搜索

[11829] 2017-09-26_系统清理工具CCleaner后门事件后续：黑客删除服务器内容，Avast公布受感染公司名单

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-09-26_系统清理工具CCleaner后门事件后续：黑客删除服务器内容，Avast公布受感染公司名单 系 统 清 理 工 具 C C l e a n e r 后 门 事 件 后 续 ： 黑 客 删 除 服 务 器 内 容 ， A v a s t   公 布 受 感 染 公 司 名 单 A n g e l a Y   F r e e B u f   2 0 1 7 - 0 9 - 2 6 A v a s t   公 司 的 威 胁 情 报 小 组 今 天 发 布 了 上 周   C C l e a n e r   后 门 事 件 的 新 细 节 。 研 究 显 示 ， 研 究 显 示 ， C C l e a n e r   黑 客 用 于 存 储 受 感 染 主 机 数 据 的 数 据 库 空 间 不 足 ， 因 此 在 黑 客 用 于 存 储 受 感 染 主 机 数 据 的 数 据 库 空 间 不 足 ， 因 此 在   9   月 月   1 2   日 将 该 数 据 库 删 除 。 这 意 味 着 受 害 者 信 息 现 在 已 经 丢 失 、 日 将 该 数 据 库 删 除 。 这 意 味 着 受 害 者 信 息 现 在 已 经 丢 失 、 无 法 追 查 ， 且 感 染 第 二 阶 段 后 门 无 法 追 查 ， 且 感 染 第 二 阶 段 后 门   p a y l o a d   的 计 算 机 数 量 可 能 比 最 初 预 估 的 更 大 。 的 计 算 机 数 量 可 能 比 最 初 预 估 的 更 大 。 C C l e a n e r   后 门 可 以 收 集 用 户 信 息 并 将 其 发 送 给 受 攻 击 者 控 制 的 服 务 器 ， 该 服 务 器 已 经 在   9   月   1 5   日 关 闭 。 整 个 后 门 事 件 中 ， 在   8   月   1 5   日 至   9   月   1 2   日 期 间 下 载 受 感 染 的   C C l e a n e r   的 用 户 共 达   2 7 2   万 。 C C l e a n e r   事 件 简 要 总 结 事 件 简 要 总 结 C C l e a n e r   是 一 款 免 费 的 系 统 优 化 和 隐 私 保 护 工 具 。 主 要 用 来 清 除   W i n d o w s   系 统 不 再 使 用 的 垃 圾 文 件 ， 以 腾 出 更 多 硬 盘 空 间 ， 并 且 还 具 有 清 除 上 网 记 录 等 功 能 。 7   月 初 ， C C l e a n e r   就 遭 到 了 攻 击 ， 那 时 候   A v a s t   还 没 有 收 购   C C l e a n e r   的 制 造 商   P i r i f o r m 。 当 时 ， 黑 客 设 法 入 侵 了 公 司 的 系 统 ， 并 修 改 了   3 2   位 C C l e a n e r   5 . 3 3 . 6 1 6 2   版 本 和   C C l e a n e r   C l o u d   v 1 . 0 7 . 3 1 9 1   版 本 ， 分 别 植 入 了 后 门 。 这 个 后 门 的 完 整 感 染 过 程 分 为 三 个 阶 段 ： 第 一 阶 段 的 恶 意 第 一 阶 段 的 恶 意   p a y l o a d   仅 在 仅 在   3 2   位 平 台 上 执 行 ， 收 集 受 感 染 位 平 台 上 执 行 ， 收 集 受 感 染   P C   的 数 据 ， 并 将 收 集 到 的 详 细 信 息 发 送 到 远 程 的 数 据 ， 并 将 收 集 到 的 详 细 信 息 发 送 到 远 程 C ＆ ＆ C 服 务 器 。 服 务 器 。 服 务 器 将 把 这 些 信 息 存 储 在 一 个   M a r i a D B （ M y S Q L   f o r k ） 中 ， 并 且 会 在 每 个 受 感 染 的 主 机 上 运 行 一 系 列 过 滤 器 ， 以 确 定 是 否 发 送 第 二 阶 段 的   p a y l o a d （ 一 个 非 常 隐 蔽 的 后 门 木 马 ） 。 根 据   C i s c o   T a l o s   的 分 析 ， C ＆ C   服 务 器 可 以 在 大 型 科 技 公 司 的 网 络 中 寻 找 计 算 机 并 进 行 感 染 。 研 究 人 员 回 收 的 列 表 显 示 ， G o o g l e ， M i c r o s o f t ， H T C ， S a m s u n g ， I n t e l ， S o n y ， V M W a r e ， O 2 ， V o d a f o n e ， L i n k s y s ， E p s o n ， M S I ， A k a m a i ， D L i n k ， O r a c l e （ D y n ） ， G a u s e l m a n n 和   S i n g t e l   等 公 司 都 是   C & C   服 务 的 搜 索 目 标 。 第 二 阶 段 的 第 二 阶 段 的   p a y l o a d   需 要 连 接 到 另 一 个 需 要 连 接 到 另 一 个   C ＆ ＆ C   服 务 器 ， 发 送 受 感 染 机 器 上 的 信 息 ， 并 从 服 务 器 检 索 和 执 行 附 加 代 码 。 服 务 器 ， 发 送 受 感 染 机 器 上 的 信 息 ， 并 从 服 务 器 检 索 和 执 行 附 加 代 码 。 此 外 ， 还 使 用 G e e S e t u p _ x 8 6 . d l l   安 装 程 序 ， 可 以 根 据 受 感 染 系 统 的 不 同 架 构 而 获 取 不 同 的 恶 意 软 件 。 植 入 的 恶 意 软 件 被 保 存 到 注 册 表 中 ， 同 时 可 以 巧 妙 地 提 取 注 册 表 、 装 载 程 序 并 运 行 。 在   x 6 4   系 统 上 ， 攻 击 者 通 过 向 保 护 代 码 、 避 免 缓 冲 区 溢 出 的 函 数   _ _ s e c u r i t y _ i n i t _ c o o k i e   添 加 几 个 指 令 ， 来 修 改   C   运 行 时 间 （ C R T ） 。 他 们 添 加 的 指 令 可 以 使   _ p R a w D l l M a i n   函 数 指 针 链 接 到 提 取 隐 藏 注 册 表   p a y l o a d   l o a d e r   的 特 定 函 数 上 。 研 究 表 明 ， 第 二 阶 段 的   p a y l o a d   中 还 包 含 一 个 死 亡 开 关 （ k i l l   s w i t c h ） ， 只 会 在 系 统 感 染 之 后 触 发 。 具 体 来 说 ， 在 执 行 时 ， 该   p a y l o a d   会 检 查   ％ T E M P ％ s p f   文 件 是 否 存 在 ， 如 果 文 件 存 在 ， 则 终 止 执 行 。 此 外 ， 第 二 阶 段 的   p a y l o a d   还 可 以 通 过   G i t H u b   页 面 、 W o r d P r e s s   托 管 页 面 ， 或 通 过 读 取 未 命 名 域 名 的 D N S   记 录 来 检 索   C ＆ C   I P   地 址 。 在 调 查 期 间 ， A v a s t   发 现   G i t H u b   和   W o r d P r e s s   页 面 已 经 不 存 在 ， 且 未 命 名 的 域 名 也 没 有 注 册   I P   地 址 。 因 此 ， 这 个 p a y l o a d   不 可 能 与 第 二 个   C ＆ C   通 信 ， 也 不 可 能 发 送 第 三 阶 段 的   p a y l o a d 。 攻 击 者 的 数 据 库 记 录 了 感 染 第 一 、 第 二 阶 段 恶 意   p a y l o a d   的 所 有 计 算 机 信 息 。 第 三 阶 段 的 第 三 阶 段 的   p a y l o a d   也 可 能 与 攻 击 有 关 ， 但 目 前 尚 未 有 更 详 细 的 信 息 。 也 可 能 与 攻 击 有 关 ， 但 目 前 尚 未 有 更 详 细 的 信 息 。 查 获 查 获   C ＆ ＆ C   服 务 器 ， 恢 复 数 据 、 日 志 服 务 器 ， 恢 复 数 据 、 日 志 安 全 公 司 上 周 检 测 到 被 植 入 后 门 的   C C l e a n e r   可 执 行 文 件 后 ， 立 刻 就 联 系 了   A v a s t 。   A v a s t   配 合 执 法 部 门 查 获 了 收 集 用 户 数 据 的 服 务 器 （ 配 合 执 法 部 门 查 获 了 收 集 用 户 数 据 的 服 务 器 （ I P ： ： 2 1 6 . 1 2 6 . 2 2 5 . 1 4 8 ） 。 ） 。 服 务 器 查 获 后 ， C i s c o   T a l o s   和   A v a s t   先 后 发 布 了 数 据 分 析 ， 发 现 了 一 些 新 的 细 节 。 从 服 务 器 日 志 中 提 取 出 来 的 新 信 息 表 明 ， 攻 击 者 将 后 门 植 入 到   C C l e a n e r   的 前 几 天 ， 这 个 服 务 器 就 已 经 设 置 好 了 。 不 过 ， 时 刻 也 指 出 ， 尽 管 服 务 器 已 经 上 线 了 一 个 多 月 ， 但 数 据 库 中 只 包 含   9   月   1 2   日 至   9   月   1 6   日 间 活 跃 的 感 染 信 息 ， 而 且 没 有 任 何 其 他 信 息 。 A v a s t   进 一 步 表 示 ， 在 对 日 志 进 行 更 深 入 的 分 析 之 后 ， 发 现 服 务 器 的 磁 盘 内 存 已 满 ， 因 此 攻 击 者 不 得 不 删 除 之 前 记 录 的 数 据 （ 当 然 ， 在 删 除 之 前 ， 攻 击 者
很 可 能 已 经 将 这 些 数 据 下 载 备 份 了 ） 。 由 于 黑 客 删 除 了 数 据 库 ， 自   8     月   1 5   日 到   9   月   1 2   日 这   2 8   天 的 感 染 数 据 均 已 丢 失 。 不 幸 的 是 ， 这 个 服 务 器 磁 盘 容 量 有 限 、 比 较 低 端 ， 否 则 （ 在 服 务 器 关 机 前 的 5 天 ） ， 如 果 整 个 数 据 库 从 初 始 发 布 日 期 起 就 完 好 无 损 ， 我 们 就 能 通 过 分 析 数 据 而 更 清 楚 地 了 解 到 真 正 受 到 后 门 影 响 的 受 害 者 。 * * 发 现 第 二 台 服 务 器 ， 公 布 受 感 染 公 司 名 单 发 现 第 二 台 服 务 器 ， 公 布 受 感 染 公 司 名 单 经 过 几 天 的 深 入 研 究 ，   A v a s t   发 现 了 黑 客 使 用 的 第 二 台 服 务 器 （ 发 现 了 黑 客 使 用 的 第 二 台 服 务 器 （ I P ： ： 2 1 6 . 1 2 6 . 2 2 5 . 1 6 3 ） 。 ） 。 根 据 第 一 台 和 第 二 胎 服 务 器 的 内 容 ， A v a s t     发 现 实 际 受 第 一 阶 段   p a y l o a d   感 染 并 反 馈 给   C & C   服 务 器 的 计 算 机 数 目 有   1 6 4 6 5 3 6   台 （ 事 件 发 生 期 间 ， 共 有   2 2 7   万 用 户 下 载 了 有 后 门 的   C C l e a n e r ） 。 其 中 受 第 二 阶 段   p a y l o a d   感 染 的 计 算 机 数 目 则 只 有   4 0   台 。 A v a s t   还 公 布 了 受 感 染 的 公 司 名 单 ： C h u n g h w a   T e l e c o m N E C S a m s u n g A S U S F u j i t s u S o n y I P A d d r e s s . c o m O 2 G a u s e l m a n n S i n g t e l I n t e l V M W a r e 其 中 ， 受 感 染 最 严 重 （ 1 3   台 计 算 机 受 感 染 ） 的 是 一 家 台 湾 网 络 服 务 供 应 商   C h u n g h w a   T e l e c o m ， 其 次 是 日 本   I T   公 司   N E C   （ 1 0   台 计 算 机 受 感 染 ） 。 三 星 公 司 排 名 第 三 ， 有   5   台 计 算 机 受 感 染 。
此 外 ， 还 有 一 部 分 遭 到 攻 击 但 未 被 感 染 的 公 司 ： G o o g l e M i c r o s o f t H T C S a m s u n g I n t e l S o n y V M W a r e V o d a f o n e L i n k s y s E p s o n M S I A k a m a i D L i n k O r a c l e   ( D y n ) G a u s e l m a n n S i n g t e l A v a s t   表 示 ， 由 于 服 务 器 中 信 息 不 全 ， 遭 到 攻 击 的 公 司 比 列 表 的 更 多 。 两 台 服 务 器 上 的 所 有 登 录 记 录 显 示 ， 攻 击 者 可 能 居 住 在 俄 罗 斯 东 部 、 中 国 和 印 度 时 区 ； 此 前 卡 巴 斯 基 和 思 科 的 研 究 还 表 明 ， 此 次 攻 击 可 能 与   A x i o m   A P T 有 关 。 但 这 也 可 能 是 攻 击 者 故 意 伪 造 的 ， 还 需 要 进 一 步 研 究 。 新 时 间 线 ： 新 时 间 线 ： 基 于   A v a s t   的 日 志 分 析 ， 可 以 得 出 以 下 时 间 表 ： 7   月   3   日   攻 击 者 入 侵   P i r i f o r m   基 础 设 施 。 7   月   1 9   日   A v a s t   宣 布 收 购   P i r l y   公 司 （ 即 开 发   C C l e a n e r   的 公 司 ） ； 7   月   3 1   日   0 6 : 3 2     攻 击 者 安 装   C ＆ C   服 务 器 ； 8   月   1 1   日   0 7 : 3 6     攻 击 者 启 动 数 据 采 集 程 序 ， 准 备 在   8   月   1 5   日   入 侵   C C l e a n e r 、 修 改   C C l e a n e r   二 进 制 文 件 和   C C l e a n e r   云 二 进 制 文 件 ； 8   月   1 5   日     P i r i f o r m   成 为   A v a s t   的 分 公 司 ， 发 布   C C l e a n e r   5 . 3 3 。   C C l e a n e r   5 . 3 3 . 6 1 6 2   版 本 被 （ F l o x i f ） 恶 意 软 件 感 染 ；
8   月   2 0   日 和   2 1   日     M o r p h i s e c   的 安 全 产 品 检 测 到   C C l e a n e r   首 个 实 际 恶 意 活 动 并 加 以 阻 止 ， 但 并 未 加 以 重 视 ； 8   月   2 4   日     P i r i f o r m   发 布 被   F l o x i f   木 马 感 染 的   C C l e a n e r   C l o u d   v 1 . 0 7 . 3 1 9 1 ； 9   月   1 0   日   2 0 : 5 9     攻 击 者 的   C ＆ C   服 务 器 空 间 不 足 ， 停 止 数 据 收 集 。 攻 击 者 备 份 原 始 数 据 库 ； 9   月   1 1   日   M o r p h i s e c   客 户 与 公 司 工 程 师 共 享 关 于   C C l e a n e r   恶 意 活 动 详 情 的 检 测 日 志 ； 9   月   1 2   日   0 7 : 5 6     攻 击 者 清 楚   C ＆ C   服 务 器 内 容 ； 9   月   1 2   日   0 8 : 0 2   攻 击 者 重 新 安 装   C ＆ C   服 务 器 ； 9   月   1 2   日     M o r p h i s e c   向   A v a s t   和   C i s c o   汇 报   C C l e a n e r   恶 意 活 动 ，   A v a s t   展 开 调 查 并 上 报 执 法 部 门 ， 思 科 也 开 始 调 查 ； 9   月   1 4   日     思 科 通 知 A v a s t 自 己 的 发 现 ； 9   月   1 5   日     当 局 查 获   C ＆ C   服 务 器 ； 9   月   1 5   日     A v a s t   发 布 安 全 的   C C l e a n e r   5 . 3 4   和   C C l e a n e r   C l o u d   1 . 0 7 . 3 2 1 4   版 本 ； 9   月   1 8   日     思 科 、 M o r p h i s e c   和   A v a s t   /   P i r i f o r m   发 布 报 告 之 后 ， C C l e a n e r   后 门 事 件 全 面 曝 光 ； 9   月 ？     S e r v e r C r a t e   将 备 份 服 务 器 的 副 本 提 供 给   A v a s t ； 最 新     A v a s t   公 布 受 感 染 公 司 名 单 及 更 多 调 查 详 情 。 * 参 考 来 源 ： b l e e p i n g c o m p u t e r ， S e c u r i t y W e e k ， b l e e p i n g c o m p u t e r ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理