搜索

[15302] 2020-04-27_COVID-19攻击手段与数据分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-04-27_COVID-19攻击手段与数据分析 C O V I D - 1 9 攻 击 手 段 与 数 据 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 4 - 2 7 随 着 新 冠 病 毒 在 世 界 范 围 内 传 播 ， 研 究 人 员 发 现 自 随 着 新 冠 病 毒 在 世 界 范 围 内 传 播 ， 研 究 人 员 发 现 自 2 月 初 以 来 ， 与 冠 状 病 毒 相 关 的 搜 索 和 浏 览 量 大 幅 增 加 ， 同 时 月 初 以 来 ， 与 冠 状 病 毒 相 关 的 搜 索 和 浏 览 量 大 幅 增 加 ， 同 时 网 络 罪 犯 正 利 用 新 冠 话 题 获 利 。 网 络 罪 犯 正 利 用 新 冠 话 题 获 利 。 研 究 人 员 监 控 新 冠 主 题 相 关 的 新 域 名 注 册 ， 2 月 到 3 月 日 均 冠 状 病 毒 相 关 域 名 注 册 量 增 长 了 6 5 6 % ， 恶 意 注 册 （ 包 括 恶 意 软 件 和 网 络 钓 鱼 ） 增 长 5 6 9 % ， “ 高 风 险 ” 注 册 （ 包 括 欺 诈 、 挖 矿 和 其 他 恶 意 U R L 域 ） 增 长 7 8 8 % 。 截 至 3 月 底 ， 确 定 了 1 1 6 3 5 7 个 冠 状 病 毒 相 关 的 新 注 册 域 名 。 其 中 ， 2 0 2 2 个 是 恶 意 的 ， 4 0 2 6 1 个 是 “ 高 风 险 的 ” 。 通 过 W h o i s 、 D N S 记 录 和 爬 虫 收 集 分 析 这 些 域 。 发 现 许 多 域 名 注 册 后 被 转 售 ， 其 中 一 部 分 域 名 既 被 用 于 恶 意 活 动 ， 也 被 用 于 欺 诈 。 还 发 现 了 部 分 以 冠 状 病 毒 为 主 题 的 域 有 高 风 险 J a v a S c r i p t 页 面 ， 可 能 随 时 将 用 户 重 定 向 到 恶 意 网 页 。 数 据 分 析 数 据 分 析 用 户 搜 索 用 户 搜 索 近 期 观 察 到 用 户 对 冠 状 病 毒 相 关 主 题 的 兴 趣 急 剧 增 加 。 在 图 1 中 可 以 看 到 在 2 0 2 0 年 1 月 底 、 2 月 底 和 3 月 中 旬 三 个 显 著 的 高 峰 。 第 一 个 峰 值 与 中 国 的 病 毒 爆 发 一 致 ， 第 二 个 峰 值 表 示 美 国 第 一 例 不 明 原 因 病 例 ， 第 三 个 峰 值 与 美 国 的 病 毒 爆 发 同 时 出 现 。 图 1 中 的 一 个 例 外 是 酒 精 ， 因 为 用 户 全 年 都 对 它 感 兴 趣 。
在 图 2 中 看 到 ， 与 2 月 初 到 3 月 底 相 比 ， 访 问 与 冠 状 病 毒 相 关 的 u r l 数 量 增 加 了 近 1 0 倍 。 用 户 对 冠 状 病 毒 关 注 度 给 了 网 络 犯 罪 分 子 有 利 可 图 的 机 会 。 攻 击 者 获 益 的 一 个 常 见 方 法 是 注 册 相 关 关 键 字 的 域 名 ， 如 “ 冠 状 病 毒 ” 或 “ C O V I D ” 。 这 些 域 名 通 常 看 起 来 合 法 ， 但 会 被 用 于 各 种 各 样 的 恶 意 活 动 ， 包 括 诱 骗 用 户 下 载 恶 意 文 件 、 网 络 钓 鱼 、 诈 骗 、 恶 意 篡 改 和 加 密 货 币 挖 掘 。 域 名 信 息 域 名 信 息 从 2 0 2 0 年 1 月 1 日 到 2 0 2 0 年 3 月 3 1 日 检 索 了 包 含 冠 状 病 毒 相 关 关 键 字 的 n r d ， 系 统 检 测 到 1 1 6 3 5 7 个 相 关 的 N R D ， 每 天 大 约 有 1 3 0 0 个 域 名 。 图 3 显 示 了 研 究 期 间 检 测 到 的 新 域 名 注 册 趋 势 。 随 着 时 间 的 推 移 ， 冠 状 病 毒 域 的 数 量 在 增 加 ， 3 月 1 2 日 之 后 ， 每 天 检 测 到 3 0 0 0 多 个 新 的 域 。 可 以 把 N R D 分 为 两 类 。 恶 意 n r d 包 括 C 2 、 恶 意 软 件 传 播 和 网 络 钓 鱼 域 ； 高 风 险 n r d 包 含 欺 诈 、 挖 矿 和 其 他 恶 意 U R L 域 。 发 现 了 2 0 2 2 个 恶 意 和 4 0 2 6 1 个 高 风 险 N R D 。 恶 意 率 为 1 . 7 4 % ， 高 危 率 为 3 4 . 6 0 % 。 在 恶 意 域 名 中 ， 1 5 . 8 4 % 试 图 窃 取 用 户 凭 据 ， 8 4 . 0 9 % 托 管 了 不 同 种 类 的 恶 意 软 件 ， 包 括 木 马 和 信 息 窃 取 软 件 等 。 2 月 到 3 月 日 均 冠 状 病 毒 相 关 域 数 量 增 加 了
6 5 6 % ， 恶 意 和 高 风 险 域 分 别 增 长 了 5 6 9 % 和 7 8 8 % 。 共 观 察 到 这 些 域 的 2 8 3 5 1 9 7 个 D N S 查 询 （ 不 包 括 缓 存 ） ， 平 均 恶 意 N R D 比 平 均 非 恶 意 N R D 多 8 8 % 。 3 月 1 6 日 N R D 数 量 急 剧 增 加 ， 这 与 美 国 病 毒 爆 发 有 关 。 在 图 5 中 列 出 了 匹 配 最 多 N R D 的 前 1 5 个 关 键 字 。 这 些 关 键 词 的 风 险 水 平 高 于 平 均 水 平 （ 高 风 险 率 > 4 0 % ） ， 它 们 更 容 易 被 滥 用 。 另 一 方 面 ， 恶 意 率 与 一 般 关 键 词 相 似 。 一 个 特 殊 的 例 子 是 “ v i r u s n e w s ” 匹 配 3 4 4 个 n r d ， 其 中 3 3 % 是 恶 意 的 。 技 术 分 析 技 术 分 析 钓 鱼 攻 击 钓 鱼 攻 击 钓 鱼 攻 击 的 目 的 是 诱 骗 用 户 共 享 其 凭 据 和 个 人 信 息 。 在 冠 状 病 毒 域 中 ， 观 察 到 攻 击 者 向 用 户 发 送 电 子 邮 件 ， 其 中 包 含 假 冒 网 站 链 接 ， 欺 骗 用 户 输 入 登 录 信 息 。
在 形 如 ‘ c o r o n a   m a s r . c o m ‘ 域 名 中 ， 同 一 天 检 测 到 一 个 2 0 个 域 名 注 册 ， 其 中 是 1 到 1 0 1 之 间 的 数 字 。 在 图 6 是 以 美 国 银 行 为 目 标 的 钓 鱼 网 站 h x x p [ : ] / / c o r o n a - m a s r 2 1 [ . ] c o m / b o a / b a n k o f a m e r i c a / l o g i n . p h p 。 此 外 还 包 括 h t t p [ : ] / / c o r o n a - m a s r 2 1 [ . ] c o m / a p p l e - o n l i n e 和 h x x p s [ : ] / / c o r o n a - m a s r 3 [ . ] c o m / C A Z A N O V A % 2 0 T R U E % 2 0 L O G I N % 2 0 S M A R T % 2 0 2 0 1 9 / 。 此 外 发 现 钓 鱼 服 务 域 还 托 管 恶 意 压 缩 文 件 及 其 恶 意 程 序 组 件 。 恶 意 软 件 传 播 恶 意 软 件 传 播 许 多 新 注 册 的 C O V I D - 1 9 域 被 识 别 与 恶 意 软 件 活 动 相 关 。 其 中 c o v i d - 1 9 - g o v [ . ] c o m 与 P r o o f p o i n t 报 告 的 R e d L i n e   S t e a l e r 活 动 相 同 。 研 究 人 员 确 定 了 一 个 R e d L i n e   S t e a l e r 样 本 ， 该 样 本 执 行 时 ， 首 先 打 开 I n t e r n e t   E x p l o r e r 并 尝 试 连 接 到 h x x p : / / l o c a l h o s t : 1 4 1 0 9 。 然 后 向 h x x p : / / 4 5 . 1 4 2 . 2 1 2 [ . ] 1 2 6 : 6 6 7 7 / I R e m o t e P a n e l 发 起 一 个 H T T P   P O S T 请 求 ， 远 程 C 2 服 务 器 发 出 H T T P   2 0 0   O K 响 应 后 ， 样 本 开 始 从 主 机 进 行 数 据 过 滤 ：
R e d L i n e   S t e a l e r 可 在 隐 藏 窗 口 中 执 行 命 令 ： 该 命 令 通 过 进 程 标 识 符 （ P I D ） 杀 死 正 在 运 行 的 R e d L i n e   S t e a l e r 恶 意 软 件 ， 并 删 除 存 在 R e d L i n e   S t e a l e r 恶 意 软 件 的 目 录 ， 并 用 Y 响 应 删 除 提 示 。 此 外 ， R e d L i n e   S t e a l e r 变 体 不 会 在 磁 盘 上 生 成 其 他 恶 意 文 件 、 创 建 / 更 改 任 何 互 斥 对 象 或 尝 试 建 立 持 久 控 制 。 除 了 R e d L i n e   S t e a l e r ， 还 在 ‘ c o r o n a - m a p - d a t a [ . ] c o m / b i n / r e g s r t j s e r 3 4 6 . e x e ’ 检 测 到 D a n a b o t   b a n k i n g 木 马 ， 在 C o r o n a v i r u s a p p s [ . ] c o m 域 上 发 现 了 三 个 恶 意 A n d r o i d 应 用 程 序 ， u r l 分 别 为 ： C o r o n a - v i r u s a p p s [ . ] c o m / s < 1 - 3 > / C o r o n a V i r u s - a p p s . a p k 、 c o r o n a v i r u s c o v i d 1 9   i n f o r m a t i o n [ . ] c o m / i t / c o r o n a . a p k 和 c o r o n a v i r u s c o v i d 1 9   i n f o r m a t i o n [ . ] c o m / e n / c o r o n a . a p k 。 C 2   C o m m u n i c a t i o n 网 络 罪 犯 主 要 使 用 冠 状 病 毒 相 关 域 进 行 恶 意 软 件 传 播 、 网 络 钓 鱼 和 诈 骗 ， 同 时 也 观 察 到 C 2 通 信 情 况 。 在 N A T S u p p o r t M a n a g e r 远 程 访 问 工 具 网 络 流 量 中 ， 可 以 看 到 域 c o v i d p r e v e n t a n d c u r e [ . ] c o m 解 析 为 5 . 1 8 1 . 1 5 6 [ . ] 1 4 。 然 后 它 向 h x x p : / / 5 . 1 8 1 . 1 5 6 [ . ] 1 4 / f a k e u r l . h t m 发 送 多 个 P O S T 请 求 ， 并 向 端 口 4 4 3 发 送 T C P 数 据 包 。 如 图 1 0 所 示 ， P O S T 通 信 格 式 为 H T M L 表 单 ， C 2 服 务 器 将 编 码 命 令 和 有 效 负 载 附 加 到 H T T P 响 应 中 ， 木 马 则 会 发 送 编 码 后 的 数 据 。 c m d . e x e ”   / C   t a s k k i l l   / F   / P I D   < R e d L i n e   S t e a l e r   P I D >   & &   c h o i c e   / C   Y   / N   / D   Y   / T   3   &   D e l
c o v i d p r e v e n t a n d c u r e [ . ] c o m 于 3 月 2 6 日 注 册 。 两 天 后 发 现 相 关 D N S 流 量 ， 一 直 持 续 到 4 月 1 1 日 。 4 月 份 解 析 此 域 的 D N S 流 量 增 加 。 诈 骗 广 告 诈 骗 广 告 研 究 中 发 现 了 高 风 险 域 名 中 的 诈 骗 网 站 ， 试 图 骗 取 用 户 购 买 短 缺 物 品 。 如 口 罩 或 洗 手 液 。 心 理 利 用 心 理 利 用
发 现 网 站 利 用 人 们 对 冠 状 病 毒 的 恐 惧 迫 使 他 们 购 买 电 子 书 ， 如 图 1 6 所 示 。 发 现 了 8 个 注 册 域 ， 包 括 c o r o n a v i r u s s e c r e t s [ . ] c o m 和 p a n d e m i c - s u r v i v a l - c o r o n a v i r u s [ . ] c o m 。 传 统 诈 骗 传 统 诈 骗 在 c o r o n a v i r u s a w a r e [ . ] x y z 和 c o v i d 1 9 c e n t e r [ . ] 检 测 到 诈 骗 活 动 ， 如 图 1 7 所 示 。 攻 击 者 目 的 是 恐 吓 用 户 ， 迫 使 他 们 打 电 话 ， 攻 击 者 利 用 电 话 进 行 诈 骗 。 病 毒 网 站 病 毒 网 站
发 现 许 多 新 冠 病 毒 网 站 ， 比 如 c o r o n a m a s k s u p p l y [ . ] c o m 和 c o r o n a v i r u s i n r e l a t i m e [ . ] c o m 在 浏 览 器 中 对 用 户 操 作 进 行 劫 持 。 总 结 总 结 当 人 们 的 恐 惧 感 增 强 时 ， 总 会 有 网 络 罪 犯 试 图 从 中 获 利 。 就 冠 状 病 毒 而 言 ， 每 天 注 册 的 冠 状 病 毒 相 关 域 名 数 量 急 剧 增 加 ， 恶 意 冠 状 病 毒 N R D 平 均 每 日 数 量 增 加 5 6 9 % ， 高 风 险 域 名 平 均 每 日 数 量 增 加 7 8 8 % 。 自 1 月 1 日 以 来 ， 发 现 2 0 2 2 个 恶 意 和 4 0 2 6 1 个 高 风 险 N R D 。 人 们 应 该 对 任 何 带 有 C O V I D - 1 9 主 题 的 电 子 邮 件 或 新 注 册 的 网 站 持 高 度 怀 疑 态 度 ， 任 何 以 C O V I D - 1 9 为 主 题 的 电 子 邮 件 都 应 该 小 心 处 理 。 I O C s C r e d e n t i a l   H a r v e s t i n g c o r o n a - m a s r 2 1 [ . ] c o m / b o a / b a n k o f a m e r i c a / l o g i n . p h p c o r o n a - m a s r 2 1 [ . ] c o m / a p p l e - o n l i n e c o r o n a - m a s r 3 [ . ] c o m / C A Z A N O V A % 2 0 T R U E % 2 0 L O G I N % 2 0 S M A R T % 2 0 2 0 1 9 / c o r o n a - v i r u s u s [ . ] c o m S c a m s a l l s u r g i c a l f a c e m a s k [ . ] c o m s u r g i c a l f a c e m a s k p h a r m a c y o n l i n e [ . ] c o m s e l e c t s a n i t i z e r [ . ] c o m s u r v i v e c o r o n a v i r u s [ . ] o r g f a c e m a s k s u s [ . ] c o m c o r o n a v i r u s s e c r e t s [ . ] c o m
p a n d e m i c - s u r v i v a l - c o r o n a v i r u s [ . ] c o m i n t e r n e t - c o v i d 1 9 . x y z c o r o n a v i r u s a w a r e [ . ] x y z c o v i d 1 9 c e n t e r [ . ] o n l i n e W h a t s a p p [ . ] v e r s i o n [ . ] g r a t i s w h a t s a p p [ . ] c c 0 [ . ] c o C o i n m i n e r s c o r o n a m a s k s u p p l y [ . ] c o m c o r o n a v i r u s i n r e a l t i m e [ . ] c o m c o r o n a s h i r t s [ . ] s t o r e B l a c k   H a t   S E O c o r o n a v i r u s - l a t e s t - u p d a t e [ . ] i n f o c o r o n a v i r u s - c o m [ . ] i n f o s h a r k r o u l e t t e [ . ] c o m I l l i c i t   p h a r m a c y : c o v i d 1 9 - r e m e d y [ . ] c o m r x c o v i d [ . ] c o m a n t i c o v i d 1 9 - p h a r m a c y [ . ] c o m O t h e r D o m a i n s c o r o n a v i r u s 2 d a y [ . ] c o m h a s h t a g . s s l p r o v i d e r s [ . ] n e t c o r o n a v i r u s - g a m e [ . ] r u b u y g o o d s [ . ] c o m * 参 考 来 源 ： 参 考 来 源 ： u n i t 4 2 ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理