搜索

[12024] 2017-11-18_黑产攻击途径升级，云服务成重灾区

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-11-18_黑产攻击途径升级，云服务成重灾区 黑 产 攻 击 途 径 升 级 ， 云 服 务 成 重 灾 区 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 1 1 - 1 8 在 我 们 的 印 象 里 ， 黑 产 以 及 相 关 的 肉 鸡 D D O S 攻 击 总 是 离 我 们 很 远 。 可 实 际 情 况 并 非 如 此 ， 特 别 是 在 云 服 务 大 行 其 道 的 今 天 。 日 前 ， 腾 讯 反 病 毒 实 验 室 就 观 察 到 了 国 内 云 服 务 中 日 前 ， 腾 讯 反 病 毒 实 验 室 就 观 察 到 了 国 内 云 服 务 中 G h 0 s t 远 控 新 样 本 出 现 爆 发 式 增 长 ， 并 就 此 进 行 了 分 析 溯 远 控 新 样 本 出 现 爆 发 式 增 长 ， 并 就 此 进 行 了 分 析 溯 源 。 在 经 过 反 病 毒 工 程 师 一 系 列 分 析 后 ， 我 们 发 现 这 些 样 本 在 云 服 务 上 的 应 用 分 为 两 种 ： 源 。 在 经 过 反 病 毒 工 程 师 一 系 列 分 析 后 ， 我 们 发 现 这 些 样 本 在 云 服 务 上 的 应 用 分 为 两 种 ： 1 ， 使 用 大 量 低 配 置 云 ， 使 用 大 量 低 配 置 云 服 务 器 进 行 样 本 生 成 和 分 发 ， 明 显 的 典 型 黑 产 团 队 化 操 作 行 为 。 服 务 器 进 行 样 本 生 成 和 分 发 ， 明 显 的 典 型 黑 产 团 队 化 操 作 行 为 。 2 ， 黑 客 利 用 漏 洞 进 行 渗 透 和 传 播 病 毒 ， 然 后 控 ， 黑 客 利 用 漏 洞 进 行 渗 透 和 传 播 病 毒 ， 然 后 控 制 肉 鸡 进 行 制 肉 鸡 进 行 D D O S 窥 探 隐 私 甚 至 批 量 注 册 等 黑 产 攻 击 行 为 。 窥 探 隐 私 甚 至 批 量 注 册 等 黑 产 攻 击 行 为 。 一 方 面 ， 云 服 务 质 优 价 廉 ， 可 以 低 成 本 地 进 行 混 淆 样 本 批 量 生 成 ， 受 到 黑 产 从 业 者 的 青 睐 。 另 一 方 面 ， 由 于 云 服 务 复 杂 的 内 外 网 环 境 ， 大 大 增 加 了 病 毒 传 播 的 速 度 和 危 害 。 端 倪 初 露 端 倪 初 露 1 0 月 中 旬 ， 我 们 的 预 警 系 统 提 示 G h 0 s t 样 本 大 量 新 增 ， 针 对 这 个 情 况 ， 我 们 对 新 增 样 本 进 行 了 分 析 和 排 查 。 观 察 到 的   G h 0 s t   新 样 本 的 增 长 趋 势 ： G h 0 s t   新 样 本 在 国 庆 期 间 有 次 异 常 的 数 量 爆 发 ， 随 后 几 天 也 有 一 定 程 度 的 新 增 。 我 们 仔 细 分 析 了 爆 发 期 间 的 这 批 样 本 ， 发 现 其 文 件 结 构 非 常 类 似 ， 同 时 基 本 来 自 同 一 个 云 服 务 ， 当 时 推 断 应 该 是 有 黑 手 在 云 服 务 器 上 批 量 生 成 样 本 ， 为 大 量 传 播 做 准 备 。 同 时 对 后 期 增 长 的 新 病 毒 进 行 的 分 析 发 现 ， 虽 然 病 毒 新 文 件 增 长 不 多 ， 但 影 响 范 围 非 常 广 。 从 某 病 毒 部 署 端 泄 露 的 情 况 来 看 ， 仅 一 个 样 本 部 署 实 例 就 有 近 百 次 感 染 传 播 。 这 大 大 增 加 了 我 们 的 紧 迫 感 ： H i t s ， 指 的 就 是 感 染 的 用 户 个 数 ， 这 些 用 户 机 器 上 已 经 运 行 病 毒 并 且 回 传 信 息 了 。
典 型 样 本 解 析 ： 典 型 样 本 解 析 ： 顺 着 这 条 线 ， 我 们 抽 样 了 最 近 的 新 鲜 样 本 。 由 于 这 些 样 本 行 为 类 似 ， 本 文 着 重 使 用 一 个 样 本 3 7 2 4 f 0 9 e e 6 1 * * 进 行 解 析 ， 该 样 本 本 身 是 在 云 服 务 中 发 现 的 ， 发 现 的 时 候 名 为 S y s t e m . e x e 。 其 行 为 如 下 ： 木 马 启 动 后 ， 首 先 通 过 拼 接 字 符 串 得 到 它 下 一 步 所 下 载 样 本 的 存 放 位 置 ， 然 后 再 解 密 一 个 给 定 的 字 符 串 ， 即 得 到 它 所 要 下 载 样 本 的 下 载 地 址 ： 对 加 密 的 下 载 地 址 首 先 通 过 B a s e 6 4 解 码 算 法 进 行 解 码 ， 再 把 解 码 后 的 字 节 通 过 加 0 x 7 A ， 再 异 或 0 x 1 9 ， 解 密 出 下 载 地 址 ： 解 码 后 的 数 据 为 ： 将 该 解 码 后 的 数 据 继 续 解 密 得 到 下 载 地 址 ： 木 马 将 从 上 述 下 载 地 址 中 将 样 本 下 载 下 来 ， 并 将 文 件 后 缀 改 为 . e x e 放 置 在 之 前 设 定 的 位 置 ： 直 接 查 看 该 下 载 文 件 可 看 到 它 并 不 是 一 个 P E 文 件 ， 其 内 容 已 加 密 。 木 马 申 请 相 应 的 内 存 大 小 ， 将 下 载 到 的 文 件 加 载 到 内 存 ， 并 进 行 解 密 ：
解 密 完 成 得 到 一 个 P E   d l l 文 件 ， 该 d l l 文 件 有 一 个 名 为 u p d a t a 的 导 出 函 数 ： 该 d l l 文 件 并 未 保 存 到 本 地 ， 而 是 被 木 马 直 接 加 载 到 内 存 ， 这 样 很 大 程 度 上 避 免 了 被 杀 毒 软 件 直 接 查 杀 的 情 况 。 木 马 对 加 载 后 的 d l l 获 取 其 导 出 函 数 u p d a t a 的 地 址 ， 传 入 一 个 加 密 的 字 符 串 参 数 ， 进 行 调 用 。 在 u p d a t a 函 数 中 ， 创 建 了 一 个 用 于 接 收 命 令 的 线 程 ， 并 解 密 了 其 传 入 参 数 ， 得 到 远 程 控 制 端 的 域 名 及 端 口 ： f a n d . f * . n e t : 2 0 1 7 。 在 完 成 对 控 制 端 的 解 析 之 后 ， 木 马 开 始 与 控 制 端 进 行 通 信 ， 接 收 并 执 行 控 制 端 发 来 的 命 令 ， 向 控 制 端 上 传 信 息 ， 在 被 控 端 添 加 本 地 账 户 等 ：
向 控 制 端 上 传 本 机 的 系 统 版 本 、 机 器 名 、 系 统 日 期 等 信 息 ： 添 加 本 地 账 户 ： 其 执 行 流 程 如 下 ：
样 本 追 溯 和 攻 击 流 程 样 本 追 溯 和 攻 击 流 程 在 这 批 样 本 中 ， 我 们 发 现 了 以 下 特 点 ： 1 ， 在 云 服 务 上 发 现 的 样 本 网 络 请 求 还 是 指 向 了 云 服 务 。 后 门 启 动 之 后 又 连 向 了 同 一 个 云 服 务 的 其 他 主 机 ， 获 取 该 ， 在 云 服 务 上 发 现 的 样 本 网 络 请 求 还 是 指 向 了 云 服 务 。 后 门 启 动 之 后 又 连 向 了 同 一 个 云 服 务 的 其 他 主 机 ， 获 取 该 主 机 上 的 一 个 文 件 ， 这 个 文 件 才 是 远 控 后 门 的 主 要 逻 辑 模 块 。 主 机 上 的 一 个 文 件 ， 这 个 文 件 才 是 远 控 后 门 的 主 要 逻 辑 模 块 。 作 者 利 用 这 种 手 段 ， 来 产 生 大 量 不 同 的 不 带 后 门 逻 辑 的 D o w n l o a d e r 文 件 ， 来 躲 过 杀 毒 软 件 监 测 。 比 如 上 面 典 型 样 本 就 是 如 此 ， 打 开 它 对 应 的 下 载 地 址 如 下 ： P S ： 黑 手 估 计 是 为 了 省 事 ， 竟 然 直 接 用 了 H F S … 2 ， 远 控 后 门 不 仅 仅 用 于 窃 取 信 息 ， 还 会 用 于 ， 远 控 后 门 不 仅 仅 用 于 窃 取 信 息 ， 还 会 用 于 D D O S ， 甚 至 批 量 注 册 等 各 式 各 样 的 黑 产 用 途 。 通 过 我 们 对 通 信 协 议 特 ， 甚 至 批 量 注 册 等 各 式 各 样 的 黑 产 用 途 。 通 过 我 们 对 通 信 协 议 特 征 的 分 析 ， 追 述 到 的 主 控 端 系 统 ： 征 的 分 析 ， 追 述 到 的 主 控 端 系 统 ：
这 个 系 统 不 仅 兼 容 W i n 还 兼 容 大 多 数 L i n u x 系 统 ， 云 平 台 通 吃 让 他 成 为 了 黑 产 人 员 的 得 力 工 具 。 3 、 大 量 使 用 免 费 ， 难 以 追 查 的 动 态 域 名 ， 非 主 流 域 名 进 行 犯 案 。 在 我 们 观 察 到 的 活 跃 样 本 的 、 大 量 使 用 免 费 ， 难 以 追 查 的 动 态 域 名 ， 非 主 流 域 名 进 行 犯 案 。 在 我 们 观 察 到 的 活 跃 样 本 的 D N S 解 析 记 录 中 ， 大 解 析 记 录 中 ， 大 量 出 现 了 如 量 出 现 了 如 f 3 3 2 2 . n e t ， ， . g n w a y . c c 等 免 费 试 用 二 级 域 名 的 网 址 ， 也 出 现 了 类 似 等 免 费 试 用 二 级 域 名 的 网 址 ， 也 出 现 了 类 似 . r e n ， ， . p w 的 各 种 非 主 流 免 费 域 名 。 的 各 种 非 主 流 免 费 域 名 。 样 本 集 中 提 取 到 的 部 分 仍 在 活 跃 的 犯 案 域 名 ： 这 些 域 名 由 于 免 费 ， 且 注 册 机 制 不 完 善 ， 注 册 者 可 以 很 容 易 的 地 伪 造 注 册 信 息 来 隐 藏 自 己 ； 同 时 对 于 免 费 二 级 域 名 网 址 ， 由 于 注 册 资 料 掌 握 在 私 人 公 司 手 里 ， 也 很 难 让 人 追 查 到 幕 后 黑 手 。 其 中 一 个 站 点 ， 随 意 填 写 的 网 站 注 册 信 息 ：
4 ， 传 播 途 径 仍 为 老 旧 漏 洞 ； ， 传 播 途 径 仍 为 老 旧 漏 洞 ； 继 续 深 挖 后 ， 我 们 找 到 了 入 侵 云 设 施 所 使 用 的 攻 击 文 件 ， 有 一 些 非 常 熟 悉 的 内 容 出 现 在 我 们 眼 前 ： 永 恒 之 蓝 ， 永 恒 浪 漫 ， 很 熟 悉 的 名 字 ， 对 ， 就 是 前 段 时 间 横 扫 教 育 网 的 W a n n a C r y 所 利 用 的 漏 洞 。 如 果 在 一 般 家 庭 用 户 电 脑 上 ， 这 些 漏 洞 应 该 半 年 前 就 被 修 复 了 。 然 而 在 云 服 务 上 ， 服 务 器 疏 于 管 理 ， 不 能 及 时 更 新 补 丁 ， 同 时 防 火 墙 策 略 没 有 正 确 设 置 的 话 ， 仍 旧 能 被 这 些 漏 洞 轻 易 入 侵 ， 置 入 各 种 后 门 ， 远 程 主 控 等 等 。 5 ， 攻 击 图 谱 ： ， 攻 击 图 谱 ： 攻 击 者 使 用 N S A 工 具 从 外 部 攻 入 云 设 施 后 ， 使 用 内 部 设 备 作 为 跳 板 ， 继 续 感 染 内 网 设 备 ， 同 时 将 内 网 设 备 开 放 到 外 网 控 制 其 他 设 备 ， 大 大 加 剧 了 风 险 的 传 播 力 度 。 总 结 和 反 思 总 结 和 反 思 云 设 施 的 复 杂 网 络 环 境 ， 会 导 致 被 入 侵 后 感 染 的 威 胁 的 危 害 呈 指 数 型 扩 大 。 越 来 越 多 的 恶 意 软 件 开 始 转 移 到 云 设 施 上 进 行 传 播 和 生 成 。 一 般 云 设 施 都 在 外 部 流 量 上 做 了 严 密 防 范 ， 严 格 的 防 火 墙 策 略 和 入 侵 检 测 监 控 都 是 有 的 。 然 而 ， 若 一 旦 某 台 设 备 被 不 幸 感 染 ， 攻 击 者 通 过 内 网 发 起 攻 击 的 话 ， 入 侵 难 度 就 小 得 多 。 在 此 次 调 查 中 ， 云 服 务 中 内 网 设 备 感 染 了 大 量 指 向 云 服 务 本 身 设 备 的 后 门 ， 有 力 印 证 了 上 面 这 点 。 因 此 云 设 施 的 安 全 自 动 化 运 维 势 在 必 行 ， 云 服 务 提 供 包 括 打 补 丁 ， 防 火 墙 设 置 等 自 动 或 者 人 工 的 配 置 和 咨 询 服 务 ， 对 提 升 云 服 务 品 质 ， 提 升 云 设 施 安 全 水 准 有 很 大 作 用 。 用 户 购 买 和 使 用 这 些 服 务 可 以 免 去 大 部 分 安 全 方 面 的 后 顾 之 忧 ， 保 障 业 务 健 壮 性 和 可 持 续 性 。 * 本 文 作 者 ： 腾 讯 电 脑 管 家 ； 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理