搜索

[3204] 2016-09-29_广告营销软件从“极光Aurora攻击行动”中借鉴混淆技术

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-16
2016-09-29_广告营销软件从“极光Aurora攻击行动”中借鉴混淆技术 广 告 营 销 软 件 从 “ 极 光 A u r o r a 攻 击 行 动 ” 中 借 鉴 混 淆 技 术 原 创   E 安 全   E 安 全   2 0 1 6 - 0 9 - 2 9 来 自 C a r b o n   B l a c k 的 安 全 专 家 们 发 现 某 竞 选 广 告 开 始 利 用 源 自 A u r o r a 攻 击 行 动 的 混 淆 技 术 E 安 全 9 月 2 9 日 讯   来 自 C a r b o n   B l a c k 的 安 全 专 家 们 已 经 发 现 一 款 新 型 竞 选 广 告 软 件 ， 其 中 使 用 到 非 常 成 熟 的 混 淆 技 术 。 该 广 告 软 件 以 往 曾 被 用 于 散 布 勒 索 软 件 ， 且 其 使 用 的 战 术 与 由 民 族 国 家 发 动 的 A u r o r a 作 战 行 动 非 常 类 似 。 C a r b o n   B l a c k 就 此 发 布 了 一 份 报 告 ， 其 中 详 细 阐 述 了 威 胁 行 为 背 后 所 采 用 的 高 复 杂 度 混 浠 技 术 。 “ 就 在 本 周 早 些 时 候 ， C a r b o n   B l a c k 在 与 C B 用 户 交 流 社 区 进 行 沟 通 时 ， 发 现 一 系 列 源 自 O p e n C a n d y 与 D e a l p l y 等 知 名 广 告 软 件 变 种 相 关 的 异 常 活 动 ， 其 已 经 利 用 极 为 复 杂 的 混 淆 技 术 成 功 入 侵 C h r o m i u m （ 这 一 混 淆 技 术 此 前 则 由 C a r b o n   B l a c k 在 调 查 民 族 国 家 攻 击 活 动 — — 即 A u r o r a 行 动 — — 时 观 察 到 ， 其 目 标 指 向 包 括 谷 歌 及 A d o b e 在 内 的 多 家 知 名 大 厂 ） 。 ” 感 兴 趣 的 朋 友 可 以 点 击 此 处 参 阅 由 C a r b o n   B l a c k 发 布 的 报 告 ， 其 中 提 到 “ 这 些 混 淆 技 术 能 够 凭 借 二 进 制 碎 片 机 制 轻 松 突 破 沙 箱 环 境 及 其 它 入 侵 检 测 技 术 。 ” 正 如 文 章 中 所 解 释 ， 专 家 们 获 得 的 首 条 线 索 在 于 ， 有 客 户 发 现 了 存 在 异 常 的 命 令 行 参 数 使 用 活 动 ， 而 这 正 是 A u r o r a 行 动 的 典 型 特 征 。 此 次 攻 击 亦 被 称 为 “ c m d l i n e : c o p 与 c m d l i n e : / b ” ， 报 告 中 解 释 道 。 “ 有 趣 的 是 ， 我 要 求 我 的 客 户 运 行 查 询 ： c m d l i n e : c o p y 与 c m d l i n e : / b 。 C b 响 应 显 示 其 命 中 了 三 次 。 我 惊 讶 地 直 接 站 了 起 来 。 三 年 之 前 ， 我 偶 然 发 现 了 这 一 攻 击 向 量 … … 自 那 时 开 始 直 到 上 周 ， 我 再 也 没 见 过 类 似 的 情 况 。 ” 报 告 补 充 称 。 “ 在 进 一 步 排 查 过 程 中 ， 我 们 不 断 发 现 有 . d a t 文 件 被 加 入 到 各 种 异 常 文 件 类 型 当 中 ， 具 体 包 括 . t x t 、 . p n g 、 . l o g 、 . i c o 以 及 . d l l 文 件 。 这 种 状 况 非 常 可 疑 。 ”
“ 因 此 ， 对 于 这 部 分 ‘ 异 常 ’ 状 况 ， 我 们 开 始 逐 步 捋 顺 其 进 程 树 ， 并 注 意 到 启 动 它 们 的 主 进 程 并 非 高 级 混 淆 技 术 ， 而 是 ‘ 常 规 ’ 广 告 软 件 ， 且 曾 被 多 次 标 记 为 病 毒 。 ” C a r b o n   B l a c k 的 专 家 们 亦 从 众 多 其 它 客 户 处 收 到 了 类 似 的 攻 击 报 告 或 者 支 持 请 求 。 根 据 各 位 恶 意 软 件 研 究 人 员 的 说 明 ， 受 害 者 来 自 多 个 行 业 ， 且 该 广 告 软 件 的 多 个 变 种 一 直 在 发 动 有 针 对 性 的 E n i g m a 勒 索 攻 击 。 根 据 C a r b o n   B l a c k 高 级 咨 询 团 队 负 责 人 B e n j a m i n   T e d e s c o 的 说 法 ， 这 些 源 自 A u r o r a 行 动 的 混 淆 技 术 能 够 轻 松 突 破 沙 箱 环 境 及 其 它 入 侵 检 测 机 制 。 一 旦 成 功 侵 入 目 标 设 备 ， 该 恶 意 软 件 将 能 够 投 放 有 效 栽 花 ， 从 而 执 行 其 它 恶 意 活 动 。 这 次 以 广 告 软 件 为 掩 饰 的 攻 击 活 动 ， 很 可 能 代 表 着 一 轮 极 为 复 杂 的 新 兴 威 胁 趋 势 。 E 安 全 注 ： 本 文 系 安 全 注 ： 本 文 系 E 安 全 独 家 编 辑 报 道 ， 转 载 请 联 系 授 权 安 全 独 家 编 辑 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理