搜索

[10634] 2016-10-22_警惕，WinRAR和TrueCrypt安装程序在用户电脑中植入恶意程序

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-10-22_警惕，WinRAR和TrueCrypt安装程序在用户电脑中植入恶意程序 警 惕 ， W i n R A R 和 T r u e C r y p t 安 装 程 序 在 用 户 电 脑 中 植 入 恶 意 程 序 l a t i a o j u n   F r e e B u f   2 0 1 6 - 1 0 - 2 2 W i n R A R 解 压 缩 软 件 在 中 国 有 非 常 大 的 保 有 量 ， 中 国 也 是 解 压 缩 软 件 在 中 国 有 非 常 大 的 保 有 量 ， 中 国 也 是 W i n R A R 的 重 要 市 场 。 不 过 最 近 卡 巴 斯 基 实 验 室 的 研 究 报 告 却 让 我 的 重 要 市 场 。 不 过 最 近 卡 巴 斯 基 实 验 室 的 研 究 报 告 却 让 我 们 惊 出 一 身 冷 汗 ， 某 些 来 源 的 们 惊 出 一 身 冷 汗 ， 某 些 来 源 的 W i n R A R 和 和 T r u e C r y p t 安 装 程 序 会 在 我 们 的 电 脑 中 植 入 恶 意 程 序 ， 窃 取 电 脑 硬 盘 信 息 和 隐 私 人 安 装 程 序 会 在 我 们 的 电 脑 中 植 入 恶 意 程 序 ， 窃 取 电 脑 硬 盘 信 息 和 隐 私 人 信 息 。 信 息 。 矛 盾 之 争 矛 盾 之 争 W i n R A R 采 用 A E S - 2 5 6 位 加 密 技 术 对 文 件 进 行 加 密 ， T r u e C r y p t 则 是 一 个 全 盘 加 密 工 具 。 两 者 都 对 文 件 提 供 强 大 、 可 靠 的 加 密 。 照 理 说 ， 不 应 该 出 现 什 么 问 题 的 啊 。 但 问 题 确 实 发 生 了 。         据 卡 巴 斯 基 实 验 室 的 报 告 称 ， 他 们 在 W i n R A R 和 T r u e C r y p t 的 安 装 程 序 中 发 现 了 一 个 来 自 S t r o n g P i t 团 队 的 新 恶 意 程 序 ， 这 个 程 序 会 在 用 户 安 装 后 启 动 。 对 于 S t r o n g P i t ， 相 信 大 家 应 该 是 有 耳 闻 ， 已 经 在 黑 客 行 业 耕 耘 多 年 ， 而 最 近 ， 他 们 又 迷 上 了 用 户 的 加 密 工 具 。 这 个 团 队 主 要 是 采 用 W a t e r i n g - H o l e 、 感 染 安 装 程 序 、 以 及 恶 意 程 序 等 对 用 户 的 加 密 软 件 进 行 攻 击 ， 也 算 是 一 个 老 油 条 了 。 该 团 队 曾 在 过 去 发 起 过 z e r o - d a y   a t t a c k （ 零 日 攻 击 ， 针 对 没 有 补 丁 的 漏 洞 的 攻 击 ） 。 通 过 对 他 们 的 研 究 发 现 ， 这 个 团 队 存 在 以 下 特 点 ： 1 . 决 定 无 比 正 确 ， 2 . 资 源 十 分 丰 富 ， 3 . 而 且 方 式 较 新 ， 4 . 完 全 不 计 后 果 。 如 何 实 现 攻 击 ？ 如 何 实 现 攻 击 ？   S t r o n g P i t y 通 过 建 立 一 个 与 合 法 网 站 相 似 度 极 高 的 网 站 下 载 站 点 ， 欺 骗 用 户 下 载 含 有 恶 意 程 序 的 加 密 应 用 ， 攻 击 者 在 数 据 加 密 未 完 成 之 前 就 获 得 了 完 整 的 数 据 。 除 了 基 本 的 钓 鱼 攻 击 外 ， 攻 击 者 甚 至 还 劫 持 了 W i n R A R 和 T r u e C r y p t 的 相 关 域 名 ， 替 换 了 W i n R A R 和 T r u e C r y p t 安 装 程 序 文 件 的 原 本
链 接 。 如 果 用 户 点 击 了 这 个 下 载 链 接 ， 就 会 在 神 不 知 鬼 不 觉 中 下 载 恶 意 程 序 。 一 旦 恶 意 程 序 被 安 装 ， 它 就 会 控 制 整 个 系 统 ， 进 而 获 得 各 种 敏 感 数 据 。 卡 巴 斯 基 表 示 ： 在 今 年 的 攻 击 中 ， S t r o n g P i t y 抛 弃 了 以 往 的 I C S 或 S C A D A 攻 击 。 而 是 通 过 模 仿 W i n R A R 的 合 法 网 站 建 立 了 一 个 域 名 为 r a l r a b . c o m 的 网 站 ， 然 后 将 合 法 网 站 的 推 荐 按 钮 链 接 到 含 有 恶 意 程 序 的 网 站 上 ， 让 用 户 下 载 含 有 恶 意 程 序 的 安 装 软 件 。 当 然 ， 其 他 链 接 则 正 常 链 接 到 合 法 软 件 。 S t r o n g P i t y 提 供 了 3 2 位 和 6 4 位 的 法 语 和 荷 兰 语 版 本 供 下 载 ： h x x p : / / w w w . r a l r a b [ . ] c o m / r a r / w i n r a r - x 6 4 - 5 3 1 . e x e h x x p : / / w w w . r a l r a b [ . ] c o m / r a r / w i n r a r - x 6 4 - 5 3 1 f r . e x e h x x p : / / w w w . r a l r a b [ . ] c o m / r a r / w i n r a r - x 6 4 - 5 3 1 n l . e x e h x x p : / / w w w . r a l r a b [ . ] c o m / r a r / w r a r 5 3 1 . e x e h x x p : / / w w w . r a l r a b [ . ] c o m / r a r / w r a r 5 3 1 f r . e x e h x x p : / / w w w . r a l r a b [ . ] c o m / r a r / w r a r 5 3 1 n l . e x e h x x p : / / r a l r a b [ . ] c o m / r a r / w i n r a r - x 6 4 - 5 3 1 . e x e h x x p : / / r a l r a b [ . ] c o m / r a r / w i n r a r - x 6 4 - 5 3 1 n l . e x e h x x p : / / r a l r a b [ . ] c o m / r a r / w r a r 5 3 1 f r . e x e h x x p : / / r a l r a b [ . ] c o m / r a r / w r a r 5 3 1 n l . e x e h x x p : / / r a l r a b [ . ] c o m / r a r / w r a r 5 3 b 5 . e x e
r a l r a b . c o m 上 含 有 恶 意 程 序 的 安 装 文 件 S t r o n g P i t y 这 种 下 载 程 序 标 榜 着 “ 非 同 寻 常 的 数 字 证 书 ” ， 但 是 他 们 并 没 有 重 用 这 种 虚 假 的 数 字 证 书 。 这 种 程 序 的 下 载 组 件 包 括 一 个 后 门 、 键 盘 记 录 器 、 数 据 盗 取 器 和 其 他 的 软 件 程 序 ， 包 括 p u t t y   S S H 客 户 端 、 服 务 器 源 代 码 分 析 （ f i l e z i l l a   F T P ） 客 户 端 、 W n s c p 安 全 文 件 传 输 程 序 和 远 程 桌 面 客 户 端 。 范 围 广 ， 危 害 大 范 围 广 ， 危 害 大 卡 巴 斯 基 实 验 室 的 报 告 数 据 显 示 ， 今 年 就 有 超 过 1 0 0 0 种 系 统 被 这 种 程 序 影 响 。 影 响 范 围 也 比 较 广 ， 欧 洲 、 中 东 甚 至 非 洲 都 未 能 幸 免 。 意 大 利 、 土 耳 其 、 比 利 时 、 阿 尔 及 利 亚 和 法 国 是 其 中 受 影 响 最 为 严 重 的 。 w i n r a r [ . ] i t   S t r o n g P i t y   c o m p o n e n t   g e o l o c a t i o n   d i s t r i b u t i o n         在 差 不 多 的 时 间 范 围 内 ， 有 超 过 6 0 个 旅 游 者 发 现 他 们 的 网 站 从 w i n r a r . b e 变 为 了 r a l r a b . c o m ， 而 且 都 是 位 于 一 个 国 家 。 在 5 月 2 5 至 6 月 初 这 段 时 间 内 ， 受 害 国 家 主 要 集 中 为 阿 尔 及 利 亚 、 摩 洛 哥 、 荷 兰 、 加 拿 大 、 科 特 迪 瓦 和 突 尼 斯 。
w i n r a r [ . ] b e   S t r o n g P i t y   c o m p o n e n t   g e o l o c a t i o n   d i s t r i b u t i o n 这 个 团 队 在 2 0 1 5 年 年 底 才 开 始 部 署 T r u e c r y p t - t h e m e d   的 W a t e r i n g   h o l e ， 但 在 今 年 的 夏 末 ， 这 种 攻 击 方 式 就 已 经 开 始 暴 发 。 他 们 建 立 了 一 个 直 接 从 T r u e C r y p t 的 合 法 网 站 拉 取 信 息 的 网 站 。 7 月 中 旬 到 9 月 初 ， 很 多 土 耳 其 和 荷 兰 的 用 户 发 现 他 们 的 网 站 从 t a m i n d i r . c o m 导 向 了 t r u e - c r y p t . c o m 。     t a m i n d i r [ . ] c o m   t o   t r u e - c r y p t [ . ] c o m   p o i s o n e d   T r u e C r y p t   i n s t a l l e r   r e d i r e c t s
而 在 该 网 站 （ t r u e - c r y p t . c o m ） 的 底 部 ， 也 有 一 些 链 接 指 向 含 有 恶 意 程 序 的 安 装 文 件 ： h x x p : / / w w w . t r u e - c r y p t [ . ] c o m / d o w n l o a d / T r u e C r y p t - S e t u p - 7 . 1 a . e x e h x x p : / / t r u e - c r y p t [ . ] c o m / f i l e s / T r u e C r y p t - 7 . 2 . e x e 而 W i n R A R 的 情 况 则 有 点 特 殊 。 黑 客 并 不 是 直 接 将 W i n R A R 的 网 站 导 向 黑 客 控 制 的 网 站 ， 而 是 劫 持 了 合 法 网 站 w i n r a r . i t ， 将 受 害 者 引 导 至 含 有 恶 意 程 序 版 本 的 网 站 。 w i n r a r . i t 对 意 大 利 影 响 最 为 严 重 ， 其 他 欧 洲 国 家 也 受 到 了 一 定 的 影 响 ； 而 w i n r a r . b e 则 对 加 拿 大 、 荷 兰 等 国 家 造 成 了 影 响 。
D o w n l o a d   p a g e ,   w i n r a r [ . ] i t   在 卡 巴 斯 基 研 究 人 员 的 进 一 步 测 试 中 发 现 ， 这 个 恶 意 下 载 程 序 不 仅 能 让 黑 客 控 制 系 统 ， 更 能 让 他 们 窃 取 硬 盘 里 的 内 容 ， 同 时 ， 还 能 下 载 其 他 的 恶 意 程 序 来 窃 取 用 户 的 联 系 人 信 息 。 换 句 话 说 ， 只 要 他 们 愿 意 ， 你 的 电 脑 就 没 有 秘 密 ， 他 们 可 以 随 时 检 索 你 的 私 人 数 据 和 交 流 信 息 。 所 以 ， 这 种 程 序 影 响 是 深 远 的 。 借 用 卡 巴 斯 基 研 究 员 K u r t   B a u m g a r t n e r 的 话 来 说 就 是 “ W i n R A R 的 经 销 商 非 常 幸 运 ， 因 为 这 个 恶 意 程 序 已 经 被 移 除 。 而 且 它 是 通 过 伪 安 装 程 序 链 接 到 他 们 的 网 站 的 。 ” 一 个 被 通 过 w i n r a r 安 装 程 序 传 播 的 网 站 尽 管 W i n R A R 已 经 将 它 们 移 除 ， 但 一 个 T r u e C r y p t 经 销 商 的 网 站 还 能 在 受 害 者 的 设 备 中 安 装 这 种 恶 意 程 序 。 这 个 恶 意 程 序 通 过 经 销 商 的 网 站 已 经 在 土 耳 其 扩 散 并 影 响 了 相 当 多 的 用 户 。
如 何 应 对 ？ 如 何 应 对 ？ 我 们 中 国 有 句 老 叫 做 “ 兵 来 将 挡 水 来 土 掩 ” ， 既 然 事 情 已 经 发 生 了 ， 我 们 就 要 在 行 动 中 注 意 。 卡 巴 斯 基 的 安 全 团 队 也 给 了 我 们 衷 告 ： “ W h e n   v i s i t i n g   s i t e s   a n d   d o w n l o a d i n g   e n c r y p t i o n - e n a b l e d   s o f t w a r e ,   i t   h a s   b e c o m e   n e c e s s a r y   t o   v e r i f y   t h e   v a l i d i t y   o f   t h e   d i s t r i b u t i o n   s i t e   a n d   t h e   i n t e g r i t y   o f   t h e   d o w n l o a d e d   f i l e   i t s e l f .   D o w n l o a d   s i t e s   n o t   u s i n g   P G P   o r   s t r o n g   d i g i t a l   c o d e   s i g n i n g   c e r t i f i c a t e s   n e e d   t o   r e - e x a m i n e   t h e n e c e s s i t y   o f   d o i n g   s o   f o r   t h e i r   o w n   c u s t o m e r s ” 。 大 概 就 是 ， 在 浏 览 或 者 下 载 可 加 密 站 点 时 ， 必 须 要 对 网 站 有 效 性 和 文 件 的 完 整 性 进 行 验 证 ， 养 成 良 好 的 习 惯 。 而 对 于 下 载 站 点 来 说 ， 最 好 是 采 用 P G P 协 议 和 强 数 字 密 码 签 名 来 保 护 用 户 的 安 全 。 卡 巴 斯 基 研 究 报 告 下 载 链 接 ： < 点 击 文 末 的 阅 读 原 文 查 看 > *   参 考 来 源 ： h a c k r e a d   ， t h e h a c k e r n e w s ， t h r e a t p o s t ， F B 小 编 l a t i a o j u n 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理