搜索

[9073] 2015-06-28_祸起萧墙：由播放器引爆的全国性大规模挂马分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-06-28_祸起萧墙：由播放器引爆的全国性大规模挂马分析 祸 起 萧 墙 ： 由 播 放 器 引 爆 的 全 国 性 大 规 模 挂 马 分 析 F r e e B u f   2 0 1 5 - 0 6 - 2 8 微 信 号 微 信 号 f r e e b u f 事 件 起 因 事 件 起 因 从 从 5 月 底 开 始 ， 月 底 开 始 ， 3 6 0 云 安 全 系 统 监 测 到 一 个 名 为 云 安 全 系 统 监 测 到 一 个 名 为 “ 中 国 插 件 联 盟 中 国 插 件 联 盟 ” 的 下 载 者 木 马 感 染 量 暴 涨 。 令 人 匪 夷 所 思 的 是 ， 该 木 的 下 载 者 木 马 感 染 量 暴 涨 。 令 人 匪 夷 所 思 的 是 ， 该 木 马 的 下 载 通 道 竟 然 是 多 款 用 户 量 上 千 万 甚 至 过 亿 的 播 放 器 客 户 端 。 马 的 下 载 通 道 竟 然 是 多 款 用 户 量 上 千 万 甚 至 过 亿 的 播 放 器 客 户 端 。 起 初 ， 我 们 怀 疑 这 些 播 放 器 的 升 级 文 件 被 木 马 进 行 了 网 络 劫 持 。 通 过 对 木 马 下 载 重 灾 区 搜 狐 影 音 的 分 析 ， 我 们 发 现 搜 狐 影 音 对 网 络 下 载 的 运 行 代 码 做 了 完 整 性 校 验 ， 但 并 没 有 对 安 全 性 做 校 验 ， 比 如 签 名 信 息 等 ， 确 实 可 以 被 劫 持 升 级 种 木 马 。 不 过 从 数 据 分 析 显 示 ， 这 一 波 利 用 播 放 器 下 载 的 木 马 分 布 在 全 国 不 同 地 域 、 不 同 运 营 商 ， 基 本 可 以 排 除 网 络 劫 持 的 可 能 性 。 真 正 的 问 题 出 在 哪 里 呢 ？ 我 们 在 网 友 反 馈 中 找 到 “ 中 国 插 件 联 盟 ” 的 受 害 者 ， 联 系 受 害 者 在 真 实 环 境 中 查 找 线 索 ， 力 图 从 源 头 上 遏 制 该 木 马 的 传 播 ， 而 不 仅 仅 是 查 杀 掉 木 马 。 对 受 害 用 户 调 查 显 示 ， 中 招 电 脑 上 的 搜 狐 影 音 通 过 官 方 渠 道 安 装 ， 本 身 没 有 捆 绑 木 马 ； 在 此 次 中 招 前 大 约 一 个 月 时 间 内 ， 电 脑 也 没 有 执 行 过 可 疑 程 序 。 那 么 最 大 的 可 能 性 就 是 ， 搜 狐 影 音 被 第 三 方 挂 马 了 ！ 经 过 重 点 监 测 和 测 试 验 证 ， 我 们 发 现 在 搜 狐 影 音 客 户 端 展 示 的 一 个 私 服 广 告 页 面 ， 带 有 I E 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 4 - 6 3 3 2 ） 的 挂 马 代 码 ， 可 以 利 用 搜 狐 影 音 去 执 行 木 马 代 码 。 进 一 步 调 查 证 明 ， 中 招 电 脑 绝 大 多 数 为 X P 系 统 ， 少 数 是 没 有 打 补 丁 的 W i n 7 、 W i n 8 系 统 ； 搜 狐 影 音 的 挂 马 则 来 自 第 三 方 广 告 联 盟 ， 这 也 是 有 多 款 播 放 器 成 为 挂 马 通 道 的 重 要 原 因 。 由 于 杀 毒 软 件 对 浏 览 器 进 程 防 护 比 较 严 密 ， 即 使 漏 洞 被 触 发 ， 一 般 也 能 保 证 挂 马 攻 击 不 会 逃 逸 。 但 对 于 播 放 器 等 可 以 加 载 网 页 广 告 的 其 他 客 户 端 ， 则 成 为 众 多 杀 软 的 防 护 盲 区 。 挂 马 攻 击 通 过 客 户 端 广 告 触 发 ， 用 户 只 要 启 动 播 放 器 就 可 能 中 招 。 从 6 月 1 日 至 6 月 2 5 日 ， 3 6 0 对 播 放 器 挂 马 的 拦 截 量 累 计 已 达 到 3 5 3 7 4 0 6 次 ， 这 也 是 今 年 以 来 国 内 最 大 规 模 的 木 马 攻 击 事 件 。
搜 狐 影 音 执 行 木 马 脚 本 攻 击 原 理 攻 击 原 理 此 次 播 放 器 挂 马 攻 击 ， 利 用 的 是 2 0 1 4 年 公 开 的 I E 神 洞 C V E - 2 0 1 4 - 6 3 3 2 ， 漏 洞 起 因 是 V B S c r i p t 虚 拟 机 中 的 一 个 整 型 溢 出 ， 具 体 触 发 原 理 在 此 略 过 ， 网 上 已 有 很 多 详 细 分 析 。 使 用 I E 内 核 做 页 面 展 示 的 软 件 ， 如 果 调 用 到 了 V B S c r i p t ， 都 可 能 触 发 这 个 漏 洞 。 另 外 由 于 该 漏 洞 是 在 X P 停 服 之 后 公 开 的 ， X P 系 统 将 永 久 受 到 此 漏 洞 影 响 。 攻 击 原 理 图 案 例 分 析 案 例 分 析 我 们 分 析 了 搜 狐 影 音 被 攻 击 的 过 程 ， 国 内 还 有 一 些 知 名 软 件 存 在 同 样 问 题 ， 搜 狐 影 音 则 是 第 一 波 大 规 模 攻 击 时 木 马 利 用 的 客 户 端 。 首 先 ， 搜 狐 影 音 在 其 内 部 加 入 了 W e b B r o w s e r 的 支 持 ， 使 用 的 内 核 是 系 统 的 I E 内 核 ， 通 过 这 个 内 核 来 展 示 页 面 内 容 和 广 告 ： 搜 狐 影 音 的 主 界 面 以 及 展 示 的 广 告 系 统 的 I E 内 核 支 持 对 V B S c r i p t 的 解 析 ， 并 调 用 到 了 V B 虚 拟 机 ， 如 果 通 过 W e b B r o w s e r 解 析 的 页 面 中 存 在 v b s 脚 本 ， 脚 本 就 会 交 给 V B 虚 拟 机 执 行 。 搜 狐 影 音 客 户 端 页 面 内 展 示 的 广 告 ， 有 一 部 分 来 自 广 告 联 盟 和 各 种 营 销 平 台 。
分 析 发 现 在 一 个 被 展 示 的 私 服 广 告 页 面 中 ， 被 插 入 了 一 个 恶 意 的 i f r a m e 标 签 ， 标 签 内 容 带 有 一 段 v b s 脚 本 。 通 过 对 脚 本 进 行 解 密 ， 发 现 其 中 包 含 了 6 3 3 2 漏 洞 利 用 代 码 ， 这 段 代 码 是 由 网 上 公 开 的 一 段 p o c 改 造 而 来 。 最 终 ， 成 功 利 用 S H R e s 执 行 攻 击 脚 本 ， 通 过 c m d 写 入 一 个 v b s 脚 本 执 行 ： P l a y L o a d 分 析 分 析 脚 本 执 行 之 后 ， 会 从 指 定 u r l 下 载 一 个 可 执 行 文 件 执 行 ， 下 载 的 这 个 可 执 行 文 件 是 一 个 叫 “ 中 国 插 件 联 盟 ” 的 下 载 者 。 它 会 继 续 下 载 一 个 下 载 者 、 一 个 远 控 木 马 和 大 量 安 装 包 到 本 地 ， 新 下 载 的 下 载 者 继 续 下 载 安 装 包 ， 形 成 连 环 静 默 推 广 之 势 （ 可 怜 的 用 户 电 脑 呀 ） ， 被 推 广 的 软 件 包 括 瑞 星 、 色 彩 看 看 ， 语 音 朗 读 小 说 阅 读 器 ， 6 1 一 键 启 动 ， 护 眼 神 器 ， 武 汉 网 知 力 ， 美 图 浏 览 ， 天 天 9 块 9 （ 有 二 次 推 广 ） 等 。 图 ： 中 招 电 脑 惨 不 忍 睹 远 控 木 马 则 通 过 一 系 列 手 法 隐 藏 自 身 ， 同 时 操 作 注 册 表 写 入 服 务 ， 使 远 控 木 马 开 机 自 启 动 。
图 ： 播 放 器 挂 马 行 为 链 “ 中 国 插 件 联 盟 中 国 插 件 联 盟 ” 真 凶 调 查 真 凶 调 查 通 过 对 “ 中 国 插 件 联 盟 ” 木 马 服 务 器 的 追 踪 调 查 ， 初 步 判 断 其 作 者 是 网 名 为 y e s i m c k 的 黑 产 人 员 ， 该 作 者 Q Q 签 名 为 “ 华 越 网 络 正 式 上 线   无 限 收 安 装 量   w w w . v o o y e e . c o m ” 。 追 踪 线 索 如 下 ： 追 踪 线 索 如 下 ： 域 名 注 册 信 息 ： i c h a j i a n l i a n m e n g . c o m 木 马 服 务 器 信 息 ：
作 者 网 名 ： y e s i m c k （ 网 络 资 料 显 示 其 位 于 重 庆 万 州 ， 重 庆 中 意 职 业 技 术 学 校 ）
所 在 地 区 和 域 名 注 册 信 息 相 符 ：

种 种 迹 象 显 示 ， y e s i m c k 是 一 名 专 门 从 事 利 用 木 马 推 广 软 件 的 黑 产 人 员 ， 其 网 络 信 息 与 “ 中 国 插 件 联 盟 ” 下 载 者 的 服 务 器 和 域 名 信 息 吻 合 。 数 据 统 计 数 据 统 计
此 次 播 放 器 挂 马 攻 击 从 5 月 3 0 日 开 始 出 现 ， 5 月 3 1 日 进 入 活 跃 期 。 以 下 是 本 月 3 6 0 对 播 放 器 挂 马 （ y e s i m c k ） 的 拦 截 量 统 计 ， 单 日 最 高 拦 截 量 达 到 7 0 万 次 ： 通 过 对 拦 截 数 据 分 析 ， 这 一 波 攻 击 属 于 间 歇 性 爆 发 ， 很 可 能 是 攻 击 者 在 有 意 控 制 着 木 马 的 传 播 ， 以 避 免 其 过 快 暴 露 。 以 6 月 2 4 日 拦 截 数 据 为 例 ， 该 木 马 只 是 在 下 午 集 中 出 现 ， 其 它 时 段 相 对 寂 静 。 解 决 方 案 解 决 方 案 对 网 民 来 说 ， W i n 7 、 W i n 8 用 户 应 安 装 补 丁 ， 切 莫 被 “ 打 补 丁 会 拖 慢 电 脑 ” 的 谣 言 误 导 。 由 于 微 软 为 已 知 漏 洞 提 供 了 补 丁 ， 普 通 网 民 只 要 及 时 修 复 漏 洞 就 能 防 范 挂 马 攻 击 ； X P 用 户 可 以 选 择 升 级 系 统 ， 或 使 用 具 备 播 放 器 挂 马 防 护 能 力 的 安 全 软 件 。 对 软 件 厂 商 来 说 ， 首 先 应 加 强 对 广 告 的 审 核 ， 避 免 外 链 其 它 未 知 内 容 ， 防 止 广 告 被 掺 杂 恶 意 代 码 。 另 一 个 不 容 忽 视 的 问 题 是 ， 厂 商 应 严 格 规 范 渠 道 行 为 ， 避 免 成 为 恶 意 推 广 的 幕 后 金 主 。 针 对 已 经 发 现 的 恶 意 渠 道 ， 应 及 时 采 用 法 律 手 段 进 行 严 厉 打 击 ， 否 则 软 件 厂 商 本 身 就 成 为 了 滋 生 流 氓 推 广 的 温 床 。 * 作 者 ： 3 6 0 安 全 卫 士 （ 企 业 帐 号 ） ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理