搜索

[15140] 2020-03-17_MacOS恶意软件Shlayer分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-03-17_MacOS恶意软件Shlayer分析 M a c O S 恶 意 软 件 S h l a y e r 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 3 - 1 7 近 两 年 来 ， 近 两 年 来 ， S h l a y e r 木 马 一 直 是 木 马 一 直 是 M a c O S 平 台 上 最 常 见 的 恶 意 软 件 ， 十 分 之 一 的 平 台 上 最 常 见 的 恶 意 软 件 ， 十 分 之 一 的 M a c O S 用 户 受 到 它 的 攻 击 ， 占 该 用 户 受 到 它 的 攻 击 ， 占 该 操 作 系 统 检 测 到 攻 击 行 为 的 操 作 系 统 检 测 到 攻 击 行 为 的 3 0 % 。 第 一 批 样 本 发 现 于 。 第 一 批 样 本 发 现 于 2 0 1 8 年 年 2 月 ， 此 后 收 集 了 近 月 ， 此 后 收 集 了 近 3 2 0 0 0 个 不 同 的 木 马 恶 意 样 本 ， 个 不 同 的 木 马 恶 意 样 本 ， 并 确 定 了 并 确 定 了 1 4 3 个 个 C & C 服 务 器 。 服 务 器 。 自 S h l a y e r 首 次 被 发 现 以 来 ， 其 使 用 的 算 法 几 乎 没 有 变 化 ， 活 动 行 为 保 持 平 稳 。
技 术 细 节 技 术 细 节 从 技 术 角 度 来 看 ， S h l a y e 是 一 个 相 当 普 通 的 恶 意 软 件 。 在 所 有 变 体 中 ， 只 有 最 新 的 木 马 下 载 程 序 O S X . S h l a y e r . e 与 众 不 同 。 此 恶 意 软 件 的 变 体 是 用 P y t h o n 编 写 的 ， 其 算 法 也 有 不 同 。 具 体 分 析 如 下 （ 样 本 M D 5 ： 4 d 8 6 a e 2 5 9 1 3 3 7 4 c f c b 8 0 a 8 d 7 9 8 b 9 0 1 6 e ） ： 感 染 第 一 阶 段 感 染 第 一 阶 段 安 装 此 D M G 映 像 后 ， 将 提 示 用 户 运 行 “ 安 装 ” 文 件 ， 安 装 程 序 是 P y t h o n 脚 本 。 应 用 程 序 包 内 可 执 行 文 件 目 录 包 含 两 个 P y t h o n 脚 本 ： G J P W V U U D 8 4 7   D Z Q P Y B I ( m a i n ) 和 G o q W a j d B u V 6 ( a u x i l i a r y ) 。 后 者 用 来 实 现 数 据 加 密 功 能 ：
接 下 来 ， 主 脚 本 生 成 唯 一 用 户 和 系 统 I D ， 收 集 m a c O S 版 本 的 信 息 。 基 于 这 些 数 据 生 成 G E T   q u e r y 参 数 ， 下 载 Z I P 文 件 ： 下 载 到 / t m p / % （ s e s s i o n I D ） 目 录 的 Z I P 文 件 使 用 u n z i p 函 数 解 压 到 / t m p / t m p 目 录 ：
Z I P 包 含 可 执 行 文 件 8 4 c d 5 b b a 3 8 7 0 应 用 程 序 包 ： 解 压 文 件 后 ， p y t h o n 脚 本 使 用 c h m o d 赋 予 文 件 8 4 c d 5 b b a 3 8 7 0 在 系 统 中 运 行 的 权 限 ： 样 本 使 用 m o v e I c o n 和 f i n d V o l u m e P a t h 函 数 将 原 始 D M G 图 标 复 制 到 新 下 载 的 应 用 程 序 包 所 在 的 目 录 中 ： 木 马 程 序 使 用 内 置 工 具 下 载 和 解 压 ， 并 删 除 下 载 的 文 件 及 其 解 压 内 容 ：
感 染 第 二 阶 段 感 染 第 二 阶 段 S h l a y e r 本 身 只 执 行 攻 击 的 初 始 阶 段 ， 穿 透 系 统 ， 加 载 p a y l o a d 运 行 。 调 查 A d W a r e . O S X . C i m p l i 可 以 看 出 其 对 用 户 的 负 面 影 响 。 C i m p l i 安 装 程 序 看 起 来 无 害 ， 只 是 提 供 安 装 ： 但 实 际 上 C i m p l i 执 行 用 户 看 不 到 的 操 作 。 首 先 ， 它 在 S a f a r i 中 安 装 一 个 恶 意 扩 展 ， 将 操 作 系 统 安 全 通 知 隐 藏 在 恶 意 软 件 伪 造 窗 口 后 。 单 击 通 知 中 的 按 钮 ， 用 户 就 会 同 意 安 装 扩 展 。 其 中 一 个 扩 展 名 为 M a n a g e m e n t M a r k ， 检 测 为 非 病 毒 ： H E U R : A d W a r e . S c r i p t . S e a r c h E x t . g e n 。 它 监 视 用 户 搜 索 并 将 其 重 定 向 到 地 址 h x x p : / / l k y s e a r c h e x 4 1 3 4 3 - a . a k a m a i h d [ . ] n e t / a s ? q = c ：
样 本 还 加 载 P y I n s t a l l e r 打 包 的 m i t m d u m p 工 具 。 系 统 中 添 加 了 一 个 特 殊 的 可 信 证 书 ， 允 许 m i t m d u m p 查 看 H T T P S 流 量 ， 所 有 的 用 户 流 量 被 重 定 向 到 m i t m d u m p 的 S O C K S 5 代 理 。 通 过 m i t m d u m p （ S e a r c h S k i l l e d D a t a ） 的 所 有 流 量 都 由 脚 本 S e a r c h S k i l l e d D a t a . p y （ - s 选 项 ） 处 理 ： 此 脚 本 将 所 有 用 户 搜 索 查 询 重 定 向 到 h x x p : / / l k y s e a r c h d s 3 8 2 2 - a . a k a m a i h d [ . ] n e t 。 C i m p l i 并 不 是 S h l a y e r 唯 一 一 个 广 告 软 件 应 用 程 序 系 列 ， 还 包 括 A d W a r e . O S X . B n o d l e r o 、 A d W a r e . O S X . G e o n e i 和 A d W a r e . O S X . P i r r i t 。 软 件 传 播 软 件 传 播 恶 意 软 件 传 播 是 其 生 命 周 期 的 重 要 组 成 部 分 ， S h l a y e r 为 了 解 决 这 个 问 题 制 定 了 很 多 方 案 ： 在 找 你 最 喜 欢 的 电 视 节 目 的 最 新 一 集 吗 ？ 想 看 足 球 比 赛 的 直 播 吗 ？ 要 格 外 小 心 ， 因 为 感 染 S h l a y e r 的 几 率 很 高 。
在 大 多 数 情 况 下 广 告 登 陆 页 面 把 用 户 带 到 精 心 制 作 的 假 页 面 ， 在 F l a s h 播 放 器 更 新 提 示 下 安 装 恶 意 软 件 。
在 Y o u T u b e 视 频 描 述 中 发 现 了 指 向 恶 意 软 件 下 载 的 链 接 ： 文 章 脚 注 中 的 S h l a y e r ：
根 据 W H O I S 判 断 ， 它 们 属 于 同 一 个 人 ， 这 样 的 域 名 总 数 已 经 超 过 7 0 0 个 。 统 计 数 据 显 示 ， S h l a y e r 攻 击 主 要 针 对 美 国 用 户 （ 3 1 % ） ， 其 次 是 德 国 （ 1 4 % ） 、 法 国 （ 1 0 % ） 和 英 国 （ 1 0 % ） ， 几 乎 所 有 假 冒 的 F l a s h   P l a y e r 下 载 页 面 网 站 都 有 英 语 内 容 。 总 结 总 结 通 过 对 S h l a y e r 家 族 的 研 究 可 以 得 出 结 论 ， m a c O S 平 台 是 网 络 罪 犯 的 一 个 很 好 的 收 入 来 源 。 木 马 链 接 甚 至 存 在 于 合 法 的 资 源 上 ， 攻 击 者 擅 长 于 社 会 工 程 学 ， 很 难 预 测 下 一 个 欺 骗 技 术 会 有 多 复 杂 。 I O C S : 4 d 8 6 a e 2 5 9 1 3 3 7 4 c f c b 8 0 a 8 d 7 9 8 b 9 0 1 6 e
f a 1 2 4 e d 3 9 0 5 a 9 0 7 5 5 1 7 f 4 9 7 5 3 1 7 7 9 f 9 2 5 9 4 a a 0 5 0 7 4 2 4 0 6 d b 0 4 a 8 e 0 7 b 5 d 2 4 7 c d d M a l i c i o u s   l i n k s : h x x p : / / 8 0 . 8 2 . 7 7 . 8 4 / . d m g h x x p : / / s c i - h u b [ . ] t v h x x p : / / k o d a k - w o r l d [ . ] c o m C & C   U r l s : h x x p : / / a p i . t y p i c a l a r c h i v e [ . ] c o m h x x p : / / a p i . e n t r y c a c h e [ . ] c o m h x x p : / / a p i . m a c s m o m e n t s [ . ] c o m * 参 考 来 源 ： 参 考 来 源 ： s e c u r e l i s t ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理