搜索

[8442] 2014-11-24_揭秘：针对PoS机的恶意软件工具箱

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-11-24_揭秘：针对PoS机的恶意软件工具箱 揭 秘 ： 针 对 P o S 机 的 恶 意 软 件 工 具 箱 S p h i n x   F r e e B u f   2 0 1 4 - 1 1 - 2 4 最 近 两 年 ， 最 近 两 年 ， P o S 恶 意 软 件 由 于 塔 吉 特 、 家 得 宝 、 恶 意 软 件 由 于 塔 吉 特 、 家 得 宝 、 K m a r t 遭 遇 的 遭 遇 的 P O S 机 攻 击 而 被 机 攻 击 而 被 广 泛 关 注 广 泛 关 注 。 随 着 。 随 着 “ 黑 色 星 期 五 黑 色 星 期 五 ” 购 物 季 的 到 来 ， 购 物 季 的 到 来 ， P o S 机 恶 机 恶 意 软 件 必 定 会 受 到 关 注 。 意 软 件 必 定 会 受 到 关 注 。 P o S 攻 击 者 们 不 会 仅 仅 依 赖 他 们 自 己 的 恶 意 软 件 进 行 攻 击 、 窃 取 受 害 者 数 据 。 他 们 还 会 用 上 大 量 其 他 的 工 具 达 到 目 的 。 有 些 是 系 统 管 理 员 也 会 用 的 如 p u t t y ， 还 有 些 是 微 软 提 供 的 S y s i n t e r n a l s   S u i t e 工 具 包 中 的 软 件 。 通 过 黑 客 们 使 用 的 这 些 工 具 我 们 可 以 更 加 了 解 他 们 的 情 况 。 大 多 数 大 多 数 P o S 终 端 机 都 不 安 全 终 端 机 都 不 安 全 不 幸 的 是 ， P o S 终 端 和 P o S 环 境 基 本 都 是 不 安 全 的 。 这 给 攻 击 者 提 供 了 极 好 的 机 会 。 黑 客 攻 击 P o S 终 端 的 方 式 多 种 多 样 ， 其 中 一 种 是 通 过 V N C ( V i r t u a l   N e t w o r k   C o m p u t i n g ， 虚 拟 网 络 计 算 ) 。 一 般 来 说 ， 一 般 来 说 ， P o S 机 要 么 无 需 用 户 名 密 码 ， 要 么 使 用 弱 口 令 。 这 给 黑 客 们 提 供 了 极 好 的 机 会 。 机 要 么 无 需 用 户 名 密 码 ， 要 么 使 用 弱 口 令 。 这 给 黑 客 们 提 供 了 极 好 的 机 会 。 微 软 的 远 程 桌 面 协 议 ( R D P ) 也 是 P o S 环 境 中 的 容 易 被 黑 客 利 用 的 工 具 。 与 V N C 一 样 ， R D P 配 置 基 本 是 无 需 密 码 或 者 是 弱 口 令 。
B a c k O f f   工 具 包 工 具 包 今 年 年 初 ， 趋 势 科 技 发 布 了 一 篇 报 告 详 细 说 明 各 种 针 对 P o S 的 恶 意 软 件 ， 其 中 就 包 括 了 著 名 的 B a c k O f f 。 2 0 1 4 年 7 月 ， B a c k O f f 开 始 流 行 起 来 并 被 广 泛 使 用 ， 主 要 是 因 为 它 能 够 自 定 义 打 包 以 混 淆 代 码 ， 使 得 研 究 人 员 难 以 逆 向 其 代 码 。 B a c k O f f 会 一 直 与 命 令 与 控 制 服 务 器 ( c o m m a n d - a n d - c o n t r o l ,   C & C ) 以 传 输 获 得 的 数 据 或 者 接 收 配 置 更 新 。 除 此 之 外 ， 这 些 服 务 器 会 被 用 来 与 被 入 侵 的 设 备 传 输 工 具 软 件 。 当 攻 击 者 要 攻 击 多 个 设 备 时 ， 他 们 会 用 这 些 服 务 器 将 恶 意 软 件 传 输 到 P o S ， 以 减 少 工 作 量 。 在 研 究 B a c k O f f 的 过 程 中 ， 一 份 特 别 的 样 本 引 起 了 我 们 的 注 意   –   r 0 . e x e 。 我 们 发 现 这 个 样 本 连 接 到 了 h t t p : / / 1 4 3 b i z . c c . m d - 1 4 . w e b h o s t b o x . n e t 。 这 个 C & C 服 务 器 包 含 了 大 量 的 信 息 ， 包 括 攻 击 者 使 用 的 工 具 ， 他 们 如 何 存 储 数 据 等 。 我 们 注 意 到 攻 击 者 在 入 侵 P o S 机 后 ， 会 使 用 一 连 串 的 工 具 。 服 务 器 中 有 多 个 文 件 ， 我 们 会 在 下 文 中 列 举 说 明 。 这 不 是 服 务 器 文 件 的 完 整 列 表 ， 但 足 以 说 明 一 些 情 况 。 服 务 器 中 有 多 个 文 件 ， 我 们 会 在 下 文 中 列 举 说 明 。 这 不 是 服 务 器 文 件 的 完 整 列 表 ， 但 足 以 说 明 一 些 情 况 。 r 0 . e x e   ( M D 5 校 验 值 :   7 a 5 5 8 0 d d f 2 e b 2 f c 4 f 4 a 0 e a 2 8 c 4 0 f 0 d a 9 ) ： 一 份 B a c k O f f 样 本 ， 编 译 于 2 0 1 4 年 1 0 月 2 2 日 。 程 序 连 接 以 下 2 个 C & C 服 务 器 : h t t p s : / / c y b e r w i s e . b i z / r e g i s t e r / r e g i s t e r . p h p h t t p s : / / v e r i f i e d - d e a l . c o m / r e g i s t e r / r e g i s t e r . p h p r 0 . e x e 还 会 创 建 互 斥 体 a M D 6 q t 7 l W b 1 N 3 T N B S e 4 N 。 3 - 2 . e x e   ( M D 5 校 验 值 :   0 f b 0 0 a 8 a d 2 1 7 a b e 9 d 9 2 a 1 f a a 3 9 7 8 4 2 d c ) ： 一 份 B a c k O f f 样 本 ， 编 译 于 2 0 1 4 年 1 0 月 2 2 日 ， 稍 早 于 r 0 . e x e 。 程 序 连 接 以 下 服 务 器 : h t t p s : / / k i t c h e n t o o l s . r u / p h p b b / s h o w t o p i c . p h p h t t p s : / / c y c l i n g t o o l s . r u / p h p b b / s h o w t o p i c . p h p h t t p s : / / b i k e t o o l s . r u / p h p b b / s h o w t o p i c . p h p D K   B r u t e   p r i v 8 . r a r   ( M D 5 校 验 值 :   0 2 8 c 9 a 1 6 1 9 f 9 6 d b f d 2 9 c a 6 4 1 9 9 f 4 a c d e )   ：
此 压 缩 包 包 含 多 个 工 具 和 文 件 ， 其 中 就 包 括 S S H / t e l n e t 客 户 端 p u t t y . e x e 。 还 有 U l t r a V N C V i e w e r P o r t a b l e . e x e 和 W i n S C P ， 这 些 工 具 都 是 被 用 来 连 接 远 程 系 统 和 传 输 文 件 的 。 压 缩 包 中 还 包 括 D K   B r u t e . e x e ， 这 是 一 款 调 用 字 典 对 W i n d o w s   R D P 和 其 他 远 程 连 接 协 议 进 行 爆 破 的 工 具 。 I P C i t y . r a r   ( M D 5 校 验 值 :   9 2 2 3 e 3 4 7 2 e 8 f f 9 d d f a 0 d 0 d b a d 5 7 3 d 5 3 0 )   ： 此 压 缩 中 包 含 三 份 文 件 ， 其 中 包 括 ： G e o L i t e C i t y . c s v ， 用 于 标 记 国 家 。 这 份 文 件 似 乎 是 之 前 从 M a x m i n d 下 载 的 ， M a x m i n d 是 一 家 提 供 I P 与 地 理 经 纬 度 查 询 数 据 库 的 公 司 。 包 内 还 有 一 个 i p _ c i t y . e x e 。 此 软 件 可 以 用 来 把 国 家 / 城 市 转 换 成 I P 段 。 V U B r u t e   1 . 0 . z i p   ( M D 5 校 验 码 :   0 1 d 1 2 f 4 f 2 f 0 d 3 0 1 9 7 5 6 d 8 3 e 9 4 e 3 b 5 6 4 b )   ： 这 是 一 个 密 码 保 护 的 Z I P 文 件 ， 压 缩 内 包 含 一 款 V N C 爆 破 工 具 — — — — V U B r u t e 。 这 款 工 具 在 俄 罗 斯 地 下 论 坛 十 分 流 行 。 l o g m e i n _ c h e c k e r . r a r   ( M D 5 校 验 值 :   5 8 4 3 a e 3 5 b d e b 4 c a 5 7 7 0 5 4 9 3 6 c 5 c 3 9 4 4 e )   ： 压 缩 包 内 是 L o g m e i n   C h e c k e r 软 件 .   L o g M e I n 是 一 款 流 行 的 远 程 接 入 软 件 .   软 件 包 含 一 份 用 户 名 / 密 码 列 表 和 一 份 I P / 端 口 列 表 ， 用 于 探 测 使 用 弱 口 令 的 L o g M e I n 。
p o r t s c a n . r a r   ( M D 5 校 验 码 :   8 b 5 4 3 6 c a 6 e 5 2 0 d 6 9 4 2 0 8 7 b b 3 8 e 9 7 d a 6 5 )   –   包 含 K P o r t S c a n 3 . e x e ， 是 一 款 基 本 的 端 口 扫 描 器 .   软 件 可 以 指 定 I P 段 和 端 口 号 。 从 C & C 服 务 器 上 的 信 息 来 看 ， 黑 客 用 此 工 具 扫 描 4 4 5 ,   3 3 8 9 ,   5 9 0 0 等 端 口 。 黑 客 选 择 这 款 软 件 很 可 能 是 因 为 其 易 用 性 。 C & C 服 务 器 分 析 服 务 器 分 析 通 过 进 一 步 研 究 C & C （ 命 令 与 控 制 ） 服 务 器 ， 我 们 在 h t t p : / / 1 4 3 b i z . c c . m d - 1 4 . w e b h o s t b o x . n e t 发 现 了 更 多 的 文 件 总 共 有 5 个 不 同 的 恶 意 病 毒 样 本 ， 最 久 的 样 本 可 以 追 溯 到 2 0 1 4 年 2 月 。 样 本 中 还 包 括 P o S 恶 意 软 件 如 A l i n a 。 我 们 还 在 服 务 器 上 发 现 了 一 个 目 录 :   h t t p : / / 1 4 3 b i z . c c . m d - 1 4 . w e b h o s t b o x . n e t / s o m e t h i n g / l o g i n . p h p ? p = R o m e 0 访 问 这 个 目 录 时 我 们 没 有 收 到 回 应 ， 于 是 我 们 开 始 寻 找 倍 的 网 站 中 有 没 有 包 含 字 段 / s o m e t h i n g / l o g i n . p h p ? p = R o m e 0 的 U R L 。 我 们 的 确 发 现 了 另 外 的 U R L ：   h t t p s : / / b l o g . - w o r d p r e s s - c a t a l o g . c o m / s o m e t h i n g / l o g i n . p h p ? p = R o m e 0 。 观 察 1 4 3 . b i z . c c . m d - 1 4 . w e b h o s t b o x . n e t 与 w o r d p r e s s - c a t a l o g . c o m 之 间 的 联 系 ， 我 们 在 C & C 服 务 器 上 发 现 一 个 目 录 :   h t t p : / / 1 4 3 b i z . c c . m d - 1 4 . w e b h o s t b o x . n e t / a c c o u n t s . w o r d p r e s s - c a t a l o g . c o m .   但 访 问 这 些 地 址 均 无 回 应 。 但 当 我 们 访 问 根 目 录 是 ， 我 们 发 现 了 一 个 叫 做 s o m e t h i n g . z i p   ( M D 5 校 验 值 :   f 9 c b d 1 c 3 c 4 8 c 8 7 3 f 3 b f f 8 c 9 5 7 a e 2 8 0 c 7 ) 的 压 缩 文 件 。   这 份 文 件 包 含 的 似 乎 是 C & C 服 务 器 上 的 代 码 ， 还 有 些 包 含 用 户 名 和 信 用 卡 信 息 的 文 本 文 档 。
总 结 总 结 尽 管 我 们 没 有 在 本 贴 中 展 示 新 工 具 ， 但 研 究 黑 客 所 使 用 的 工 具 十 分 有 趣 。 我 们 列 举 的 这 些 软 件 并 不 全 ， 但 这 至 少 显 示 黑 客 们 使 用 的 这 些 工 具 并 不 是 非 常 先 进 ， 他 们 没 有 重 复 造 轮 子 ， 没 有 开 发 新 工 具 ， 仅 仅 我 们 列 举 的 这 些 软 件 并 不 全 ， 但 这 至 少 显 示 黑 客 们 使 用 的 这 些 工 具 并 不 是 非 常 先 进 ， 他 们 没 有 重 复 造 轮 子 ， 没 有 开 发 新 工 具 ， 仅 仅 使 用 这 些 工 具 就 已 经 足 够 了 。 使 用 这 些 工 具 就 已 经 足 够 了 。 我 们 相 信 这 些 信 息 会 对 管 理 员 防 范 P o S 攻 击 很 有 帮 助 。 除 了 上 文 提 到 的 ， 以 下 是 我 们 在 调 查 过 程 中 参 考 的 所 有 网 址 ： 除 了 上 文 提 到 的 ， 以 下 是 我 们 在 调 查 过 程 中 参 考 的 所 有 网 址 ： h t t p : / / 1 4 3 b i z . c c . m d - 1 4 . w e b h o s t b o x . n e t h t t p s : / / b i k e t o o l s . r u / p h p b b / s h o w t o p i c . p h p h t t p s : / / b l o g . w o r d p r e s s - c a t a l o g . c o m / h t t p s : / / c y b e r w i s e . b i z / r e g i s t e r / r e g i s t e r . p h p h t t p s : / / c y c l i n g t o o l s . r u / p h p b b / s h o w t o p i c . p h p h t t p s : / / k i t c h e n t o o l s . r u / p h p b b / s h o w t o p i c . p h p h t t p s : / / v e r i f i e d - d e a l . c o m / r e g i s t e r / r e g i s t e r . p h p [ 参 考 来 源 参 考 来 源 T r e n d   M i c r o ， 译 ， 译 / S p h i n x ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M ]
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理