搜索

[11538] 2017-07-06_潘多拉魔盒开启：全国多省爆发大规模软件升级劫持攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-07-06_潘多拉魔盒开启：全国多省爆发大规模软件升级劫持攻击 潘 多 拉 魔 盒 开 启 ： 全 国 多 省 爆 发 大 规 模 软 件 升 级 劫 持 攻 击 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 0 7 - 0 6 不 久 前 ， 不 久 前 ， P e t y a 勒 索 病 毒 变 种 在 乌 克 兰 爆 发 ， 并 蔓 延 到 欧 洲 多 个 国 家 的 大 型 企 业 。 病 毒 攻 击 的 根 源 是 劫 持 了 乌 克 勒 索 病 毒 变 种 在 乌 克 兰 爆 发 ， 并 蔓 延 到 欧 洲 多 个 国 家 的 大 型 企 业 。 病 毒 攻 击 的 根 源 是 劫 持 了 乌 克 兰 专 用 会 计 软 件 兰 专 用 会 计 软 件 m e - d o c 的 升 级 程 序 ， 使 用 户 更 新 软 件 时 感 染 病 毒 ， 从 而 对 众 多 企 业 的 系 统 和 数 据 造 成 惨 重 损 的 升 级 程 序 ， 使 用 户 更 新 软 件 时 感 染 病 毒 ， 从 而 对 众 多 企 业 的 系 统 和 数 据 造 成 惨 重 损 失 。 失 。 劫 持 软 件 升 级 “ 投 毒 ” 并 不 是 新 鲜 的 攻 击 手 法 ， 国 内 也 屡 有 发 生 。 但 就 在 P e t y a 勒 索 病 毒 变 种 轰 动 全 球 后 短 短 数 天 时 间 内 ， 山 东 、 山 西 、 福 建 、 浙 江 等 多 省 的 软 件 升 级 劫 持 达 到 空 前 规 模 ， 3 6 0 安 全 卫 士 对 此 类 攻 击 的 单 日 拦 截 量 突 破 4 0 万 次 ！ 尽 管 国 内 的 软 件 升 级 劫 持 目 前 仅 仅 被 利 用 流 氓 推 广 软 件 ， 但 是 大 规 模 的 网 络 劫 持 、 大 量 缺 乏 安 全 升 级 机 制 的 软 件 ， 如 果 再 加 上 “ 商 业 模 式 ” 非 常 成 熟 的 勒 索 病 毒 ， 无 疑 会 造 成 灾 难 性 后 果 。 事 件 还 原 事 件 还 原 近 期 有 多 款 软 件 用 户 密 集 反 映 3 6 0 “ 误 报 了 软 件 的 升 级 程 序 ” ， 但 事 实 上 ， 这 些 软 件 的 升 级 程 序 已 经 被 不 法 分 子 恶 意 替 换 。 下 图 就 是 一 例 爱 奇 艺 客 户 端 升 级 程 序 被 劫 持 的 下 载 过 程 ： 可 以 看 到 服 务 器 返 回 了 3 0 2 跳 转 ， 把 下 载 地 址 指 向 了 一 个 并 不 属 于 爱 奇 艺 的 C D N 服 务 器 地 址 ， 导 致 下 载 回 来 的 安 装 包 变 为 被 不 法 分 子 篡 改 过 的 推 广 程 序 。 图 1   遭 3 0 2 跳 转 劫 持 的 下 载 链 接 此 次 被 劫 持 升 级 程 序 的 流 行 软 件 远 不 止 爱 奇 艺 一 家 ， 下 图 就 是 一 些 由 于 网 络 劫 持 而 出 现 的 “ 假 软 件 ” 。
图 2 被 网 络 劫 持 替 换 的 “ 假 软 件 ” 以 下 ， 我 们 以 伪 造 的 百 度 网 盘 安 装 程 序 “ B a i d u N e t d i s k _ 5 . 5 . 4 . e x e ” 为 例 分 析 一 下 恶 意 程 序 的 行 为 。 与 正 常 的 安 装 程 序 相 比 ， 该 程 序 不 具 备 合 法 的 数 字 签 名 ， 并 且 体 积 较 大 。 图 3 被 篡 改 的 伪 装 安 装 程 序
图 4 正 常 的 安 装 程 序 通 过 对 比 可 以 发 现 ， 两 者 在 内 容 上 还 是 有 较 大 差 别 。 两 者 只 有 8 . 7 % 的 函 数 内 容 相 同 。 图 5 伪 装 安 装 程 序 和 正 常 安 装 程 序 函 数 对 比 程 序 最 初 执 行 时 会 从 从 资 源 段 中 释 放 一 个 P E 文 件 并 执 行 ， 该 文 件 就 是 程 序 所 伪 装 的 正 常 安 装 包 。 因 此 ， 该 伪 装 程 序 是 在 运 行 正 常 安 装 包 的 同 时 静 默 安 装 其 他 推 广 程 序 。 在 正 常 安 装 包 运 行 时 ， 本 程 序 会 读 取 b j f t z t . c d n . p o w e r c d n . c o m 站 点 的 子 目 录 下 的 一 个 d a t 文 件 的 内 容 ， d a t 文 件 路 径 根 据 安 装 程 序 不 同 而 不 同 ， 本 文 分 析 的 程 序 “ B a i d u N e t d i s k _ 5 . 5 . 4 . e x e ” 所 读 取 的 是 b j f t z t . c d n . p o w e r c d n . c o m / u p c / 2 0 1 7 0 3 2 9 / 2 A 7 B F 0 5 7 6 B E 7 3 8 0 A 3 0 B 8 6 6 9 1 8 2 2 2 6 F B D . d a t 。 程 序 请 求 数 据 包 内 容 如 下 图 所 示 ： 图 6   请 求 数 据 包 内 容
所 读 取 的 d a t 文 件 的 内 容 如 下 图 所 示 ： 图 7   d a t 文 件 内 容 d a t 文 件 中 的 内 容 经 过 b a s e 6 4 + D E S 加 密 。 D E S 密 钥 经 过 简 单 加 密 后 硬 编 码 在 程 序 中 ， 下 图 展 示 了 D E S 密 钥 的 解 密 过 程 ： 图 8   D E S 密 钥 解 密 过 程 解 密 后 得 到 的 D E S 密 钥 为 “ e h 9 j i 8 p f ” 。 经 分 析 发 现 多 款 伪 装 程 序 使 用 同 一 个 D E S 密 钥 。 之 后 程 序 对 d a t 文 件 的 内 容 进 行 b a s e 6 4 + D E S 解 密 ， 解 密 函 数 如 下 图 所 示 ：
图 9   解 密 函 数 解 密 后 得 到 的 文 件 内 容 如 下 图 所 示 。 不 难 看 出 ， 文 件 内 容 为 一 个 配 置 列 表 ， 列 表 中 包 括 多 个 需 要 推 广 的 应 用 程 序 名 称 、 应 用 程 序 下 载 链 接 、 程 序 启 动 参 数 、 卸 载 对 应 的 注 册 表 项 等 信 息 ： 图 1 0   解 密 后 的 d a t 文 件 内 容 之 后 程 序 会 从 配 置 列 表 中 选 取 一 个 推 广 程 序 的 下 载 链 接 ， 下 载 推 广 程 序 并 安 装 在 受 害 者 电 脑 上 ： 图 1 1   下 载 推 广 程 序 的 请 求 包 内 容 而 以 上 流 氓 推 广 行 为 完 成 后 ， 安 装 包 会 回 归 到 原 始 的 正 常 安 装 流 程 ， 以 此 来 掩 人 耳 目 。 根 据 3 6 0 安 全 卫 士 的 持 续 监 控 和 拦 截 ， 该 劫 持 行 为 从 今 年 3 月 底 就 已 经 开 始 出 现 ， 3 6 0 一 直 在 持 续 跟 进 查 杀 ， 近 日 来 则 突 然 出 现 了 爆 发 趋 势 ， 为 此 3 6 0 安 全 卫 士 官 方 微 博 公 开 发 布 了 警 报 。
7 月 4 日 ， 也 就 是 在 3 6 0 发 布 软 件 升 级 劫 持 攻 击 警 报 后 ， 此 类 攻 击 行 为 出 现 了 一 定 程 度 下 降 。 图 1 2   网 络 劫 持 量 走 势 根 据 已 有 数 据 统 计 显 示 ， 受 到 此 次 劫 持 事 件 影 响 的 用 户 已 经 超 过 百 万 。 而 这 些 被 劫 持 的 用 户 绝 大 多 数 来 自 于 山 东 地 区 。 另 外 ， 山 西 、 福 建 、 浙 江 、 新 疆 、 河 南 等 地 也 有 一 定 规 模 爆 发 。 图 1 3   被 劫 持 用 户 地 域 分 布 在 此 提 醒 各 大 软 件 厂 商 ， 软 件 更 新 尽 量 采 用 h t t p s 加 密 传 输 的 方 式 进 行 升 级 ， 以 防 被 网 络 劫 持 恶 意 利 用 。 对 于 普 通 互 联 网 用 户 ， 3 6 0 安 全 卫 士 “ 主 动 防 御 ” 能 够 拦 截 并 查 杀 利 用 软 件 升 级 投 放 到 用 户 电 脑 里 的 恶 意 程 序 ， 建 议 用 户 更 新 软 件 时 开 启 安 全 防 护 。
图 1 4   3 6 0 安 全 卫 士 拦 截 软 件 升 级 劫 持 “ 投 毒 ” 图 1 5 ： V T 检 测 结 果 ， 国 内 3 6 0 和 安 天 查 杀 此 次 软 件 升 级 劫 持 攻 击 样 本 * 本 文 作 者 ： 3 6 0 安 全 卫 士 ， 转 载 请 注 明 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理