搜索

[11270] 2017-04-23_技术流挂马揭秘：Flash广告与Sage2.0勒索软件的“黑金搭档”

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-04-23_技术流挂马揭秘：Flash广告与Sage2.0勒索软件的“黑金搭档” 技 术 流 挂 马 揭 秘 ： F l a s h 广 告 与 S a g e 2 . 0 勒 索 软 件 的 “ 黑 金 搭 档 ” 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 0 4 - 2 3 1 .   概 述 概 述 3 6 0 互 联 网 安 全 中 心 近 期 监 测 到 互 联 网 安 全 中 心 近 期 监 测 到 “ 我 爱 卡 我 爱 卡 ” 网 站 （ 网 站 （ 5 1 c r e d i t . c o m ） 出 现 挂 马 情 况 ， 进 一 步 分 析 发 现 ， 访 问 该 网 站 会 加 载 跳 转 到 ） 出 现 挂 马 情 况 ， 进 一 步 分 析 发 现 ， 访 问 该 网 站 会 加 载 跳 转 到 漏 洞 攻 击 包 （ 漏 洞 攻 击 包 （ E x p l o i t   K i t ） 页 面 的 恶 意 ） 页 面 的 恶 意 F l a s h 广 告 ， 没 有 专 业 安 全 防 护 的 访 问 者 电 脑 会 感 染 号 称 勒 索 软 件 广 告 ， 没 有 专 业 安 全 防 护 的 访 问 者 电 脑 会 感 染 号 称 勒 索 软 件 “ 集 大 成 者 集 大 成 者 ” 的 的 S a g e 2 . 0 ， 造 成 文 件 被 加 密 勒 索 的 惨 重 损 失 。 相 比 以 往 的 漏 洞 攻 击 包 ， 此 次 整 个 攻 击 链 完 全 使 用 ， 造 成 文 件 被 加 密 勒 索 的 惨 重 损 失 。 相 比 以 往 的 漏 洞 攻 击 包 ， 此 次 整 个 攻 击 链 完 全 使 用 F l a s h 文 件 实 现 ， 不 再 需 要 文 件 实 现 ， 不 再 需 要 H T M L 与 与 J a v a s c r i p t 脚 本 交 互 功 能 ， 呈 现 出 新 的 攻 击 形 式 和 较 高 的 技 术 水 平 。 脚 本 交 互 功 能 ， 呈 现 出 新 的 攻 击 形 式 和 较 高 的 技 术 水 平 。 2 .   技 术 分 析 技 术 分 析 2 . 1   广 告 挂 马 点 广 告 挂 马 点 图 图 1   整 体 挂 马 流 程 整 体 挂 马 流 程 我 爱 卡 网 站 采 用 了 较 为 常 见 的 O p e n X 开 源 广 告 系 统 ， 该 广 告 系 统 具 备 较 完 整 的 商 业 生 态 ， 被 很 多 大 型 网 站 采 用 。 但 是 因 为 审 核 不 严 格 ， 已 有 多 次 漏 洞 攻 击 包 通 过 该 广 告 系 统 进 行 传 播 [ 1 ] 。
图 图 2   返 回 挂 马 广 告 内 容 返 回 挂 马 广 告 内 容 浏 览 我 爱 卡 网 站 任 意 页 面 时 ， 会 插 入 了 一 个 广 告 F l a s h 文 件 h x x p : / / c o n s u l t a n t v i d e o . i n f o / a d m e d i a / p l a y e r . s w f 。 而 在 另 外 一 个 被 挂 马 网 站 中 ， 这 个 F l a s h 则 被 直 接 托 管 在 挂 马 网 站 上 。 显 然 ， 攻 击 者 将 这 个 F l a s h 文 件 伪 装 成 广 告 提 供 给 广 告 运 营 商 ， 广 告 运 营 商 审 核 不 严 直 接 在 投 放 网 站 上 上 线 。 打 开 该 F l a s h 文 件 ， 其 实 是 没 有 任 何 可 以 显 示 的 内 容 ， 实 际 功 能 则 是 利 用 A S 3 代 码 实 现 了 获 取 F l a s h 版 本 号 并 进 行 相 关 判 断 、 加 载 F l a s h 文 件 功 能 ， 使 得 只 有 是 I E 浏 览 器 并 且 安 装 了 F l a s h 1 1 ~ 2 1 版 本 才 会 进 一 步 加 载 第 二 个 F l a s h 文 件 。 通 过 该 文 件 拦 住 了 所 有 无 法 触 发 漏 洞 的 用 户 访 问 ， 减 少 了 实 际 攻 击 页 面 的 暴 露 ， 同 时 这 个 文 件 非 常 简 洁 并 且 没 有 明 显 特 征 ， 易 于 躲 过 查 杀 。 图 图 3   F l a s h 加 载 代 码 加 载 代 码 2 . 2   第 二 个 第 二 个 F l a s h 加 载 器 加 载 器 接 下 来 加 载 的 第 二 个 F l a s h 文 件 仍 然 是 一 个 加 载 器 ， 功 能 与 第 一 个 F l a s h 文 件 相 同 ， 实 现 了 版 本 判 断 、 加 载 下 一 个 F l a s h 的 功 能 。 但 是 与 第 一 个 F l a s h 不 同 ， 这 个 文 件 是 动 态 生 成 的 ， 根 据 该 文 件 的 网 络 请 求 响 应 头 ， 可 以 猜 测 该 文 件 是 利 用 p h p 动 态 生 成 ， 对 比 变 化 的 样 本 ， 发 现 每 隔 一 段 时 间 要 加 载 下 一 个 F l a s h 的 地 址 都 会 发 生 变 化 。 这 个 F l a s h 网 址 使 用 了 E x p l o i t   K i t 所 常 见 的 域 名 生 成 算 法 ， 并 不 停 的
变 换 三 级 域 名 地 址 ， 这 样 确 保 对 实 际 攻 击 文 件 的 网 址 难 以 再 次 访 问 。 另 外 ， 由 于 该 文 件 是 动 态 生 成 的 ， 所 以 C o n t e n t - T y p e 被 有 意 或 者 无 意 设 置 成 默 认 的 t e x t / h t m l ， 这 可 以 让 部 分 依 赖 C o n t e n t - T y p e 进 行 文 件 类 型 判 断 的 网 络 检 测 设 备 忽 略 ， 从 而 降 低 被 发 现 的 概 率 。 图 图 4   动 态 返 回 动 态 返 回 F l a s h 内 容 内 容 图 图 5   生 成 的 不 同 域 名 生 成 的 不 同 域 名 2 . 3 F l a s h 漏 洞 攻 击 文 件 漏 洞 攻 击 文 件 直 到 这 时 ， 访 问 的 第 三 个 网 址 才 真 正 引 入 了 攻 击 F l a s h 文 件 。 但 是 攻 击 者 的 防 范 措 施 仍 然 不 止 于 此 ， 在 访 问 最 终 的 F l a s h 漏 洞 文 件 网 址 时 ， 有 时 会 出 现 无 缘 无 故 无 法 访 问 的 情 况 ， 猜 测 攻 击 者 使 用 了 I P 屏 蔽 或 者 随 机 阻 拦 请 求 的 策 略 ， 增 加 了 分 析 重 现 的 难 度 。 并 且 根 据 用 户 F l a s h 版 本 信 息 ， 服 务 器 会 返 回 不 同 的 漏 洞 利 用 脚 本 ， 这 种 手 段 与 我 们 之 前 分 析 过 的 一 起 广 告 挂 马 事 件 中 的 方 法 一 致 ， 并 且 也 利 用 了 相 同 的 漏 洞 攻 击 代 码 [ 2 ] ， 唯 一 不 同 的 是 这 次 并 没 有 进 行 代 码 的 混 淆 ， 能 够 较 为 容 易 的 分 析 攻 击 代 码 。 具 体 分 析 该 文 件 代 码 ， 发 现 漏 洞 攻 击 代 码 被 使 用 R C 4 加 密 后 切 分 保 存 在 了 F l a s h 的 B i n a r y D a t a 字 段 中 ， 根 据 不 同 的 发 起 请 求 的 F l a s h 版 本 号 ， 解 密 后 获 得 的 漏 洞 攻 击 脚 本 分 别 是 C V E - 2 0 1 5 - 8 6 5 1   [ 3 ] 、 C V E - 2 0 1 6 - 1 0 1 9   [ 4 ] 、 C V E - 2 0 1 6 - 4 1 1 7   [ 5 ] 的 攻 击 代 码 ， 这 几 个 漏 洞 也 是 目 前 各 个 攻 击 包 常 用 的 方 式 ， 具 备 较 高 的 攻 击 成 功 率 。
图 图 6 攻 击 代 码 类 型 攻 击 代 码 类 型 2 . 4   释 放 载 荷 释 放 载 荷 在 利 用 漏 洞 之 后 ， 会 直 接 执 行 一 段 S h e l l c o d e 代 码 ， 不 过 与 常 见 的 基 于 V B S 或 者 P o w e r s h e l l 下 载 方 式 不 同 ， 该 S h e l l c o d e 会 再 次 向 当 前 网 址 发 送 请 求 ， 下 载 一 个 二 进 制 数 据 到 I n t e r n e t 临 时 目 录 ， 解 密 转 换 后 得 到 要 运 行 的 p a y l o a d ， 因 此 进 程 链 上 会 看 到 一 个 i n d e x [ 1 ] . h t m 的 进 程 被 启 动 。 注 意 到 此 时 请 求 的 网 址 与 F l a s h 攻 击 代 码 的 网 址 一 致 ， 但 是 返 回 内 容 却 不 一 样 ， 可 猜 测 在 服 务 端 会 自 动 根 据 请 求 来 源 返 回 不 同 的 内 容 ， 仅 当 包 含 F l a s h 请 求 信 息 的 时 候 才 返 回 F l a s h 攻 击 代 码 ， 而 默 认 则 直 接 返 回 加 密 后 的 二 进 制 数 据 。 图 图 7   攻 击 进 程 链 攻 击 进 程 链 最 终 运 行 的 P a y l o a d 是 S a g e 2 . 0 勒 索 软 件 ， 该 勒 索 软 件 选 择 的 密 钥 交 换 算 法 与 加 密 算 法 都 比 较 巧 妙 ， 并 且 基 于 I P 地 址 生 成 算 法 来 生 成 数 据 回 传 i p ， 是 目 前 勒 索 软 件 的 集 大 成 者 [ 6 ] 。 一 旦 感 染 ， 用 户 的 所 有 文 件 都 会 被 加 密 ， 桌 面 被 替 换 为 提 醒 壁 纸 ， 同 时 也 会 执 行 一 个 v b s 脚 本 间 隔 一 段 时 间 发 出 文 件 被 加 密 的 提 醒 声 音 。 图 图 8   用 户 感 染 后 的 桌 面 用 户 感 染 后 的 桌 面
图 图 9   播 放 语 音 的 脚 本 播 放 语 音 的 脚 本 3 .   数 据 重 放 数 据 重 放 在 研 究 挂 马 事 件 中 ， 我 们 经 常 会 将 抓 到 的 数 据 包 使 用 F i d d l e r 工 具 进 行 数 据 重 放 ， 便 于 反 复 研 究 ， 但 是 该 E x p l o i t   K i t 却 在 同 一 网 址 分 别 返 回 F l a s h 和 二 进 制 内 容 ， 使 得 F i d d l e r 无 法 区 分 这 两 种 请 求 并 返 回 对 应 的 数 据 包 。 因 此 ， 在 无 法 依 赖 F i d d l e r 的 情 况 下 ， 我 们 简 单 编 写 了 一 个 基 于 T o r n a d o 的 W e b 服 务 器 ， 提 取 出 抓 包 得 到 的 返 回 内 容 ， 根 据 每 次 请 求 的 不 同 网 址 和 请 求 头 来 返 回 对 应 的 数 据 。 使 用 时 ， 在 某 个 端 口 开 启 服 务 ， 并 将 I E 的 代 理 设 置 到 该 端 口 ， 访 问 对 应 的 网 址 就 可 以 进 行 数 据 重 放 。 图 图 1 0   重 放 功 能 代 码 重 放 功 能 代 码 4 .   总 结 总 结 本 次 挂 马 使 用 广 告 系 统 发 布 挂 马 F l a s h 文 件 ， 使 用 域 名 生 成 算 法 隐 藏 攻 击 代 码 域 名 ， 使 用 勒 索 软 件 来 获 取 经 济 收 益 ， 是 目 前 较 为 常 见 的 E x p l o i t   K i t 框 架 和 最 流 行 的 F l a s h 漏 洞 攻 击 技 术 。 整 体 而 言 攻 击 者 技 术 水 平 较 高 ， 虽 然 没 有 利 用 常 见 的 I E 漏 洞 ， 但 是 所 使 用 的 F l a s h 漏 洞 均 是 目 前 最 新 最 流 行 的 ， 并 且 一 个 比 较 特 别 的 地 方 是 S h e l l c o d e 没 有 采 用 常 见 的 调 用 没 有 采 用 常 见 的 调 用 V B S c r i p t 或 者 或 者 P o w e s h e l l 下 载 执 行 文 件 ， 下 载 执 行 文 件 ， 而 直 接 下 载 文 件 并 解 密 执 行 文 件 ， 这 样 直 接 下 载 也 无 法 得 到 而 直 接 下 载 文 件 并 解 密 执 行 文 件 ， 这 样 直 接 下 载 也 无 法 得 到 P E 文 件 ， 显 示 出 比 较 高 的 技 术 水 平 。 文 件 ， 显 示 出 比 较 高 的 技 术 水 平 。 此 次 挂 马 攻 击 的 弱 点 是 F l a s h 代 码 没 有 使 用 代 码 混 淆 ， 保 护 程 度 较 低 ， 容 易 被 反 编 译 ， 并 且 相 关 攻 击 网 址 ， 没 有 使 用 更 为 常 见 的 参 数 验 证 形 式 ， 而 是 直 接 简 单 的 采 用 了 简 单 的 动 态 接 口 ， 尚 未 达 到 流 行 的 几 个 经 典 E x p l o i t   K i t 的 地 步 。 这 次 挂 马 事 件 最 重 要 的 创 新 点 是 这 次 挂 马 事 件 最 重 要 的 创 新 点 是 整 个 攻 击 流 程 中 完 全 采 用 整 个 攻 击 流 程 中 完 全 采 用 F l a s h 文 件 作 为 载 体 ， 没 有 任 何 交 互 页 面 ， 不 易 察 觉 ， 可 以 躲 过 目 前 常 见 的 针 对 文 件 作 为 载 体 ， 没 有 任 何 交 互 页 面 ， 不 易 察 觉 ， 可 以 躲 过 目 前 常 见 的 针 对 H T M L 与 与 J a v a s c r i p t 脚 本 的 检 测 与 保 护 。 脚 本 的 检 测 与 保 护 。 我 爱 卡 网 站 每 天 用 户 访 问 量 较 大 ， 一 旦 用 户 感 染 勒 索 软 件 被 加 密 难 以 挽 回 损 失 。 针 对 目 前 流 行 的 漏 洞 攻 击 包 和 勒 索 软 件 ， 建 议 用 户
及 时 打 上 系 统 补 丁 ， 并 且 及 时 更 新 F l a s h 到 最 新 版 本 ， 也 可 以 安 装 一 些 广 告 屏 蔽 软 件 来 避 免 访 问 类 似 这 样 传 播 的 恶 意 攻 击 页 面 。 目 前 3 6 0 安 全 卫 士 采 用 了 全 面 多 层 次 的 防 护 体 系 ， 使 用 动 态 行 为 检 测 、 结 合 Q E X 非 P E 引 擎 静 态 扫 描 功 能 ， 能 够 做 到 对 此 类 攻 击 行 为 的 有 效 拦 截 ， 防 止 用 户 感 染 病 毒 ， 并 且 用 户 在 开 通 反 勒 索 软 件 服 务 的 情 况 下 仍 然 中 毒 造 成 损 失 ， 3 6 0 会 负 责 赔 付 最 高 3 比 特 币 的 赎 金 ， 并 协 助 还 原 加 密 软 件 。 本 文 由 3 6 0 Q E X 团 队 撰 写 ， 3 6 0 Q E X 团 队 专 门 负 责 非 P E 类 病 毒 的 分 析 和 查 杀 ， 文 中 所 述 恶 意 非 P E 样 本 Q E X 引 擎 均 可 以 查 杀 。 I O C 信 息 信 息 U R L / I P : h t t p : / / c o n s u l t a n t v i d e o . i n f o / a d m e d i a / p l a y e r . s w f h t t p : / / s y s t e m s q u i c k . i n f o / i n d e x . p h p h t t p : / / a m e r i c a n . r e p a i r f u n . i n f o / i n d e x . p h p 1 2 8 . 1 9 9 . 2 0 6 . 1 6 1 3 9 . 5 9 . 2 2 4 . 2 0 5 4 5 . 7 7 . 3 0 . 1 1 7 F l a s h : 4 1 8 b 8 1 d 6 3 7 1 b f 5 e 4 1 d e a f 2 4 4 c 2 8 1 3 4 7 9 9 5 5 8 a 6 2 c 2 1 9 8 7 0 9 c d 8 f 4 c b a c e 3 b 3 d 3 3 f d 5 b 2 0 d 0 7 5 5 e 3 b d f d b d f d 1 3 d d f d 4 7 7 f 7 f c 1 d 4 2 6 f b d d 0 c c b 0 6 b 8 8 8 2 0 8 9 d c b f d 7 5 5 3 3 a 0 e 6 3 2 b 3 7 d e a 7 8 a 8 0 8 d 5 c 1 9 7 a 0 1 4 0 4 d 4 1 5 c 8 8 4 8 0 d 6 4 f 7 b e e f b 8 e 2 c e a b 0 9 2 3 a b 0 8 4 9 a b e 0 d 4 3 6 d b a 8 8 6 2 f 0 d c b d a 9 3 a a e c 8 f c e d 7 d 0 4 8 9 e 9 3 0 f 4 8 c e f 7 0 f 6 6 9 5 e 0 1 0 1 e 1 c d d 0 f 9 7 2 1 5 c 5 4 2 1 d 0 3 5 8 1 7 9 f 8 a f 3 P E 0 0 5 b 3 f 4 7 b 1 a 6 b 0 6 0 5 3 d 2 c c e 7 4 7 3 b 6 2 5 6 3 7 f 6 a 4 7 1 5 c 2 4 a b 1 c 8 e 5 e f d 9 5 4 4 0 d 3 4 4 0 参 考 文 献 参 考 文 献 [ 1 ]   T o p - r a n k e d   A d v e r t i s i n g   N e t w o r k   L e a d s   t o E x p l o i t   K i t
h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 1 5 / 1 1 / t o p - r a n k e d _ a d v e r t i s i . h t m l [ 2 ]   漏 洞 工 具 包 利 用 广 告 位 挂 马 针 对 国 内 用 户 传 播 C e r b e r 4 . 0 勒 索 软 件 h t t p : / / b o b a o . 3 6 0 . c n / l e a r n i n g / d e t a i l / 3 1 2 9 . h t m l [ 3 ]   暗 黑 客 栈 C V E - 2 0 1 5 - 8 6 5 1 漏 洞 原 理 分 析 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e t w o r k / 9 3 5 1 6 . h t m l [ 4 ]   C V E - 2 0 1 6 - 1 0 1 9 :   A   N e w   F l a s h   E x p l o i t I n c l u d e d   i n   M a g n i t u d e   E x p l o i t   K i t h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 1 6 / 0 4 / c v e - 2 0 1 6 - 1 0 1 9 _ a _ n e w . h t m l [ 5 ]   A d o b e 在 野 漏 洞 ： C V E - 2 0 1 6 - 4 1 1 7 漏 洞 分 析 h t t p : / / b o b a o . 3 6 0 . c n / l e a r n i n g / d e t a i l / 2 9 3 0 . h t m l [ 6 ]   2 0 1 7 年 最 佳 算 法 提 名 勒 索 软 件 （ s e g a ） 分 析 h t t p s : / / x i a n z h i . a l i y u n . c o m / f o r u m / r e a d / 7 9 9 . h t m l * 本 文 作 者 ： 3 6 0 安 全 卫 士 （ 企 业 帐 号 ） ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理