搜索

[8023] 2014-05-14_黑了记者：写个恶意软件玩玩（一）

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2014-05-14_黑了记者：写个恶意软件玩玩（一） 黑 了 记 者 ： 写 个 恶 意 软 件 玩 玩 （ 一 ） I D F _ L a b   F r e e B u f   2 0 1 4 - 0 5 - 1 4 潘 多 省 日 报 （ P a n d o   D a i l y ） 的 编 辑 A d a m   P e n e n b e r g 最 近 发 表 了 一 篇 文 章 《 我 让 黑 客 来 调 查 我 ， 他 们 的 发 现 让 我 不 寒 而 栗 》 ， 讲 述 了 我 和 我 的 小 伙 伴 “ 骚 扰 ” 他 生 活 的 事 情 。   如 果 你 还 没 读 过 ，   那 我 强 烈 建 议 你 去 瞅 瞅 。 h t t p : / / p a n d o d a i l y . c o m / 2 0 1 3 / 1 0 / 2 6 / i - c h a l l e n g e d - h a c k e r s - t o - i n v e s t i g a t e - m e - a n d - w h a t - t h e y - f o u n d - o u t - i s - c h i l l i n g / 本 周 该 日 报 上 又 发 布 了 一 篇 后 续 文 章 ， “ 一 个 记 者 让 我 们 黑 他 ， 我 们 是 怎 么 做 到 的 呢 ” ， 从 我 们 的 角 度 进 行 了 阐 述 。 h t t p s : / / w w w . t r u s t w a v e . c o m / t r u s t e d n e w s / 2 0 1 3 / 1 0 / a - r e p o r t e r - a s k e d - u s - t o - h a c k - h i m - h e r e s - h o w - w e - d i d - i t 我 想 有 些 读 者 朋 友 可 能 比 较 好 奇 更 详 细 的 渗 透 技 术 细 节 。 所 以 我 们 决 定 对 此 发 表 我 想 有 些 读 者 朋 友 可 能 比 较 好 奇 更 详 细 的 渗 透 技 术 细 节 。 所 以 我 们 决 定 对 此 发 表 3 篇 的 系 列 文 章 以 示 阐 述 。 篇 的 系 列 文 章 以 示 阐 述 。 第 一 部 分 和 第 二 部 分 将 详 细 介 绍 我 们 自 身 团 队 （   M a t t   J a k u b o w s k i ,   D a n i e l   C h e c h i k , 和 我 ) 所 做 的 用 于 本 次 渗 透 的 恶 意 软 件 和 钓 鱼 邮 件 。 下 周 ， 我 们 的 同 事 G a r r e t   P i c c h i o n i 将 会 展 示 更 多 的 关 于 现 场 和 无 线 入 侵 的 技 术 细 节 。 我 在 蜘 蛛 实 验 室 （ S p i d e r L a b s ） 的 恶 意 软 件 分 析 小 组 （ M a l w a r e   A n a l y s i s   T e a m ) 作 为 一 名 安 全 研 究 员 的 日 常 工 作 主 要 包 括 逆 向 恶 意 软 件 （ 通 常 是 取 证 分 析 期 间 遇 到 的 一 些 东 西 ） 。   当 被 要 求 加 入 这 次 行 动 时 ， 很 自 然 的 我 会 帮 着 写 些 定 制 的 恶 意 软 件 以 获 取 A d a m 电 脑 的 权 限 。   通 过 编 写 一 个 恶 意 文 件 就 能 证 明 我 的 “ 黑 帽 ” 身 份 ， 这 样 的 机 会 真 的 很 难 得 哦 。 这 让 我 可 以 站 在 双 方 的 角 度 去 看 待 问 题 ， 也 转 而 有 助 于 我 的 日 常 逆 向 工 作 。 总 之 ， 我 对 此 很 兴 奋 。 我 们 要 去 黑 个 记 者 ，   写 些 定 制 的 恶 意 软 件 ， 来 玩 玩 吧 。 第 第 1 步 ： 侦 查 步 ： 侦 查 / 准 备 工 作 准 备 工 作 在 对 A d a m 进 行 攻 击 之 前 ， 我 们 尽 量 收 集 了 很 多 信 息 。   也 找 到 了 很 多 — — 公 寓 的 照 片 ，   信 用 记 录 报 告 ， 姓 名 ， 生 日 ， 电 子 邮 件 ， 电 话 号 码 等 等 。 还 有 很 多 没 有 列 举 ， 但 仍 然 有 个 问 题 。   即 使 有 了 这 些 ， 我 们 也 没 能 知 道 他 和 妻 子 所 用 的 操 作 系 统 （ W i n d o w s ,   O S X ,   L i n u x 等 等 ） 。   在 针 对 特 定 的 目 标 设 计 恶 意 软 件 时 ， 所 用 的 负 载 是 平 台 相 关 的 。 为 此 ， 我 们 需 要 一 个 与 平 台 无 关 的 攻 击 包 ， 能 够 识 别 出 操 作 系 统 ， 并 能 根 据 操 作 系 统 下 载 执 行 相 应 的 恶 意 软 件 。 在 这 一 步 ， 我 求 助 了 我 的 同 事 D a n i e l C h e c h i k ( @ d a n i e l c h e c h i k ) 。 D a n i e l 专 攻 w e b 的 攻 击 利 用 ， 能 用 他 的 专 业 知 识 给 予 团 队 帮 助 。   我 向 他 描 述 了 需 求 ， 以 及 所 面 临 的 困 境 。   几 天 之 后 ，   他 给 我 带 来 了 很 棒 的 解 决 方 案 。 D a n i e l   创 建 了 一 个 恶 意 的 J a v a 小 程 序 来 检 测 运 行 在 目 标 主 机 上 运 行 的 J a v a 版 本 ， 以 及 主 机 的 操 作 系 统 。 有 了 这 些 信 息 ， 该 程 序 将 利 用 已 知 的 J a v a 漏 洞 ( C V E - 2 0 1 3 - 2 4 2 3 或 者 C V E - 2 0 1 2 - 0 5 0 3 ) ， 根 据 操 作 系 统 下 载 一 个 特 定 的 负 载 ， 并 予 以 执 行 。 我 对 该 小 程 序 进 行 了 稍 微 的 修 改 ， 保 证 即 使 漏 洞 利 用 失 败 的 情 况 下 也 能 够 下 载 、 执 行 特 定 的 负 载 ，   以 防 用 户 更 新 了 J a v a 版 本 。 最
后 看 起 来 是 这 样 的 ： 图 1 ： J a v a 恶 意 软 件 执 行 流 图 不 管 A d a m 或 者 其 妻 子 的 电 脑 上 运 行 的 是 M a c 还 w i n d o w s 操 作 系 统 ， 我 们 的 方 案 都 能 将 其 感 染 ， 同 时 也 提 供 了 多 个 攻 击 包 ， 根 据 所 实 际 所 安 装 的 J a v a 版 本 进 行 利 用 。 现 在 你 可 能 会 问 ， “ 等 等 ， 如 果 没 有 安 装 J a v a 呢 ？ ” ，   “ 如 果 他 们 是 在 智 能 手 机 上 打 开 文 件 呢 ？ ” 。   “ 如 果 安 装 了 杀 毒 软 件 怎 么 办 ？ ” 。   这 些 都 是 可 能 的 问 题 。   杀 软 对 D a n i e l 所 创 建 的 文 件 ， 以 及 我 所 编 写 的 O S X / W i n d o w s 上 的 恶 意 软 件 ，   有 很 低 的 检 测 率 。   即 使 A d a m 的 电 脑 上 运 行 了 杀 软 ，   它 们 也 很 难 拦 截 到 这 些 文 件 。   至 于 受 害 者 电 脑 的 J a v a 版 本 ，   以 及 可 能 通 过 移 动 设 备 访 问 文 件 这 些 问 题 ， 要 记 住 ， 这 只 是 我 们 众 多 计 划 方 案 中 的 很 小 一 部 分 。 我 们 没 有 期 望 这 是 一 个 完 美 的 方 案 。   我 们 把 鸡 蛋 放 到 了 不 同 的 篮 子 里 ， 总 希 望 有 一 个 能 成 功 。   这 就 是 作 为 攻 击 者 的 优 势 所 在 。 我 们 无 需 每 一 个 计 划 都 成 功 — — 只 要 有 一 个 能 搞 定 就 行 了 。 攻 击 的 目 标 却 需 要 应 对 我 们 的 每 一 次 尝 试 。 有 了 这 个 可 以 攻 击 多 个 平 台 的 恶 意 文 件 ， 轮 到 我 着 手 编 写 运 行 在 W i n d o w s 和 O S X 上 的 恶 意 软 件 了 。 这 是 我 第 一 次 写 O S X 上 的 恶 意 软 件 ， 是 个 非 常 有 趣 的 学 习 经 历 。 我 的 计 划 很 简 单 我 的 计 划 很 简 单 — — 如 果 恶 意 软 件 加 载 到 如 果 恶 意 软 件 加 载 到 A d a m 的 电 脑 上 ， 要 完 成 下 面 两 件 的 电 脑 上 ， 要 完 成 下 面 两 件 事 ： 事 ： 1 .   确 保 恶 意 软 件 能 持 久 地 存 在 ， 除 非 我 手 动 的 将 其 卸 载 。 2 .   下 载 执 行 其 他 的 恶 意 软 件 或 者 命 令 ，   赋 予 我 们 对 电 脑 的 完 全 控 制 权 。 图 2 ： O S X 上 恶 意 软 件 的 代 码 片 段
这 就 是 我 所 做 的 。 编 写 W i n d o w s 上 的 恶 意 软 件 非 常 简 单 了 ， 因 为 之 前 已 为 其 他 事 件 写 过 类 似 的 程 序 。   实 际 上 ， 编 写 O S X 的 恶 意 软 件 同 样 也 很 简 单 。   比 我 原 来 所 想 的 要 简 单 的 多 ， 大 概 花 费 了 一 到 两 天 的 时 间 来 完 成 （ 主 要 因 为 所 做 的 测 试 ， 确 保 其 正 常 运 行 ） 。   虽 然 不 同 平 台 下 的 二 进 制 文 件 不 同 ， 但 它 们 所 执 行 的 逻 辑 是 相 同 的 ，   如 下 所 示 ： 1 .   将 自 身 拷 贝 到 文 件 系 统 的 一 个 隐 藏 目 录 2 .   通 过 一 些 常 用 的 手 段 来 确 保 持 久 存 在 3 .   每 1 0 分 钟 向 远 程 服 务 器 请 求 一 次 ， 查 看 是 否 有 要 执 行 的 指 令 。 如 果 有 ， 就 执 行 指 令 。 准 备 好 了 恶 意 软 件 ， 是 时 候 “ 攻 击 ” A d a m 和 他 的 妻 子 了 。 第 第 2 步 ： 攻 击 步 ： 攻 击 A d a m 已 经 在 文 章 里 提 到 了 很 多 的 细 节 ，   所 以 我 会 尽 量 不 重 复 那 么 多 。 我 们 决 定 对 A d a m 和 妻 子 进 行 钓 鱼 邮 件 攻 击 。 我 们 知 道 A d a m 的 妻 子 有 个 普 拉 提 （ P i l a t e s ) 工 作 室 ， 我 们 可 以 扮 成 找 工 作 的 。 我 写 了 一 封 看 上 去 很 正 常 的 寻 找 普 拉 提 教 练 的 邮 件 ， 附 加 上 D a n i e l 的 恶 意 J a v a 小 程 序 发 了 出 去 。 几 天 后 ， 我 们 命 中 了 。 我 们 紧 紧 抓 住 机 会 ， 十 分 钟 之 内 就 获 得 了 对 A d a m 妻 子 电 脑 的 完 全 控 制 权 。 似 乎 是 她 打 开 了 J a v a 文 件 导 致 O S X 恶 意 软 件 安 装 到 了 她 的 电 脑 上 。 在 这 十 到 十 五 分 钟 里 ， 我 们 沉 浸 在 获 得 权 限 的 喜 悦 之 中 ， 无 比 幸 福 。 然 后 呢 ？ 然 后 ， 突 然 就 沉 默 了 。 我 们 失 去 了 连 接 ， 再 也 没 有 重 新 获 取 到 。 我 们 静 静 的 坐 着 ， 想 象 着 可 能 发 生 的 情 况 。 或 许 她 只 是 完 成 了 今 天 的 工 作 ， 然 后 关 上 了 电 脑 。   我 们 再 等 了 3 6 个 小 时 ， 希 望 再 次 获 取 连 接 。 在 此 期 间 ，   J a k u 和 G a r r e t   （ 在 纽 约 现 场 ） 通 过 其 他 的 手 段 进 行 着 攻 击 。 此 时 ， 我 开 始 怀 疑 我 的 恶 意 软 件 。   我 担 心 因 为 我 的 一 个 愚 蠢 的 错 误 使 得 我 们 丧 失 了 唯 一 的 机 会 。 对 代 码 审 查 之 后 ， 很 确 定 ， 是 我 犯 了 错 。 没 有 做 太 多 的 技 术 处 理 ， 我 逻 辑 处 理 中 的 一 个 错 误 导 致 恶 意 软 件 在 A d a m 妻 子 关 上 电 脑 （ 将 其 休 眠 而 不 是 重 启 ） 之 后 无 法 运 行 。   意 识 到 这 一 点 ， 2 5 分 钟 之 后 ， 我 搞 好 了 O S X 恶 意 软 件 的 2 . 0 版 本 。   可 问 题 是 ， 我 需 要 让 她 再 次 打 开 该 文 件 。 第 第 2 . 5 步 ： 再 次 攻 击 步 ： 再 次 攻 击 即 便 我 准 备 好 了 新 版 本 的 O S X 恶 意 软 件 ， 我 们 也 很 难 消 除 A d a m 妻 子 的 疑 虑 ， 让 其 再 打 开 一 个 J a v a 文 件 。   因 为 我 们 没 跟 A d a m 有 任 何 联 系 ， 也 不 确 定 她 妻 子 是 否 怀 疑 了 。 我 们 猜 测 可 能 他 妻 子 已 经 告 诉 他 所 收 到 的 怪 异 邮 件 ， 以 及 附 件 如 何 打 不 开 。 A d a m 可 能 已 经 让 她 恢 复 了 电 脑 备 份 ， 不 要 再 打 开 类 似 文 件 。 总 之 ， 我 们 想 再 次 获 取 权 限 的 希 望 渺 茫 。 我 们 决 定 用 不 同 的 发 送 机 制 来 推 进 。 这 次 ， J a k u 给 我 提 供 了 帮 助 。 我 们 将 恶 意 的 O S X 程 序 打 包 进 一 个 Z I P 文 件 。 当 文 件 打 开 时 ，   程 序 不 仅 会 执 行 我 改 进 后 的 恶 意 软 件 ， 同 时 还 会 打 开 一 个 合 法 的 视 频 文 件 。 这 是 符 合 我 们 上 次 的 处 理 场 景 的 。 也 更 改 了 默 认 的 图 标 ， 让 其 看 起 来 是 个 正 常 的 视 频 文 件 。   我 们 猜 测 如 果 A d a m 妻 子 这 次 再 打 开 文 件 ， 看 到 一 个 视 频 文 件 打 开 ， 会 认 为 文 件 是 正 常 的 。
图 4 . 钓 鱼 邮 件 （ 取 自 潘 多 省 日 报 的 原 文 章 ） 第 二 天 ， 焦 灼 的 等 待 中 ， 终 于 有 了 新 的 连 接 。 A d a m 的 妻 子 打 开 了 第 二 封 邮 件 。 我 们 再 次 获 得 了 2 0 分 钟 的 权 限 。 然 后 ， 突 然 又 再 次 失 去 了 连 接 。 我 们 屏 住 呼 吸 ， 希 望 她 只 是 简 单 的 再 次 关 上 了 电 脑 。   我 们 的 新 版 恶 意 软 件 会 在 其 再 次 打 开 电 脑 时 恢 复 操 作 。 我 们 一 直 等 待 着 ， 吃 完 了 晚 饭 ， 继 续 等 待 着 。 敬 请 期 待 该 系 列 的 下 篇 文 章 ， 我 们 将 会 介 绍 恶 意 软 件 攻 击 的 第 3 步 ， 以 及 我 们 如 何 获 取 到 财 务 记 录 ， W - 2 信 息 ， 以 及 更 多 的 来 自 A d a m 妻 子 受 感 染 电 脑 的 信 息 。 （ 未 完 待 续 ） 原 文 ： 原 文 ： h t t p : / / b l o g . s p i d e r l a b s . c o m / 2 0 1 3 / 1 0 / h a c k i n g - a - r e p o r t e r - w r i t i n g - m a l w a r e - f o r - f u n - a n d - p r o f i t - p a r t - 1 - o f - 3 . h t m l 翻 译 ： 翻 译 ： 徐 文 博 M a t t e w   J a k u b o w s k i ( @ j a k u )   对 此 文 的 编 写 做 出 了 贡 献 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理