搜索

[11586] 2017-07-25_社交平台上的桃色陷阱：僵尸网络SIREN侵袭Twitter

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2017-07-25_社交平台上的桃色陷阱：僵尸网络SIREN侵袭Twitter 社 交 平 台 上 的 桃 色 陷 阱 ： 僵 尸 网 络 S I R E N 侵 袭 T w i t t e r C a r r i e _ s p i n f o   F r e e B u f   2 0 1 7 - 0 7 - 2 5 近 年 来 ， 越 来 越 多 的 恶 意 攻 击 者 盯 上 了 各 大 社 交 媒 体 。 这 些 社 交 平 台 由 于 使 用 便 捷 、 可 扩 展 性 强 、 自 动 化 程 度 近 年 来 ， 越 来 越 多 的 恶 意 攻 击 者 盯 上 了 各 大 社 交 媒 体 。 这 些 社 交 平 台 由 于 使 用 便 捷 、 可 扩 展 性 强 、 自 动 化 程 度 高 ， 受 众 面 广 泛 等 特 性 ， 为 攻 击 者 发 起 僵 尸 网 络 攻 击 提 供 了 得 天 独 厚 的 条 件 。 高 ， 受 众 面 广 泛 等 特 性 ， 为 攻 击 者 发 起 僵 尸 网 络 攻 击 提 供 了 得 天 独 厚 的 条 件 。 这 里 的 僵 尸 网 络 指 的 是 由 中 央 控 制 台 控 制 的 社 交 平 台 账 户 集 合 。 这 些 账 户 均 由 机 器 控 制 ， 而 非 真 实 人 类 所 有 。 这 些 机 器 账 户 能 够 形 成 僵 尸 网 络 ， 发 送 恶 意 链 接 ， 例 如 钓 鱼 广 告 、 恶 意 软 件 、 勒 索 软 件 、 欺 诈 调 查 、 垃 圾 邮 件 、 对 受 害 者 账 户 进 行 劫 持 控 制 的 恶 意 应 用 程 序 以 及 点 击 即 收 费 的 垃 圾 邮 件 网 站 等 等 。 自 今 年 2 月 起 ， Z e r o F O X 威 胁 研 究 团 队 调 查 了 一 个 T w i t t e r 上 名 为 S I R E N 的 大 型 垃 圾 邮 件 色 情 僵 尸 网 络 。 该 僵 尸 网 络 名 为 S I R E N ( 起 源 于 希 腊 神 话 中 用 美 妙 歌 声 让 水 手 迷 失 方 向 的 海 妖 塞 壬 ) ， 约 包 含 9 万 多 个 伪 造 的 推 特 账 号 ， 共 计 发 布 了 8 5 0 万 条 含 有 恶 意 链 接 的 推 文 ， 在 数 周 内 诱 使 网 友 进 行 了 3 0 0 0 万 次 恶 意 点 击 。 本 文 将 Z e r o F O X 威 胁 研 究 团 队 发 现 的 S I R E N 僵 尸 网 络 与 B r i a n   K r e b s 最 近 在 K r e b s O n S e c u r i t y 披 露 的 大 型 垃 圾 邮 件 僵 尸 网 络 联 系 在 一 起 。 两 者 使 用 的 策 略 相 似 ， 即 将 受 害 者 引 诱 到 同 一 网 络 下 的 色 情 网 站 。 S I R E N 僵 尸 网 络 是 社 交 平 台 历 史 上 规 模 最 大 的 恶 意 活 动 之 一 。 曾 经 发 现 过 的 达 到 这 个 数 量 的 僵 尸 网 络 一 般 不 带 恶 意 攻 击 性 ， 例 如 大 量 生 成 “ 星 球 大 战 ” 报 价 。 但 是 ， 这 次 的 S I R E N 却 明 显 违 反 了 T w i t t e r 的 “ 服 务 条 款 ” 。 主 要 发 现 主 要 发 现 1 .   S I R E N 是 一 个 庞 大 的 T w i t t e r 僵 尸 网 络 ， 比 社 交 平 台 上 的 其 它 大 型 僵 尸 网 络 危 害 程 度 都 要 高 ； 近 9 万 个 独 立 账 户 ， 发 布 推 文 达 8 5 0 万 条 。 2 .   S I R E N 波 及 范 围 广 ， 点 击 量 已 达 到 3 0 0 0 万 次 。 之 所 以 能 够 获 得 这 个 数 据 是 因 为 该 僵 尸 网 络 使 用 的 是 可 追 踪 的 谷 歌 短 网 址 。 3 .   S I R E N 说 明 了 对 社 交 网 络 进 行 规 模 化 编 程 的 必 要 性 。 4 .   发 起 S I R E N 僵 尸 网 络 的 攻 击 者 可 能 来 自 东 欧 。 5 .   虚 假 的 交 友 约 会 网 站 和 色 情 网 站 市 场 庞 大 ， 为 S I R E N 这 样 的 s p a m m e r 制 造 了 大 量 机 会 。 Z e r o F O X 与 K r e b s O n S e c u r i t y 合 作 调 查 了 色 情 垃 圾 网 站 和 其 营 销 网 络 的 源 头 。 由 Z e r o F O X 发 现 的 T w i t t e r 僵 尸 网 络 和 K r e b s 研 究 的 邮 件 僵 尸 网 络 两 者 的 最 终 目 标 相 同 ， 并 且 指 向 同 一 网 络 中 的 色 情 网 站 链 接 。 6 .   Z e r o F O X 分 别 向 T w i t t e r 和 G o o g l e 的 安 全 团 队 报 告 了 这 一 重 大 发 现 ， 他 们 迅 速 删 除 了 违 规 的 帐 户 和 链 接 ， 全 面 捣 毁 S I R E N 僵 尸 网 络 。 关 于 关 于 S I R E N S I R E N 僵 尸 网 络 利 用 由 算 法 生 成 的 T w i t t e r 帐 户 所 形 成 的 庞 大 网 络 来 发 布 一 个 有 效 的 U R L ， 该 U R L 会 将 网 页 重 定 向 至 很 多 色 情 网 站 。 近 9 万 账 户 都 使 用 诱 人 的 女 性 图 片 做 头 像 ， 以 及 一 个 女 性 名 字 作 为 账 户 名 （ 如 下 图 ） 。 这 些 机 器 人 账 户 会 通 过 直 接 转 发 受 害 者 推 文 等 方 式 来 引 诱 他 们 落 入 圈 套 。
S I R E N 僵 尸 账 户 示 例 （ 个 人 资 料 中 就 加 上 了 恶 意 链 接 ） 这 些 账 户 发 布 的 推 文 往 往 用 不 标 准 的 英 语 描 述 色 情 信 息 ， 诱 使 目 标 对 象 点 击 链 接 ， 比 如 “ 你 想 见 我 吗 ？ ” 或 者 “ 来 吧 ， 不 要 害 羞 ” 。 9 8 . 2 % 僵 尸 账 户 的 推 文 结 构 都 有 相 似 性 ： 1 .   一 个 性 暗 示 的 短 句 （ 第 一 部 分 ） 2 .   一 个 感 叹 号 3 .   引 诱 用 户 点 击 U R L 的 社 会 工 程 学 短 句 （ 第 二 部 分 ） 4 .   谷 歌 短 网 址 第 一 个 词 有 2 6 种 选 择 ， 但 第 二 个 词 只 有 8 种 。 具 体 短 语 的 发 布 时 间 也 存 在 一 定 规 律 ， 短 时 间 内 不 同 层 级 的 短 语 发 布 频 率 相 似 （ 如 下 图 ） 。

第 一 部 分 和 第 二 部 分 的 内 容 重 复 率 很 高 。 图 3 红 框 标 注 了 推 特 内 容 的 4 大 组 成 部 分 。 一 天 内 记 录 的 1 0 大 发 布 频 率 最 高 的 短 句 可 以 归 类 为 3 层 ， 每 层 短 句 出 现 频 率 非 常 接 近 。 目 标 网 址 伪 装 目 标 网 址 伪 装 一 旦 目 标 对 象 点 击 链 接 ， 该 用 户 就 会 碰 到 一 系 列 的 重 定 向 ， 具 体 过 程 如 下 ： 1 .   用 户 点 击 推 文 上 的 链 接 2 .   这 些 链 接 会 转 到 T w i t t e r 的 t . c o 服 务 中 3 .   t . c o 重 定 向 至 g o o . g l — — G o o g l e 的 短 网 址 （ 见 下 图 ） 4 .   g o o . g l 再 重 定 向 至 “ r o t a t o r （ 旋 转 器 ） ” 网 站 。 该 旋 转 器 从 g o o . g l 重 定 向 中 获 取 连 接 ， 并 通 过 简 单 的 用 户 代 理 检 查 对 用 户 再 次 进 行 重 定 向 。 如 果 请 求 来 自 P y t h o n 的 请 求 库 或 c U R L 这 样 的 自 动 化 程 序 ， 则 将 连 接 重 定 向 到 T w i t t e r 或 G o o g l e 5 .   一 旦 旋 转 器 将 用 户 视 为 “ 合 法 ” ， 它 将 通 过 另 一 个 重 定 向 发 送 到 最 终 的 目 的 U R L 这 些 重 定 向 有 多 种 用 途 ： 1 .   混 淆 这 些 链 接 的 最 终 目 的 地 ， 避 免 反 垃 圾 邮 件 服 务 ， 如 T w i t t e r 的 链 接 和 谷 歌 短 网 址 。 2 .   伪 装 目 标 链 接 ， 并 利 用 用 户 对 G o o g l e 和 T w i t t e r 域 名 的 信 任 ， 诱 使 目 标 用 户 点 击 链 接 。 3 .   创 建 重 定 向 的 基 础 结 构 ， 如 果 其 中 一 个 链 接 被 删 除 ， 则 快 速 添 加 另 一 个 链 接 继 续 操 作 。
对 某 个 谷 歌 短 网 址 的 点 击 量 统 计 在 所 有 3 7 4 2 0 8 个 谷 歌 短 网 址 中 ， 出 现 频 率 最 高 的 是 t . c o S I R E N 的 最 终 目 的 及 与 垃 圾 邮 件 僵 尸 网 络 的 关 系 的 最 终 目 的 及 与 垃 圾 邮 件 僵 尸 网 络 的 关 系 这 些 短 网 址 经 过 多 次 重 定 向 后 连 接 到 的 最 终 网 站 （ 色 情 、 摄 像 头 拍 摄 、 虚 假 约 会 交 友 网 站 等 ） 都 会 诱 使 用 户 进 行 注 册 和 消 息 订 阅 。 尽 管 这 些 网 站 是 合 法 的 ， 但 存 在 欺 骗 性 。 很 多 网 站 的 政 策 都 声 称 会 对 用 户 个 人 信 息 绝 对 保 密 。 但 实 际 上 ， 将 注 册 用 户 个 人 信 息 发 给 其 它 合 作 友 商 的 行 为 也 是 司 空 见 惯 ， 给 受 害 者 带 来 更 多 的 垃 圾 信 息 。 2 0 1 7 年 6 月 ， B r i a n   K r e b s 发 现 了 一 个 大 型 的 垃 圾 邮 件 攻 击 活 动 ， 推 广 一 个 链 接 到 D e n i r o   M a r k e t i n g 的 色 情 网 站 和 交 友 网 站 。 这 个 垃 圾 邮 件 活 动 具 有 一 系 列 的 僵 尸 网 络 面 板 ， 主 要 通 过 电 子 邮 件 进 行 操 作 。 D e n i r o   M a r k e t i n g 在 2 0 1 0 年 曾 被 起 诉 过 ， 但 目 前 看 来 似 乎 还 在 其 A S N 上 托 管 网 站 ， 并 开 展 联 合 推 广 计 划 。 S I R E N 僵 尸 网 络 同 样 将 一 些 流 量 引 入 到 与 D e n i r o M a r k e t i n g 相 关 的 网 站 。 K r e b s 将 其 初 步 发 现 发 表 在 K r e b s O n S e c u r i t y . c o m 上 ， 并 表 示 希 望 得 到 有 关 电 子 邮 件 僵 尸 网 络 或 D e n i r o   M a r k e t i n g 的 研 究 支 持 。 与 S I R E N 相 关 的 5 个 最 终 域 名 中 的 有 2 个 托 管 在 D e n i r o   M a r k e t i n g 的 A S N 上 ： C h e a t i n g c o u g a r s . c o m （ h t t p s : / / w h o i s . d o m a i n t o o l s . c o m / c h e a t i n g c o u g a r s . c o m ） 和 m i l f s h o o k u p . c o m （ h t t p s : / / w h o i s . d o m a i n t o o l s . c o m ）   / m i l f s h o o k u p . c o m ） 。   B g p v i e w . i o 显 示 ， 该 A S N 注 册 于 2 0 1 0 年 注 册 h t t p s : / / b g p v i e w . i o / a s n / 1 9 8 8 4 ， 联 系 人 来 自 网 站 d a t i n g g o l d . c o m 。 D a t i n g   G o l d 也 是 一 个 大 型 约 会 交 友 网 站 。 大 部 分 “ 僵 尸 ” 账 户 都 伪 装 成 带 有 全 裸 或 半 裸 照 片 的 女 性 身 份 。 这 类 目 标 受 害 者 大 大 提 高 了 D a t i n g   G o l d 网 站 的 男 性 注 册 数 量 ，
合 作 营 销 方 也 就 能 从 中 获 利 了 。 其 中 很 多 网 站 还 需 要 用 户 提 供 电 子 邮 件 地 址 和 电 话 号 码 才 能 访 问 会 员 门 户 。 d a t t i n g g o l d . c o m 上 列 出 的 物 理 地 址 与 D e n i r o   M a r k e t i n g 在 B G P v i e w 上 的 地 址 列 表 相 吻 合 ， 而 且 两 个 处 理 付 款 业 务 的 合 作 网 站 m n t b i l l . c o m 和 c t p y m n t . c o m （ 图 4 ） 也 是 相 匹 配 的 。 C T p y m t 和 M n t B i l l 支 付 处 理 器 的 地 址 与 D e n i r o   M a r k e t i n g 相 同 这 波 僵 尸 网 络 的 罪 魁 祸 首 是 谁 ？ 这 波 僵 尸 网 络 的 罪 魁 祸 首 是 谁 ？
我 们 统 计 发 现 ， 这 些 “ 僵 尸 ” T w i t t e r 账 户 的 大 部 分 自 我 声 明 使 用 的 语 言 都 是 俄 语 （ 详 见 下 图 ） 。 这 一 点 的 确 值 得 注 意 ， 有 1 2 . 5 % 的 “ 僵 尸 ” 账 户 所 显 示 的 账 户 名 称 都 包 含 与 普 通 俄 语 相 对 应 的 西 里 尔 字 母 表 的 字 母 。 蹩 脚 的 英 语 、 西 里 尔 文 以 及 庞 大 的 基 础 结 构 均 表 明 S I R E N 发 起 方 技 术 高 超 ， 并 且 来 自 于 欧 洲 东 部 地 区 的 可 能 性 很 大 。 该 地 区 已 经 发 现 类 似 S I R E N 垃 圾 邮 件 基 础 设 施 的 运 行 踪 迹 。 僵 尸 账 户 发 布 消 息 默 认 语 言 的 饼 图 统 计 ： e n = 英 语 （ 默 认 ） 、 r u = 俄 语 、 e s = 西 班 牙 语 、 e n - g b = 英 式 英 语 、 t r = 土 耳 其 语 、 f r = 法 语 、 d e = 德 语 僵 尸 网 络 的 捣 毁 僵 尸 网 络 的 捣 毁 截 至 7 月 1 0 日 ， Z e r o F O X 向 T w i t t e r 安 全 小 组 报 告 了 所 有 的 僵 尸 账 户 资 料 与 推 文 ， 随 后 T w i t t e r 方 面 将 其 删 除 。 T w i t t e r 响 应 速 度 如 此 之 快 是 因 为 该 恶 意 僵 尸 网 络 明 显 违 反 了 其 服 务 条 款 。 Z e r o F O X 还 向 谷 歌 安 全 团 队 汇 报 了 所 有 的 g o o . g l 短 网 址 ， 谷 歌 方 面 立 即 删 除 了 所 有 相 关 短 网 址 ， 并 将 完 整 域 名 添 加 至 其 黑 名 单 。 另 外 Z e r o F O X 也 正 在 积 极 地 发 送 数 据 遏 制 用 户 的 僵 尸 网 络 垃 圾 邮 件 。 最 佳 实 践 与 最 佳 实 践 与 S I R E N 的 影 响 的 影 响 由 于 这 种 僵 尸 网 络 的 多 样 性 ， 用 户 和 组 织 应 该 了 解 S I R E N 下 面 这 些 T T P 模 式 （ T T P 即 T a c t i c 、 T e c h n i q u e 和 P r o c e d u r e ， 包 括 攻 击 者 的 行 为 、 利 用 的 资 源 和 目 标 受 害 者 的 信 息 等 ， 主 要 通 过 标 准 语 言 来 多 细 节 地 描 述 攻 击 者 的 行 为 ） ： 1 .   T w i t t e r 僵 尸 账 户 中 的 线 程 回 复 含 有 恶 意 网 站 链 接 ， 劫 持 用 户 会 话 。 2 .   在 链 接 到 最 终 U R L 前 通 过 谷 歌 短 网 址 服 务 于 旋 转 器 进 行 多 次 重 定 向 。 3 .   即 插 即 用 式 的 基 础 结 构 — — 如 果 其 中 一 个 域 名 或 网 站 遭 到 拦 截 ， 另 一 个 网 站 或 域 名 能 够 立 即 候 补 ， 继 续 完 成 重 定 向 的 过 程 。 4 .   频 繁 使 用 免 费 注 册 的 T L D 平 台 （ 谷 歌 的 开 源 T L D 注 册 平 台 ） ， 如 . t k 和 . p w
5 .   很 多 域 名 托 管 在 A S N 1 9 8 8 4 该 僵 尸 网 络 对 用 户 及 其 他 利 益 相 关 方 带 来 的 影 响 可 以 总 结 为 以 下 几 种 形 式 ： 1 .   受 害 者 的 财 产 损 失 。 F B I 把 此 类 诈 骗 归 类 为 “ r o m a n c e   s c a m s （ 情 感 诈 骗 ） ” ， 他 们 表 示 曾 有 某 个 诈 骗 活 动 对 受 害 者 带 来 了 高 达 1 0 万 美 元 的 经 济 损 失 。 2 .   对 受 害 者 造 成 隐 私 安 全 问 题 。 恶 意 网 站 在 网 络 内 外 共 享 凭 证 。 3 .   品 牌 声 誉 受 损 。 发 布 推 文 是 S I R E N 的 重 要 传 播 手 段 ， 因 此 保 护 社 交 平 台 上 的 个 人 资 料 、 页 面 等 远 离 这 些 垃 圾 网 站 ， 有 助 于 减 少 客 户 接 触 这 些 链 接 的 几 率 ， 达 到 品 牌 声 誉 维 护 的 目 的 。 4 .   尽 管 Z e r o F O X 没 有 观 察 到 明 显 的 网 络 钓 鱼 或 恶 意 软 件 活 动 ， 但 由 于 S I R E N 采 用 即 插 即 用 体 系 结 构 ， 很 容 易 实 现 对 使 用 漏 洞 组 件 网 站 的 恶 意 转 换 和 重 定 向 。 免 责 声 明 ： 本 文 所 涉 及 欺 诈 活 动 已 报 告 给 相 关 平 台 ， 并 作 出 了 及 时 处 理 。 本 报 告 数 据 均 为 相 关 社 交 平 台 A P I 所 收 集 的 公 开 数 据 ， 不 包 含 机 密 信 息 。 * 参 考 来 源 ： z e r o f o x ， F B 小 编 C a r r i e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理