搜索

[10780] 2016-12-01_内网穿透：Android木马进入高级攻击阶段

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-12-01_内网穿透：Android木马进入高级攻击阶段 内 网 穿 透 ： A n d r o i d 木 马 进 入 高 级 攻 击 阶 段 3 6 0 手 机 卫 士   F r e e B u f   2 0 1 6 - 1 2 - 0 1 概 述 概 述 近 日 ， 近 日 ， 3 6 0 烽 火 实 验 室 发 现 有 数 千 个 样 本 感 染 了 一 种 名 为 烽 火 实 验 室 发 现 有 数 千 个 样 本 感 染 了 一 种 名 为 “ D r e s s C o d e ” 的 恶 意 代 码 ， 该 恶 意 代 码 利 用 实 下 流 行 的 的 恶 意 代 码 ， 该 恶 意 代 码 利 用 实 下 流 行 的 S O C K S 代 理 代 理 反 弹 技 术 突 破 内 网 防 火 墙 限 制 ， 窃 取 内 网 数 据 。 反 弹 技 术 突 破 内 网 防 火 墙 限 制 ， 窃 取 内 网 数 据 。 这 种 通 过 代 理 穿 透 内 网 绕 过 防 火 墙 的 手 段 在 这 种 通 过 代 理 穿 透 内 网 绕 过 防 火 墙 的 手 段 在 P C 上 并 不 新 鲜 ， 然 而 以 手 机 终 端 为 跳 板 实 现 对 企 业 内 网 的 渗 透 还 是 首 见 上 并 不 新 鲜 ， 然 而 以 手 机 终 端 为 跳 板 实 现 对 企 业 内 网 的 渗 透 还 是 首 见 [ 1 ] 。 。 S O C K S 是 一 种 网 络 传 输 协 议 ， S O C K S 协 议 位 于 传 输 层 与 应 用 层 之 间 ， 所 以 能 代 理 T C P 和 U D P 的 网 络 流 量 ， S O C K S 主 要 用 于 客 户 端 与 外 网 服 务 器 之 间 数 据 的 传 递 ， 那 么 S O C K S 是 怎 么 工 作 的 呢 ？ 举 个 例 子 ： A 想 访 问 B 站 点 ， 但 是 A 与 B 之 间 有 一 个 防 火 墙 阻 止 A 直 接 访 问 B 站 点 ， 在 A 的 网 络 里 面 有 一 个 S O C K S 代 理 C ， C 可 以 直 接 访 问 B 站 点 ， 于 是 A 通 知 C 访 问 B 站 点 ， 于 是 C 就 为 A 和 B 建 立 起 信 息 传 输 的 桥 梁 。 其 工 作 流 程 大 致 分 为 以 下 5 步 ： （ 1 ） 代 理 方 向 代 理 服 务 器 发 出 请 求 信 息 。 （ 2 ） 代 理 服 务 器 应 答 。 （ 3 ） 代 理 方 需 要 向 代 理 服 务 器 发 送 目 的 I P 和 端 口 。 （ 4 ） 代 理 服 务 器 与 目 的 进 行 连 接 。 （ 5 ） 连 接 成 功 后 将 需 要 将 代 理 方 发 出 的 信 息 传 到 目 的 方 ， 将 目 的 方 发 出 的 信 息 传 到 需 要 代 理 方 。 代 理 完 成 。 由 于 S O C K S 协 议 是 一 种 在 服 务 端 与 客 户 端 之 间 转 发 T C P 会 话 的 协 议 ， 所 以 可 以 轻 易 的 穿 透 企 业 应 用 层 防 火 墙 ； 它 独 立 于 应 用 层 协 议 ， 支 持 多 种 不 同 的 应 用 层 服 务 ， 如 T E L N E T ， F T P ， H T T P 等 。 S O C K S 协 议 通 常 采 用 1 0 8 0 端 口 进 行 通 信 ， 这 样 可 以 有 效 避 开 普 通 防 火 墙 的 过 滤 ， 实 现 墙 内 墙 外 终 端 的 连 接 [ 2 ] 。 二 ． 地 域 分 布 二 ． 地 域 分 布 3 6 0 互 联 网 安 全 中 心 数 据 显 示 ， 截 止 目 前 ， “ D r e s s C o d e ” 恶 意 代 码 传 播 量 已 达 2 4 万 之 多 ， 在 世 界 范 围 内 分 布 相 当 广 泛 ， 感 染 了 该 恶 意 代 码 的 手 机 在 全 世 界 的 分 布 情 况 如 下 图 所 示 ：
图 1 “ D r e s s C o d e ” 木 马 在 世 界 各 地 的 分 布 情 况 数 据 显 示 ， 已 有 2 0 0 多 个 国 家 的 用 户 手 机 安 装 了 带 有 “ D r e s s C o d e ” 恶 意 代 码 的 应 用 。 该 恶 意 代 码 大 多 寄 宿 在 时 下 流 行 的 手 机 游 戏 中 ， 其 扩 散 能 力 很 强 ， 其 中 美 国 、 俄 罗 斯 ， 德 国 、 法 国 等 欧 美 发 达 国 家 属 于 重 灾 区 ， 中 国 的 形 势 也 不 容 乐 观 ， 企 业 内 网 安 全 正 在 遭 受 前 所 未 有 的 挑 战 。 三 ． 详 细 分 析 三 ． 详 细 分 析 该 木 马 的 主 要 攻 击 过 程 如 下 [ 3 ] ： （ 1 ） 木 马 运 行 时 主 动 连 接 到 攻 击 者 主 机 （ S O C K S 客 户 端 ） ， 建 立 一 个 与 攻 击 者 对 话 的 代 理 通 道 。 （ 2 ） 作 为 S O C K S 服 务 端 的 木 马 根 据 攻 击 者 传 来 的 目 标 内 网 服 务 器 的 I P 地 址 和 端 口 ， 连 接 目 标 应 用 服 务 器 。 （ 3 ） 木 马 在 攻 击 者 和 应 用 服 务 器 之 间 转 发 数 据 ， 进 行 通 信 。 当 木 马 安 装 上 手 机 后 ， 首 先 会 连 接 C & C 服 务 器 ， 连 接 成 功 后 ， 那 么 木 马 就 与 C & C 服 务 器 建 立 了 一 个 对 话 通 道 ， 木 马 会 读 取 C & C 服 务 器 传 送 过 来 的 指 令 ，   当 木 马 收 到 以 “ C R E A T E ” 开 头 的 指 令 后 ， 就 会 连 接 攻 击 者 主 机 上 的 S O C K S 客 户 端 ， 攻 击 者 与 处 于 内 网 中 的 木 马 程 序 建 立 了 信 息 传 输 的 通 道 了 。   S O C K S 服 务 端 读 取 S O C K S 客 户 端 发 送 的 数 据 ， 这 些 数 据 包 括 目 标 内 网 应 用 服 务 器 的 I P 地 址 和 端 口 、 客 户 端 指 令 。 如 下 图 所 示 ：
图 2 S O C K S 服 务 端 获 取 客 户 端 指 令 等 信 息 客 户 端 传 递 过 来 的 命 令 主 要 有 C O N N E C T 与 B I N D 两 种 指 令 。 （ 一 ） （ 一 ） C O N N E C T 指 令 指 令 当 S O C K S 客 户 端 要 与 目 标 应 用 服 务 器 建 立 连 接 时 ， 首 先 会 发 送 一 个 C O N N E C T 指 令 ， S O C K S 服 务 端 接 收 到 C O N N E C T 指 令 后 ， 会 根 据 读 取 到 的 I P 地 址 和 端 口 连 接 目 标 应 用 服 务 器 。 连 接 成 功 后 ， 会 将 请 求 结 果 发 送 给 S O C K S 客 户 端 ， 此 时 目 标 应 用 服 务 器 与 S O C K S 服 务 端 ， S O C K S 服 务 端 与 S O C K S 客 户 端 都 建 立 起 了 会 话 通 道 ， 木 马 作 为 数 据 中 转 站 ， 可 以 在 攻 击 者 和 应 用 服 务 器 转 发 任 意 数 据 了 ， 其 转 发 过 程 如 图 所 示 ： 图 3 木 马 转 发 数 据 过 程 S O C K S 协 议 对 数 据 转 发 的 实 现 代 码 如 下 ：
图 4 木 马 转 发 数 据 的 代 码                 那 么 通 过 这 两 条 已 连 接 的 数 据 传 输 通 道 如 何 窃 取 数 据 的 呢 ？ 以 H T T P 协 议 为 例 ， 假 设 攻 击 者 要 访 问 位 于 内 网 的 H T T P 服 务 器 ， 那 么 攻 击 者 首 先 通 过 S O C K S 客 户 端 将 H T T P 请 求 数 据 发 送 给 S O C K S 服 务 端 ， S O C K S 服 务 端 读 取 到 这 些 数 据 后 ， 马 上 将 这 些 数 据 转 发 给 应 用 服 务 器 。 应 用 服 务 器 收 到 H T T P 请 求 后 ， 将 H T T P 应 答 数 据 发 送 给 木 马 ， 木 马 检 查 到 应 答 数 据 ， 马 上 转 发 给 攻 击 者 ， 这 样 攻 击 者 就 通 过 木 马 完 成 了 对 内 网 H T T P 服 务 器 的 访 问 。 （ 二 ） （ 二 ） B I N D 指 令 指 令 当 攻 击 者 需 要 访 问 内 网 F T P 应 用 服 务 器 时 ， S O C K S 代 理 客 户 端 需 要 向 服 务 端 发 送 B I N D 指 令 。 S O C K S 协 议 支 持 采 用 P O R T 模 式 传 输 F T P 数 据 ， P O R T 模 式 [ 4 ] 传 输 数 据 的 主 要 过 程 如 下 ： F T P 客 户 端 首 先 和 F T P 服 务 器 建 立 控 制 连 接 ， 用 来 发 送 命 令 ， 客 户 端 需 要 接 收 数 据 的 时 候 在 这 个 通 道 上 发 送 P O R T 命 令 。 F T P 服 务 器 必 须 和 客 户 端 建 立 一 个 新 的 连 接 用 来 传 送 数 据 。 P O R T 命 令 包 含 了 客 户 端 用 什 么 端 口 接 收 数 据 。 在 传 送 数 据 的 时 候 ， 服 务 端 通 过 自 己 的 端 口 （ 默 认 是 2 0 ） 连 接 至 客 户 端 的 指 定 端 口 发 送 数 据 。 S O C K S 代 理 服 务 端 接 收 到 B I N D 指 令 后 ， 木 马 会 利 用 本 地 I P 和 匿 名 端 口 生 成 一 个 服 务 端 S o c k e t A ， 并 通 过 建 立 的 数 据 转 发 通 道 ， 将 本 地 I P 和 端 口 发 送 给 攻 击 者 ； 等 待 目 标 应 用 服 务 器 连 接 （ 多 为 F T P 服 务 器 ） 。 （ 三 ） 攻 击 （ 三 ） 攻 击 F T P 服 务 器 的 过 程 服 务 器 的 过 程 攻 击 者 想 要 窃 取 内 网 F T P 服 务 器 数 据 时 ， 会 首 先 发 送 C O N N E C T 指 令 ， 处 于 内 网 中 的 S O C K S 服 务 端 接 收 到 此 命 令 后 ， 会 试 图 和 F T P
服 务 器 建 立 一 个 控 制 流 ， 如 果 F T P 服 务 器 响 应 此 请 求 ， 最 终 F T P 控 制 流 建 立 。 攻 击 者 建 立 新 的 到 S O C K S 服 务 端 的 T C P 连 接 ， 并 在 新 的 T C P 连 接 上 发 送 B I N D 请 求 ， S O C K S 服 务 端 接 收 到 B I N D 请 求 后 ， 创 建 新 的 S o c k e t ， 等 待 目 标 F T P 服 务 器 的 连 接 ， 并 向 S O C K S 客 户 端 发 送 第 一 个 B I N D 响 应 包 。 S O C K S 客 户 端 收 到 第 一 个 B I N D 响 应 包 后 ， 攻 击 者 通 过 F T P 控 制 流 向 F T P 服 务 器 发 送 P O R T 命 令 ， 通 知 F T P 服 务 器 主 动 建 立 到 S o c k e t A 的 连 接 ； F T P 服 务 器 收 到 P O R T 命 令 ， 主 动 连 接 到 S o c k e t A 。 S O C K S 服 务 端 接 收 到 来 自 F T P 服 务 器 的 连 接 请 求 ， 向 S O C K S 客 户 端 发 送 第 二 个 响 应 包 ， 然 后 S O C K S 服 务 端 开 始 转 发 数 据 流 。 这 样 攻 击 者 就 通 过 木 马 完 成 了 对 内 网 文 件 服 务 器 的 数 据 窃 取 。 以 上 攻 击 过 程 如 下 图 所 示 ： 图 5 黑 客 攻 击 F T P 服 务 器 ， 窃 取 数 据 的 过 程 四 ． 总 结 建 议 四 ． 总 结 建 议 “ D r e s s C o d e ” 恶 意 代 码 穿 透 能 力 强 ， 地 域 分 布 广 泛 ， 已 成 为 对 内 网 安 全 的 一 种 新 的 潜 在 威 胁 ， 减 除 接 入 企 业 内 网 的 智 能 终 端 设 备 所 带 来 的 安 全 威 胁 客 不 容 缓 。 针 对 此 种 情 况 ， 企 业 应 做 好 如 下 两 点 防 范 措 施 ： （ 1 ） 严 格 限 制 不 可 信 的 智 能 终 端 设 备 接 入 公 司 内 部 网 络 ， 对 要 接 入 公 司 内 网 的 终 端 设 备 进 行 身 份 认 证 。
（ 2 ） 智 能 终 端 设 备 不 应 该 与 企 业 内 部 服 务 器 处 于 同 一 个 局 域 网 段 内 。 与 此 同 时 ， 手 机 用 户 应 该 提 高 安 全 意 识 ， 要 从 正 规 的 安 卓 应 用 商 店 下 载 应 用 ， 不 要 安 装 来 历 不 明 的 应 用 软 件 。 引 用 引 用 [ 1 ]   D r e s s C o d e a n d   i t s   P o t e n t i a l   I m p a c t   f o r   E n t e r p r i s e s : h t t p : / / b l o g . t r e n d m i c r o . c o m / t r e n d l a b s - s e c u r i t y - i n t e l l i g e n c e / d r e s s c o d e - p o t e n t i a l - i m p a c t - e n t e r p r i s e s / [ 2 ]   S O C K S :   A p r o t o c o l   f o r   T C P   p r o x y   a c r o s s   f i r e w a l l s : h t t p : / / f t p . i c m . e d u . p l / p a c k a g e s / s o c k s / s o c k s 4 / S O C K S 4 . p r o t o c o l [ 3 ]   F a s t I n t r o d u c t i o n   t o   S O C K S   P r o x y : h t t p : / / e t h e r e a l m i n d . c o m / f a s t - i n t r o d u c t i o n - t o - s o c k s - p r o x y / [ 4 ]   F T P 协 议 分 析 : h t t p : / / k e n d y . b l o g . 5 1 c t o . c o m / 1 4 7 6 9 2 / 3 3 4 8 0 * 作 者 ： 3 6 0 手 机 卫 士 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理