搜索

[11119] 2017-03-11_针对一伙WordPress犯罪团伙的深度技术分析

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2017-03-11_针对一伙WordPress犯罪团伙的深度技术分析 针 对 一 伙 W o r d P r e s s 犯 罪 团 伙 的 深 度 技 术 分 析 s e c i s t   F r e e B u f   2 0 1 7 - 0 3 - 1 1 本 文 阐 述 了 如 何 对 一 个 黑 产 团 伙 追 根 溯 源 。 据 本 文 阐 述 了 如 何 对 一 个 黑 产 团 伙 追 根 溯 源 。 据 W o r d f e n c e 监 控 数 据 显 示 ， 这 个 被 称 为 监 控 数 据 显 示 ， 这 个 被 称 为 J e r s e y S h o r e 的 团 伙 的 主 要 攻 击 目 标 为 的 团 伙 的 主 要 攻 击 目 标 为 金 融 和 假 冒 体 育 服 装 类 网 站 。 通 过 本 文 你 将 会 看 到 ， 我 们 是 如 何 一 步 步 让 幕 后 真 凶 浮 出 水 面 ， 最 终 编 织 出 一 张 有 组 织 的 犯 金 融 和 假 冒 体 育 服 装 类 网 站 。 通 过 本 文 你 将 会 看 到 ， 我 们 是 如 何 一 步 步 让 幕 后 真 凶 浮 出 水 面 ， 最 终 编 织 出 一 张 有 组 织 的 犯 罪 团 伙 网 络 。 罪 团 伙 网 络 。 背 景 介 绍 背 景 介 绍 通 过 我 们 的 数 据 分 析 监 测 平 台 可 以 看 到 ， 每 个 月 针 对 W o r d P r e s s 的 暴 力 攻 击 次 数 ， 都 是 非 常 可 观 的 。 仅 上 个 月 W o r d f e n c e 就 平 均 每 天 需 要 阻 断 ， 高 达 2 5 0 0 万 次 的 暴 力 攻 击 行 为 。 你 可 以 查 阅 我 们 一 月 份 发 布 的 ， 关 于 针 对 W o r d P r e s s 的 攻 击 活 动 报 告 。 就 在 本 月 （ 2 月 份 ） ， 一 个 I P 为 9 1 . 2 0 0 . 1 2 . 1 0 3 的 用 户 ， 引 起 了 我 们 的 注 意 。 W o r d f e n c e 自 2 月 2 1 日 到 2 月 2 8 日 期 间 ， 共 阻 止 了 超 过 2 2 , 0 0 0 个 网 站 的 1 7 0 万 次 攻 击 。 因 此 ， 我 们 决 定 对 这 个 可 疑 的 I P 进 行 更 深 入 的 分 析 调 查 。 不 出 所 料 ， 通 过 我 们 的 追 踪 溯 源 ， 一 个 大 型 的 攻 击 平 台 渐 渐 的 浮 出 了 水 面 ， 同 时 我 们 也 摸 清 了 他 们 的 攻 击 战 术 ， 技 术 和 程 序 （ T T P ） ， 以 及 背 后 的 真 正 策 划 者 。 分 析 分 析 I P 和 主 机 和 主 机 通 过 分 析 我 们 发 现 ， 9 1 . 2 0 0 . 1 2 . 1 0 3   这 个 I P 地 址 ， 为 之 前 我 们 写 过 的 ， 一 个 代 号 为 “ P P   S K S - L U G A N ” （ P S L ） 的 暴 力 攻 击 组 织 所 拥 有 。 早 在 去 年 1 2 月 份 的 暴 力 攻 击 峰 值 期 ， 我 们 就 发 现 大 多 数 的 攻 击 源 就 来 自 于 该 组 织 （ P S L ） 。 下 图 显 示 了 去 年 1 2 月 份 ， 在 一 天 当 中 的 有 关 P S L 组 织 排 名 前 几 位 的 I P 地 址 以 及 攻 击 次 数 ：
大 量 针 对 P S L 的 投 诉 ， 并 没 能 改 变 和 减 少 P S L   I P 地 址 的 攻 击 行 为 。 为 了 更 加 全 面 的 了 解 情 况 ， 我 们 对 9 1 . 2 0 0 . 1 2 . 1 0 3 这 个 地 址 ， 进 行 了 深 入 的 研 究 分 析 ： 通 过 对 服 务 器 端 口 的 探 测 ， 我 们 初 步 判 定 该 服 务 器 为 W i n d o w s 主 机 。 同 时 我 们 还 发 现 ， 它 似 乎 还 与 一 个 域 名 为 h e i l i n k 的 网 站 有 关 。 通 过 a r c h i v e . o r g 历 史 存 档 网 站 我 们 发 现 ， 这 个 网 站 此 前 被 用 于 一 个 游 戏 装 备 的 出 售 平 台 ， 同 时 这 个 人 也 可 能 是 该 I P 的 最 早 所 有 者 。 根 据 我 们 观 察 到 的 ， 来 自 P S L 的 n e t b l o c k 的 攻 击 数 量 ， 我 们 认 为 他 们 是 一 个 “ 防 弹 托 管 提 供 商 ” 。 换 句 话 说 ， 他 们 正 在 为 从 事 明 显 恶 意 活 动 的 个 人 或 组 织 ， 提 供 托 管 服 务 。 因 此 ， P S L 不 会 对 客 户 投 诉 作 出 任 何 的 回 应 ， 并 且 也 不 会 阻 止 客 户 继 续 使 用 其 服 务 从 事 非 法 活 动 ！ 通 过 通 过 9 1 . 2 0 0 . 1 2 . 1 0 3 我 们 还 能 获 取 到 什 么 信 息 ？ 我 们 还 能 获 取 到 什 么 信 息 ？ 参 与 我 们 W o r d f e n c e 网 络 安 全 计 划 的 一 位 客 户 站 点 ， 遭 到 了 9 1 . 2 0 0 . 1 2 . 1 0 3 的 污 染 攻 击 。 我 们 抓 取 了 部 分 样 品 的 截 图 ， 其 中 包 含 以 下 内 容 ： 从 上 图 可 以 看 到 ， 垃 圾 邮 件 中 包 含 许 多 营 销 运 动 服 装 的 域 名 。 因 此 ， 我 们 可 以 得 知 ， 这 个 I P 除 了 暴 力 攻 击 外 ， 同 时 还 对 目 标 网 站 实
施 污 染 攻 击 。 假 冒 运 动 服 装 网 站 假 冒 运 动 服 装 网 站 为 了 了 解 W o r d f e n c e 防 火 墙 ， 阻 止 包 含 这 些 域 的 其 他 污 染 攻 击 ， 我 们 使 用 了 上 面 垃 圾 邮 件 中 所 发 现 的 域 名 列 表 。 结 果 发 现 有 一 系 列 的 I P 地 址 段 ， 参 与 到 了 污 染 攻 击 活 动 中 ， 并 发 现 其 推 广 的 网 站 列 表 ， 都 为 假 冒 运 动 服 装 销 售 网 站 。 下 表 显 示 了 我 们 遇 到 的 属 于 此 广 告 系 列 一 部 分 的 网 站 列 表 。 在 正 在 积 极 上 市 的 2 4 个 网 站 中 ， 其 中 1 9 个 （ 或 8 0 ％ ） 仍 然 在 运 行 ， 并 且 由 于 商 标 侵 权 而 未 被 删 除 。   （ 详 见 下 文 ） W e b s i t e S t a t u s P u r p o s e w w w . w h o l e s a l e j e r s e y s g a a . c o m u p S E O w w w . w h o l e s a l e j e r s e y s - c h e a p e s t . c o m u p S a l e s w w w . w h o l e s a l e j e r s e y c h i n a s h o p . c o m u p S a l e s w w w . w h o l e s a l e j e r s e y c h i n a o u t l e t . c o m u p S a l e s w w w . j e r s e y w h o l e s a l e c h i n a b i z . c o m u p S a l e s w w w . j e r s e y s c h i n a b i z w h o l e s a l e . u s u p S a l e s w w w . j e r s e y s b i z w h o l e s a l e c h e a p . c o m u p S a l e s w w w . w h o l e s a l e c h e a p j e r s e y s f r e e . c o m u p S a l e s w w w . c h e a p j e r s e y s b i z w h o l e s a l e . u s u p S a l e s w w w . c h e a p j e r s e y s a p . c o m u p S a l e s w w w . c h e a p j e r s e y s s a . c o m D o w n D N S   E r r o r w w w . b i z c h e a p j e r s e y s w h o l e s a l e c h i n a . c o m u p S a l e s w w w . c h e a p e s t j e r s e y s - w h o l e s a l e . c o m u p S a l e s w w w . c h e a p j e r s e y s f o o t b a l l s h o p . c o m u p S a l e s w w w . c h e a p j e r s e y s a . c o m u p S a l e s w w w . c h i n a c h e a p e l i t e j e r s e y s . c o m u p S E O w w w . c h i n a j e r s e y s w h o l e s a l e c o u p o n s . c o m u p S a l e s w w w . j e r s e y c h i n a b i z w h o l e s a l e . u s u p S a l e s w w w . j e r s e y s w h o l e s a l e c h i n a l i m i t e d . c o m u p S a l e s w w w . j e r s e y w h o l e s a l e e l i t e s t o r e . c o m u p S a l e s w w w . n f l j e r s e y s c h e a p c h i n a b i z . c o m D o w n T a k e d o w n   N o t i c e w w w . c h i n a e l i t e c h e a p j e r s e y s . c o m D o w n T a k e d o w n   N o t i c e w w w . j e r s e y w h o l e s a l e b i z c h i n a . c o m D o w n T a k e d o w n   N o t i c e w w w . n f l j e r s e y s f o r s a l e w h o l e s a l e r . c o m D o w n T a k e d o w n   N o t i c e w w w . n f l j e r s e y s c h e a p b i z . u s D o w n D N S   E r r o r w w w . j e r s e y c h i n a b i z w h o l e s a l e . c o m D o w n T a k e d o w n   N o t i c e 我 们 对 这 些 网 站 进 行 了 分 析 ， 并 将 9 1 . 2 0 0 . 1 2 . 1 0 3 和 垃 圾 邮 件 网 络 中 的 其 它 网 站 建 立 了 连 接 关 系 。 如 下 图 ：
上 图 ， 我 们 列 举 了 其 中 6 个 I P 地 址 作 为 参 考 。 展 示 了 他 们 正 在 使 用 的 攻 击 和 垃 圾 邮 件 传 送 方 式 ， 以 及 I P 之 间 行 为 的 相 似 性 。 从 图 片 中 ， 我 们 还 可 以 清 晰 的 看 到 ， 每 个 I P 所 对 应 的 域 名 ， 以 及 各 个 I P 之 间 的 相 互 关 系 。 从 上 图 中 可 以 看 出 ， 9 1 . 2 0 0 . 1 2 . 1 0 3 正 在 进 行 高 频 的 暴 力 攻 击 。 其 中 一 个 域 名 为 b i z c h e a p j e r s e y s w h o l e s a l e c h i n a . c o m 的 网 站 ， 与 垃 圾 邮 件 网 络 中 的 另 外 两 个 I P 地 址 建 立 了 连 接 。 这 些 连 接 的 I P 当 中 ， 其 中 一 个 正 在 使 用 与 网 络 中 另 外 两 个 I P ， 相 同 类 型 的 垃 圾 评 论 。 或 者 在 战 术 上 ， 它 们 使 用 相 同 的 T T P （ 即 战 术 ， 技 术 和 程 序 ） 。 此 外 ， 我 们 通 过 T T P 连 接 的 I P 之 一 ， 也 是 垃 圾 邮 件 的 A j a x 聊 天 插 件 ， 列 表 中 的 另 一 个 I P 地 址 也 在 做 。 通 过 以 上 的 基 本 分 析 ， 我 们 发 现 只 有 5 个 I P 地 址 与 9 1 . 2 0 0 . 1 2 . 1 0 3 相 关 。 我 们 确 信 ， 垃 圾 邮 件 网 络 中 的 其 它 I P 地 址 ， 可 以 以 相 同 的 方 式 连 接 到 9 1 . 2 0 0 . 1 2 . 1 0 3 。 一 长 串 诉 讼 一 长 串 诉 讼 许 多 参 与 垃 圾 邮 件 活 动 的 网 站 ， 已 遭 到 了 一 家 代 表 N F L ， M L B ， N H L 和 N B A 的 律 师 事 务 所 起 诉 关 闭 。 在 被 关 闭 删 除 的 网 站 主 页 ， 我 们 会 看 到 如 下 的 图 片 通 知 ：
申 请 该 禁 令 ， 一 般 先 由 律 师 事 务 所 提 出 诉 讼 。 然 后 经 由 法 院 批 准 ， 并 最 终 实 施 临 时 禁 止 令 （ T R O ） 。 根 据 上 图 显 示 ， 该 禁 令 的 生 效 时 间 为 2 0 1 6 年 1 2 月 8 日 。 然 后 律 师 会 在 一 个 礼 拜 后 ， 提 出 初 步 禁 令 。 一 个 月 后 ， 律 师 会 提 出 一 个 默 认 的 判 决 协 议 。 一 般 这 些 网 站 的 所 有 者 ， 都 不 会 出 庭 为 自 己 辩 护 。 因 此 ， 法 院 往 往 会 以 网 站 无 人 看 管 为 由 ， 并 最 终 将 网 站 的 控 制 权 交 给 商 标 所 有 者 。 一 旦 商 标 所 有 者 控 制 了 网 站 ， 他 们 便 会 将 网 站 程 序 删 除 ， 并 将 以 上 的 图 片 通 知 放 置 网 站 主 页 。 网 站 支 付 网 站 支 付
我 们 发 现 这 些 销 售 假 冒 运 动 服 装 的 网 站 ， 偏 好 通 过 西 联 汇 款 或 M o n e y G r a m 收 款 。   其 中 一 个 网 站 的 支 付 页 面 如 下 ： 在 任 何 情 况 下 ， 我 们 发 现 付 款 接 收 人 都 位 于 中 国 。 在 我 们 分 析 的 网 站 范 围 内 ， 我 们 找 到 了 以 下 收 件 人 ： Y a n x i n g   C h e n C h u n Y u   L i n H u a n g M i n   L a i Y o u Z h o n g   Z e n g L i n g K u n   G o n g X i n   C a i Y u a n L e   D u a n 正 如 你 在 上 面 截 图 中 看 到 的 那 样 ， 西 联 汇 款 和 M o n e y G r a m 均 有 不 同 的 付 款 和 收 款 人 。 为 了 说 明 这 些 个 体 的 相 关 性 ， 我 们 通 过 树 状 图 的 方 式 ， 将 他 们 的 关 系 网 建 立 了 连 接 。 如 下 ：
如 上 图 所 示 ， 每 个 人 都 是 通 过 支 付 网 站 连 接 到 其 他 人 的   。 不 难 看 出 ， 收 款 人 应 该 是 该 利 益 链 条 中 地 位 较 低 的 人 。 很 显 然 ， 这 是 一 个 分 工 明 确 ， 有 组 织 的 犯 罪 团 伙 。 总 结 总 结 以 上 我 们 向 大 家 展 示 了 ， 犯 罪 团 伙 利 用 垃 圾 邮 件 来 宣 传 他 们 的 虚 假 销 售 网 站 的 案 例 。 除 了 垃 圾 邮 件 ， 他 们 还 通 过 托 管 在 知 名 “ 防 弹 托 管 提 供 商 ” 的 网 站 ， 来 对 W o r d P r e s s 网 站 进 行 暴 力 攻 击 。 美 国 的 律 师 事 务 所 正 在 进 行 一 项 持 续 的 运 动 ， 根 据 商 标 侵 权 诉 讼 ， T R O s 和 违 约 判 决 ， 取 缔 这 些 假 冒 的 服 装 零 售 商 。 商 标 侵 权 人 与 代 表 商 标 所 有 人 的 律 师 事 务 所 之 间 ， 正 掀 起 一 场 没 有 硝 烟 的 斗 争 。 总 之 ， 通 过 这 个 简 单 的 分 析 案 例 ， 可 以 让 我 们 更 好 的 了 解 ， 那 些 针 对 W o r d P r e s s 站 点 的 暴 力 攻 击 者 的 背 后 动 机 。 从 以 上 案 例 可 以 得 知 ， 该 团 伙 的 动 机 是 金 融 以 及 利 用 受 害 者 W o r d P r e s s 网 站 销 售 假 冒 运 动 服 装 。 * 参 考 来 源   ： w o r d f e n c e ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理