签 名 ， 如 下 图 所 示 ： 早 期 的 杀 毒 软 件 主 要 是 通 过 软 件 的 特 征 码 进 行 来 识 别 病 毒 和 恶 意 软 件 ， 但 是 这 个 技 术 有 个 缺 陷 ， 就 是 软 件 的 特 征 码 是 可 以 更 改 的 。 随 后 ， 杀 毒 软 件 又 有 了 云 查 杀 和 行 为 查 杀 等 功 能 。 虽 然 杀 毒 软 件 的 保 护 能 力 增 强 了 ， 但 是 又 出 现 了 一 个 新 的 问 题 ， 就 是 误 报 。 比 如 常 见 的 ， 通 过 易 语 言 编 译 的 程 序 很 容 易 遭 到 杀 毒 软 件 的 查 杀 。 还 有 一 些 软 件 的 行 为 ， 也 会 被 杀 毒 软 件 自 动 判 定 为 病 毒 文 件 。 所 以 大 部 分 杀 毒 软 件 又 增 加 了 一 道 门 槛 ， 数 字 签 名 验 校 。 如 果 一 个 程 序 有 了 知 名 公 司 官 方 的 数 字 签 名 ， 那 么 该 程 序 一 般 是 不 会 被 杀 毒 软 件 查 杀 的 。 早 在 今 年 7 月 份 ， 3 6 0 白 名 单 分 析 组 捕 获 并 查 杀 了 一 批 具 有 知 名 公 司 签 名 的 木 马 ， 并 于 8 月 中 旬 在 国 内 首 发 分 析 报 告   ( 被 攻 陷 的 数 字 签 名 ： 木 马 作 者 冒 用 知 名 网 络 公 司 签 名 ) 。 在 被 3 6 0 曝 光 之 后 ， 此 类 木 马 并 没 有 销 声 匿 迹 ， 而 是 在 默 默 地 为 中 秋 佳 节 的 爆 发 做 准 备 ， 木 马 作 者 冒 用 了 新 的 证 书 ， 而 且 新 的 变 种 木 马 会 伪 装 成 图 片 以 及 私 服 等 方 式 进 行 传 播 。 3 6 0 在 第 一 时 间 对 其 进 行 了 拦 截 和 查 杀 ， 以 下 就 是 此 类 木 马 的 演 化 过 程 ：
一 、 一 、   伪 装 成 图 片 的 木 马 伪 装 成 图 片 的 木 马 我 们 在 之 前 的 文 章 中 介 绍 过 此 类 冒 用 签 名 的 木 马 ， 但 最 新 捕 获 的 木 马 更 换 了 签 名 证 书 ， 同 时 更 换 了 传 播 方 式 。 木 马 作 者 首 先 利 用 聊 天 工 具 给 不 同 的 人 发 送 文 件 ， 由 于 文 件 具 有 知 名 公 司 签 名 ， 并 且 使 用 了 诱 惑 性 的 文 件 名 及 图 标 ， 用 户 很 容 易 在 毫 不 知 情 的 情 况 下 点 击 木 马 而 中 招 。 二 、 二 、   伪 装 成 私 服 伪 装 成 私 服 木 马 会 冒 用 知 名 公 司 签 名 ， 并 且 伪 装 成 流 行 私 服 的 功 能 模 块 进 行 传 播 ， 此 类 木 马 因 隐 蔽 性 极 高 ， 将 会 给 用 户 带 来 巨 大 损 失 。 伪 装 私 服 的 传 播 来 源 ：
木 马 冒 用 知 名 公 司 签 名 ： 三 、 三 、   木 马 冒 用 的 知 名 厂 商 签 名 木 马 冒 用 的 知 名 厂 商 签 名 以 目 前 的 情 况 来 看 ， 签 名 审 核 并 没 有 得 到 加 强 ， 木 马 作 者 依 旧 可 以 通 过 某 些 途 径 获 取 知 名 公 司 签 名 。 在 签 发 木 马 的 已 知 证 书 中 少 部 分 证 书 已 被 吊 销 ， 但 大 部 分 的 签 名 依 然 有 效 。
四 、 四 、   新 签 发 木 马 的 行 为 新 签 发 木 马 的 行 为 在 我 们 捕 获 到 的 这 些 新 签 发 木 马 中 ， 典 型 的 执 行 流 程 如 下 ： 木 马 采 用 大 量 混 淆 代 码 阻 碍 安 全 人 员 的 分 析 ， 动 态 解 密 出 d l l ， 然 后 以 P E   L O A D E R 的 形 式 在 内 存 中 执 行 。 分 配 内 存 写 P E 信 息 到 新 内 存 ：
解 密 后 的 D L L 文 件 接 着 调 用 该 内 存 的 D l l M a i n 函 数 , 初 始 网 络 连 接 。 然 后 再 调 用 导 出 函 数 U p d a t e S e r v i c e 执 行 后 续 恶 意 行 为 。 在 D L L 中 判 断 自 身 文 件 名 是 否 包 含 t a s k h o s t . e x e 。 如 果 不 是 则 复 制 木 马 到 C : P r o g r a m   F i l e s C o m m o n   F i l e s 8 7 6 2 e b 8 1 t a s k h o s t . e x e 目 录 下 。 接 着 调 用 C r e a t e P r o c e s s 创 建 t a s k h o s t . e x e 进 程 , 执 行 后 续 的 恶 意 行 为 。 t a s k h o s t . e x e 检 测 是 否 处 于 沙 箱 环 境 ， , 如 果 是 则 退 出 。
接 着 提 升 权 限 为 后 续 恶 意 行 为 作 准 备 创 建 计 划 任 务 实 现 程 序 自 启 ： 通 过 Q Q 朋 友 网 接 口 来 获 取 Q Q 个 人 相 关 信 息 , 并 通 过 其 实 现 恶 意 行 为 开 关 创 建 傀 儡 进 程 执 行 恶 意 代 码 ： p o r t r a i t C a l l B a c k ( { " 8 4 7 * * * 1 2 6 " : [ " h t t p : / / q l o g o 3 . s t o r e . q q . c o m / q z o n e / 8 4 7 * * * 1 2 6 / 8 4 7 * * * 1 2 6 / 1 0 0 " , 1 0 0 , - 1 , 0 , 0 , 0 , " 色 即 是 空 "
成 功 运 行 后 , 创 建 线 程 接 收 远 控 指 令 . 五 、 五 、   结 语 结 语 虽 然 木 马 作 者 在 费 劲 心 思 的 冒 用 新 的 知 名 公 司 签 名 ， 并 且 对 木 马 不 断 升 级 ， 同 时 借 助 节 假 日 来 临 之 际 试 图 大 量 传 播 ， 3 6 0 在 第 一 时 间 进 行 了 拦 截 和 查 杀 ， 并 且 持 续 监 控 和 追 踪 。 同 时 3 6 0 提 醒 广 大 用 户 不 要 轻 易 下 载 和 打 开 未 知 来 源 的 文 件 ， 保 持 警 惕 以 免 造 成 不 必 要 的 损 失 。 同 时 也 希 望 各 大 证 书 颁 发 机 构 加 强 签 名 证 书 的 管 理 及 审 核 力 度 ， 避 免 给 木 马 作 者 带 来 可 乘 之 机 。 * 企 业 账 号 ： 3 6 0 安 全 卫 士 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理