搜索

[10811] 2016-12-09_可能是史上最先进的恶意广告攻击：一个Banner就感染了上百万PC，雅虎、MSN等大型网站都中招

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-12-09_可能是史上最先进的恶意广告攻击：一个Banner就感染了上百万PC，雅虎、MSN等大型网站都中招 可 能 是 史 上 最 先 进 的 恶 意 广 告 攻 击 ： 一 个 B a n n e r 就 感 染 了 上 百 万 P C ， 雅 虎 、 M S N 等 大 型 网 站 都 中 招 孙 毛 毛 & 欧 阳 洋 葱   F r e e B u f   2 0 1 6 - 1 2 - 0 9 一 个 广 告 一 个 广 告 B a n n e r ， 不 需 要 任 何 交 互 就 能 让 你 的 ， 不 需 要 任 何 交 互 就 能 让 你 的 P C 感 染 恶 意 程 序 ， 是 不 是 感 觉 很 牛 掰 ？ 据 说 就 目 前 为 止 ， 已 经 有 上 百 万 感 染 恶 意 程 序 ， 是 不 是 感 觉 很 牛 掰 ？ 据 说 就 目 前 为 止 ， 已 经 有 上 百 万 P C 因 因 为 这 样 的 原 因 被 感 染 。 而 且 很 多 大 型 网 站 似 乎 都 中 招 了 ， 其 中 就 包 括 雅 虎 和 为 这 样 的 原 因 被 感 染 。 而 且 很 多 大 型 网 站 似 乎 都 中 招 了 ， 其 中 就 包 括 雅 虎 和 M S N ， 如 果 你 最 近 看 到 过 下 面 这 样 的 广 告 ， 就 ， 如 果 你 最 近 看 到 过 下 面 这 样 的 广 告 ， 就 真 的 要 小 心 了 ！ 注 意 ， 只 是 看 到 就 要 小 心 。 真 的 要 小 心 了 ！ 注 意 ， 只 是 看 到 就 要 小 心 。 像 素 中 的 恶 意 代 码 像 素 中 的 恶 意 代 码 安 全 公 司 E S E T 的 恶 意 软 件 研 究 专 家 在 本 周 二 发 布 了 报 告 ， 将 这 个 E x p l o i t   K i t 称 为 S t e g a n o 。 S t e g a n o 可 以 将 恶 意 代 码 嵌 入 b a n n e r 广 告 的 像 素 中 ， 而 这 些 b a n n e r 广 告 通 常 都 在 一 些 广 为 人 知 的 大 型 网 站 上 ， 每 日 访 问 量 超 百 万 。 按 照 E S E T 的 说 法 ， 很 多 是 新 闻 类 媒 体 网 站 。 S t e g a n o 第 一 次 出 现 可 以 追 溯 到 2 0 1 4 年 ， 但 是 从 今 年 1 0 月 初 开 始 演 变 成 了 如 今 这 种 利 用 b a n n e r 广 告 在 各 大 型 网 站 传 播 的 方 式 。 S t e g a n o 这 个 名 字 衍 生 于 S t e g a n o g r a p h y （ 隐 写 术 ） 这 个 词 ， 这 门 技 术 其 实 是 通 过 一 些 技 术 手 段 将 信 息 或 内 容 隐 藏 在 一 些 数 字 图 像 之 中 ， 因 为 肉 眼 不 可 见 而 实 现 所 谓 的 隐 形 效 果 。 其 实 S t e g a n o 是 将 恶 意 代 码 隐 藏 在 透 明 是 将 恶 意 代 码 隐 藏 在 透 明 P N G 图 像 的 阿 尔 法 通 道 （ 图 像 的 阿 尔 法 通 道 （ A l p h a   C h a n n e l ） 之 中 ， 学 设 计 的 同 学 应 该 知 道 ， 图 像 的 ） 之 中 ， 学 设 计 的 同 学 应 该 知 道 ， 图 像 的 A l p h a 通 道 可 以 通 过 更 改 每 一 个 像 素 的 透 明 度 值 来 定 义 它 们 的 透 明 程 度 。 而 恶 意 代 码 的 传 递 竟 然 是 通 过 通 道 可 以 通 过 更 改 每 一 个 像 素 的 透 明 度 值 来 定 义 它 们 的 透 明 程 度 。 而 恶 意 代 码 的 传 递 竟 然 是 通 过 A l p h a 通 道 的 值 来 传 递 的 ， 通 道 的 值 来 传 递 的 ， 实 在 是 相 当 高 端 。 实 在 是 相 当 高 端 。 接 下 来 ， 就 如 大 家 所 知 道 的 那 样 ， 有 人 将 这 个 包 装 后 的 恶 意 广 告 部 署 在 了 一 些 流 量 较 大 的 主 流 网 站 上 。   从 左 到 右 依 次 为 初 始 版 本 ； 恶 意 版 本 和 为 了 演 示 效 果 的 恶 意 版 本 增 强 型 “ 由 于 这 种 修 改 十 分 细 微 ， 被 恶 意 修 改 过 的 广 告 跟 初 始 版 本 看 起 来 基 本 没 有 什 么 差 别 。 ” 能 看 出 来 下 面 这 两 张 图 哪 张 是 原 图 ， 哪 张 含 恶 意 代 码 么 ~ 专 家 还 提 到 ， 这 些 恶 意 广 告 会 显 示 名 为 这 些 恶 意 广 告 会 显 示 名 为 B r o w s e r   D e f e n c e 或 者 或 者 B r o x u 的 软 件 宣 传 内 容 ， 隐 蔽 性 极 强 ！ 最 近 浏 览 大 型 网 站 ， 如 果 的 软 件 宣 传 内 容 ， 隐 蔽 性 极 强 ！ 最 近 浏 览 大 型 网 站 ， 如 果 你 也 看 到 这 两 个 软 件 的 广 告 了 ， 那 就 得 警 惕 起 来 了 ！ 你 也 看 到 这 两 个 软 件 的 广 告 了 ， 那 就 得 警 惕 起 来 了 ！
“ 这 些 b a n n e r 广 告 位 于 U R L 为 h x x p s : / / b r o w s e r - d e f e n c e . c o m 或 h x x p s : / / b r o x u . c o m 的 远 程 域 。 ” 发 起 了 这 次 攻 击 的 组 织 叫 做 A d G h o l a s , 他 们 擅 长 使 用 一 些 有 效 的 技 术 手 段 来 通 过 广 告 传 播 恶 意 软 件 ， 即 大 家 所 知 道 的 恶 意 广 告 。 他 们 上 次 实 施 攻 击 就 在 7 月 ， 仅 在 一 天 内 就 利 用 恶 意 软 件 感 染 了 超 过 一 百 万 P C 。 M a l w a r e b y t e s 恶 意 软 件 情 报 分 析 的 负 责 人 J e r o m e   S e g u r a 提 到 ， 在 短 时 间 内 阻 止 A d G h o l a s 的 攻 击 还 是 可 能 实 现 的 ， 但 他 们 很 快 就 可 以 利 用 在 线 广 告 的 其 他 安 全 漏 洞 继 续 发 起 攻 击 。 从 S e g u r a 的 观 察 来 看 ， 受 灾 的 网 站 至 少 就 包 括 了 雅 虎 和 M S N 。 “ 这 是 我 见 过 手 段 最 先 进 的 恶 意 广 告 攻 击 之 一 。 这 是 我 见 过 手 段 最 先 进 的 恶 意 广 告 攻 击 之 一 。 ”   S e g u r a 说 道 。 S t e g a n o 原 理 原 理 一 旦 有 用 户 访 问 了 存 在 这 种 恶 意 广 告 的 网 站 ， 这 个 嵌 入 在 广 告 中 的 恶 意 脚 本 就 可 以 在 不 跟 用 户 交 互 的 情 况 下 将 用 户 电 脑 的 信 这 个 嵌 入 在 广 告 中 的 恶 意 脚 本 就 可 以 在 不 跟 用 户 交 互 的 情 况 下 将 用 户 电 脑 的 信 息 发 送 给 攻 击 者 的 远 程 服 务 器 。 息 发 送 给 攻 击 者 的 远 程 服 务 器 。 这 个 恶 意 脚 本 针 对 的 是 用 I E 浏 览 器 的 用 户 ， 它 会 先 利 用 I E 的 C V E - 2 0 1 6 - 0 1 6 2 漏 洞 来 扫 描 用 户 电 脑 ， 看 看 自 己 是 否 在 沙 箱 或 者 某 些 安 全 软 件 的 虚 拟 环 境 之 中 。 在 验 证 了 用 户 浏 览 器 之 后 ， 恶 意 脚 本 会 通 过 T i n y U R L （ 短 网 址 ） 服 务 将 浏 览 器 重 定 向 到 一 个 网 址 。 之 后 会 加 载 一 个 F l a s h 文 件 ， 这 个 文 件 能 够 根 据 用 户 使 用 的 不 同 F l a s h   P l a y e r 版 本 来 利 用 F l a s h   P l a y e r 的 不 同 漏 洞 ( C V E - 2 0 1 5 - 8 6 5 1 , 、 C V E - 2 0 1 6 - 1 0 1 9 、 C V E - 2 0 1 6 - 4 1 1 7 ) ， 虽 然 这 几 个 漏 洞 现 在 已 经 补 上 了 。 “ 在 执 行 成 功 之 后 ， S t e g a n o 会 再 次 检 查 自 己 是 否 被 监 控 ， 它 的 执 行 S h e l l 代 码 会 收 集 一 些 安 全 产 品 安 装 或 者 执 行 的 数 据 ， 这 些 行 为 就 可 以 看 出 S t e g a n o 的 开 发 者 十 分 多 疑 。 ” E S E T 的 安 全 专 家 在 b l o g 中 提 到 ， “ 如 果 攻 击 者 发 现 检 查 的 结 果 没 什 么 问 题 ， 就 会 试 图 再 次 从 这 个 服 务 器 下 载 一 个 加 密 p a y l o a d ， 然 后 把 它 伪 装 成 g i f 图 片 。 ” 过 程 中 会 下 载 伪 装 的 的 “ G I F 图 片 ” ， 再 解 密 其 中 的 p a y l o a d ， 然 后 通 过 r e g s v r 3 2 . e x e 或 r u n d l l 3 2 . e x e 执 行 。 恶 意 p a y l o a d s 的 类 型 可 能 包 括 后 门 、 间 谍 软 件 、 银 行 木 马 、 文 件 窃 取 等 。 下 面 这 张 E S E T 的 图 表 可 能 能 让 你 更 直 观 的 了 解 S t e g a n o 的 攻 击 过 程 ：
2 到 到 3 秒 你 就 被 黑 了 ？ 秒 你 就 被 黑 了 ？ 以 上 所 有 操 作 都 是 自 动 的 ， 仅 发 生 在 2 到 3 秒 之 间 ， 期 间 未 与 用 户 产 生 任 何 交 互 。 截 止 目 前 ， S t e g a n o   e x p l o i t   k i t 已 经 被 广 泛 利 用 ， 包 括 著 名 的 U r s n i f 银 行 木 马 和 R a m n i t 恶 意 软 件 。 S t e g a n o 在 2 0 1 4 年 使 用 时 ， 目 标 是 荷 兰 用 户 ； 2 0 1 5 年 春 天 开 始 针 对 捷 克 ； 到 了 最 近 ， 殃 及 范 围 扩 大 到 加 拿 大 、 英 国 、 澳 大 利 亚 、 西 班 牙 和 意 大 利 这 5 个 国 家 。 而 且 这 次 攻 击 中 ， S t e g a n o 每 个 攻 击 国 家 采 用 特 定 的 e x p l o i t 包 ， 以 达 到 最 大 范 围 的 转 播 。         由 于 A d G h o l a s 对 攻 击 目 标 电 脑 的 安 全 环 境 进 行 多 次 审 查 ， 致 使 在 研 究 他 们 攻 击 方 式 的 时 候 也 遇 到 了 不 少 麻 烦 。 最 后 他 是 用 了 一 台 家 用 电 脑 并 下 载 了 W i r e s h a r k ， 这 个 不 会 被 监 测 到 的 网 络 抓 包 工 具 才 让 他 有 幸 观 察 到 了 一 次 完 整 的 攻 击 。 S e g u r a 先 是 在 1 1 月 2 7 日 发 现 了 针 对 雅 虎 的 攻 击 ， 没 想 到 两 天 后 恶 意 广 告 又 出 现 了 。 A d G h o l a s 在 这 次 攻 击 中 仅 仅 是 改 变 了 域 ， 连 域 所 在 的 I P 地 址 都 没 变 。 “ 如 果 没 看 出 来 的 话 我 们 就 遇 到 大 麻 烦 了 。 ”   S e g u r a 说 道 ， “ 这 些 攻 击 在 没 有 人 意 识 到 的 情 况 下 就 已 经 发 生 了 。 ” 就 算 通 过 各 种 方 式 扫 描 恶 意 广 告 ， 但 像 A d G h o l a s 这 样 的 入 侵 者 还 是 防 不 胜 防 。 “ 只 要 在 线 广 告 存 在 一 天 ， 问 题 同 样 存 在 。 ” S e g u r a 说 ， “ 当 然 ， 也 不 能 够 以 偏 概 全 ， 合 法 的 在 线 广 告 还 是 占 了 大 多 数 的 。 ” E S E T 的 报 告 中 并 没 有 提 到 受 灾 的 具 体 包 含 哪 些 大 型 网 站 。 对 普 通 用 户 来 说 ， 最 好 的 防 御 办 法 就 是 保 证 你 的 电 脑 运 行 最 新 版 的 软 件 和 A p p ， 同 时 使 用 能 监 测 到 这 种 恶 意 广 告 的 杀 毒 软 件 吧 。 有 关 有 关 S t e g a n o 的 技 术 分 析 的 技 术 分 析 如 前 文 所 述 ， S t e g o n a 实 际 上 2 0 1 4 年 就 已 经 出 现 了 ， 不 过 当 前 的 版 本 经 过 了 极 大 加 强 。 据 E S E T 所 说 ， 和 和 S t e g o n a 比 起 来 ， 其 他 一 些 比 起 来 ， 其 他 一 些
比 较 有 名 的 比 较 有 名 的 E x p l o i t   K i t s ， 比 如 说 ， 比 如 说 A n g l e r 和 和 N e u t r i n o 实 在 是 小 巫 见 大 巫 了 。 实 在 是 小 巫 见 大 巫 了 。 在 绝 大 部 分 感 染 场 景 中 ， 存 在 问 题 的 广 告 都 会 展 示 一 个 名 叫 B r o w s e r   D e f e n c e 的 产 品 ， 最 近 还 有 在 展 示 B r o x u 软 件 的 。 以 下 的 分 析 仅 针 对 B r o w s e r   D e f e n c e 。 恶 意 广 告 本 身 位 于 b r o w s e r - d e f e n c e . c o m 这 个 域 名 下 ， U R I 构 造 类 似 于 下 面 这 样 （ 注 意 还 是 用 的 h t t p s ） ： 这 里 的 i n d e x . h t m l 会 加 载 c o u n t l y . m i n . j s ， 为 脚 本 提 供 提 供 初 始 参 数 。 这 里 的 c o u n t l y 可 不 是 随 便 从 G i t H u b 复 制 一 段 代 码 ， 其 中 的 代 码 进 行 了 大 量 混 淆 和 自 定 义 修 改 。 这 些 代 码 主 要 负 责 的 是 初 始 环 境 检 查 。 随 后 初 始 环 境 信 息 会 发 回 服 务 器 （ 当 成 1 × 1   g i f 文 件 的 X O R 加 密 过 的 参 数 发 回 ） ， 形 如 下 面 这 样 ： 据 研 究 人 员 S e g u r a 所 说 ， 恶 意 程 序 收 集 的 信 息 还 比 较 多 样 ， 包 括 计 算 机 的 时 区 、 某 些 显 卡 驱 动 是 否 安 装 ， 还 有 设 备 的 性 能 参 数 。 反 复 确 认 被 攻 击 对 象 之 后 ， 后 面 的 步 骤 才 会 执 行 ， 所 以 安 全 人 员 都 认 为 E x p l o i t   K i t 作 者 有 强 迫 症 。 随 后 脚 本 就 会 请 求 广 告 B a n n e r 了 。 根 据 前 面 初 始 环 境 检 查 结 果 ， 返 回 恶 意 广 告 ， 或 者 也 可 能 是 不 存 在 恶 意 的 广 告 。 脚 本 接 下 来 就 会 加 载 B a n n e r ， 然 后 读 取 读 取 R G B A 结 构 （ 有 兴 趣 的 可 以 去 了 解 结 构 （ 有 兴 趣 的 可 以 去 了 解 R G B A   c o l o r   s p a c e 色 彩 空 间 ， 即 红 绿 蓝 三 个 通 道 色 彩 空 间 ， 即 红 绿 蓝 三 个 通 道 + A l p h a 通 道 ） 。 如 果 说 加 载 的 是 恶 意 通 道 ） 。 如 果 说 加 载 的 是 恶 意 b a n n e r ， 就 会 从 图 片 的 ， 就 会 从 图 片 的 A l p h a 通 道 中 解 码 一 部 分 通 道 中 解 码 一 部 分 J S 。 。 至 于 具 体 怎 么 解 码 至 于 具 体 怎 么 解 码 A l p h a 通 道 中 的 代 码 ， 这 里 面 具 体 是 有 一 套 算 法 的 通 道 中 的 代 码 ， 这 里 面 具 体 是 有 一 套 算 法 的 ， 是 不 是 感 觉 很 有 意 思 ？ 详 情 参 见 E S E T 的 原 文 。 某 些 像 素 的 某 些 像 素 的 A l p h a 通 道 包 含 了 一 些 值 ， 所 以 我 们 从 图 片 中 看 起 来 ， 图 片 会 呈 现 出 一 些 噪 点 ， 主 要 就 是 因 为 这 些 存 在 恶 意 的 值 通 道 包 含 了 一 些 值 ， 所 以 我 们 从 图 片 中 看 起 来 ， 图 片 会 呈 现 出 一 些 噪 点 ， 主 要 就 是 因 为 这 些 存 在 恶 意 的 值 。 现 在 知 道 上 面 这 两 张 图 的 差 别 了 吗 ？ 。 现 在 知 道 上 面 这 两 张 图 的 差 别 了 吗 ？ 实 际 上 ， 这 也 的 确 很 难 检 测 到 。 在 成 功 解 码 之 后 ， J S 代 码 还 会 跟 图 片 最 后 编 码 的 哈 希 值 来 校 验 其 完 整 性 ， 最 终 再 执 行 。 这 些 代 码 才 正 式 对 计 算 机 环 境 和 浏 览 器 本 身 进 行 检 查 ， 利 用 的 是 I E 漏 洞 C V E - 2 0 1 6 - 0 1 6 2 。 检 查 的 主 要 是 抓 包 、 沙 盒 还 有 虚 拟 化 软 件 是 否 存 在 ， 当 然 还 有 环 境 中 是 否 存 在 安 全 软 件 ； 主 要 会 检 查 下 面 这 些 东 东 是 否 存 在 ： C : W i n d o w s S y s t e m 3 2 d r i v e r s v m c i . s y s C : P r o g r a m   F i l e s V M w a r e V M w a r e   T o o l s v m t o o l s d . e x e C : P r o g r a m   F i l e s   ( x 8 6 ) V M w a r e V M w a r e   T o o l s v m t o o l s d . e x e C : W i n d o w s S y s t e m 3 2 d r i v e r s v b o x d r v . s y s C : W i n d o w s S y s t e m 3 2 v b o x s e r v i c e . e x e C : P r o g r a m   F i l e s O r a c l e V i r t u a l B o x   G u e s t   A d d i t i o n s V B o x T r a y . e x e C : P r o g r a m   F i l e s   ( x 8 6 ) O r a c l e V i r t u a l B o x   G u e s t   A d d i t i o n s V B o x T r a y . e x e C : W i n d o w s S y s t e m 3 2 d r i v e r s p r l _ f s . s y s h x x p s : / / b r o w s e r - d e f e n c e . c o m / a d s / s / i n d e x . h t m l ? w = 1 6 0 & h = 6 0 0 s y s t e m L o c a l e ^ s c r e e n R e s o l u t i o n ^ G M T   o f f s e t ^ D a t e ^ u s e r A g e n t ^ p i x e l R a t i o
C : P r o g r a m   F i l e s P a r a l l e l s P a r a l l e l s   T o o l s p r l _ c c . e x e C : P r o g r a m   F i l e s   ( x 8 6 ) P a r a l l e l s P a r a l l e l s   T o o l s p r l _ c c . e x e C : W i n d o w s S y s t e m 3 2 V M U S r v c . e x e C : W i n d o w s S y s t e m 3 2 V M S r v c . e x e C : P r o g r a m   F i l e s F i d d l e r F i d d l e r . e x e C : P r o g r a m   F i l e s   ( x 8 6 ) F i d d l e r F i d d l e r . e x e C : P r o g r a m   F i l e s F i d d l e r 2 F i d d l e r . e x e C : P r o g r a m   F i l e s   ( x 8 6 ) F i d d l e r 2 F i d d l e r . e x e C : P r o g r a m   F i l e s F i d d l e r 4 F i d d l e r . e x e C : P r o g r a m   F i l e s   ( x 8 6 ) F i d d l e r 4 F i d d l e r . e x e C : P r o g r a m   F i l e s F i d d l e r C o r e A P I F i d d l e r C o r e . d l l C : P r o g r a m   F i l e s   ( x 8 6 ) F i d d l e r C o r e A P I F i d d l e r C o r e . d l l C : P r o g r a m   F i l e s C h a r l e s C h a r l e s . e x e C : P r o g r a m   F i l e s   ( x 8 6 ) C h a r l e s C h a r l e s . e x e C : P r o g r a m   F i l e s W i r e s h a r k w i r e s h a r k . e x e C : P r o g r a m   F i l e s   ( x 8 6 ) W i r e s h a r k w i r e s h a r k . e x e C : P r o g r a m   F i l e s S a n d b o x i e S b i e D l l . d l l C : P r o g r a m   F i l e s   ( x 8 6 ) S a n d b o x i e S b i e D l l . d l l 检 查 下 来 ， 如 果 一 切 顺 利 就 会 建 立 仅 1 个 像 素 的 i f r a m e ， 设 定 w i n d o w . n a m e 属 性 ， 通 过 H T T P S 重 定 向 至 T i n y U R L 。 然 后 T i n y U R L 再 通 过 H T T P 重 定 向 至 漏 洞 利 用 l a n d i n g 页 面 。 漏 洞 利 用 阶 段 漏 洞 利 用 阶 段 在 成 功 重 定 向 之 后 ， l a n d i n g 页 面 会 检 查 浏 览 器 u s e r A g e n t （ I E ） ， 加 载 一 个 F l a s h 文 件 ， 然 后 通 过 一 个 加 密 的 J S O N 文 件 来 设 定 F l a s h V a r s 参 数 。 在 此 ， l a n d i n g 页 面 是 作 为 中 间 人 的 角 色 存 在 的 ， 提 供 基 本 的 加 密 解 密 功 能 。 F L a s h 文 件 内 实 际 上 还 嵌 入 了 另 一 个 F l a s h 文 件 （ 和 N e u t r i n o 类 似 ） ， 根 据 F l a s h 版 本 采 用 3 种 不 同 的 e x p l o i t s 。 第 二 阶 段 ， F l a s h 文 件 会 对 F l a s h V a r s 解 密 。 其 中 包 含 了 一 个 J S O N 文 件 （ U R I ） 、 针 对 E x t e r n a l I n t e r f a c e 的 J S 函 数 名 、 回 调 函 数 名 和 部 分 其 他 数 据 ： 接 下 来 ， 就 会 通 过 E x t e l n a l I n t e r f a c e . c a l l ( ) 来 调 用 一 个 J S ， 检 查 F l a s h 版 本 ， 然 后 通 过 l a n d i n g 页 面 发 往 服 务 器 。 这 个 过 程 是 通 过 针 对 G I F 文 件 请 求 的 加 密 U R I 参 数 完 成 的 。 加 密 算 法 比 较 简 单 ， 用 到 了 广 告 中 的 w i n d o w . n a m e 。 { “ a ” : ” / e . g i f ? t s = 1 7 4 3 5 2 6 5 8 5 & r = 1 0 & d a t a = ” , ” b ” : ” d U t ” , ” c ” : ” h M L ” , ” d ” : t r u e , ” x ” : ” / x . g i f ? t s = 1 7 4 3 5 2 6 5 8 5 & r = 7 0 & d a t a = ” }
而 服 务 器 给 出 的 响 应 就 是 个 G I F 图 片 ， 这 个 图 片 前 面 的 部 分 字 节 会 被 丢 弃 ， 针 对 剩 下 的 部 分 进 行 解 密 ， 然 后 回 传 给 F l a s h 。 实 际 上 这 里 的 响 应 就 是 个 J S O N ， 其 中 包 含 了 利 用 三 个 漏 洞 （ C V E - 2 0 1 5 - 8 6 5 1 、 C V E - 2 0 1 6 - 1 0 1 9 或 者 是 C V E - 2 0 1 6 - 4 1 1 7 ） 的 指 示 字 符 ， 还 有 相 应 e x p l o i t 的 密 码 ， 以 及 为 下 一 阶 段 p a y l o a d 做 准 备 的 s h e l l   c o d e   U R I 。 S h e l l 代 码 代 码 利 用 阶 段 的 最 后 ， s h e l l 代 码 解 密 ， 下 载 加 密 后 的 p a y l o a d — — 整 个 过 程 还 是 伪 装 成 G I F 图 片 。 在 这 个 阶 段 ， 还 是 会 再 度 执 行 一 次 检 查 ， 看 看 自 己 有 没 有 被 察 觉 。
针 对 文 件 名 包 含 下 面 这 些 字 符 的 软 件 ， 它 会 格 外 在 意 。 一 旦 发 现 有 什 么 可 疑 的 ， 就 不 会 再 下 载 p a y l o a d ： v m t o o l s d . e x e V B o x S e r v i c e . e x e p r l _ t o o l s _ s e r v i c e . e x e V B o x H o o k . d l l S B I E D L L . D L L f i d d l e r . e x e c h a r l e s . e x e w i r e s h a r k . e x e p r o x i f i e r . e x e p r o c e x p . e x e
P a y l o a d 部 分 部 分 接 收 到 P a y l o a d 之 后 ， 也 就 是 上 面 说 的 G I F 图 片 ！ G I F 图 片 的 前 4 2 个 字 节 会 被 丢 弃 ， 对 剩 下 的 进 行 解 密 ， 通 过 下 面 的 某 一 种 方 式 将 其 保 存 到 文 件 中 ： 1 . C r e a t e F i l e ,   W r i t e F i l e 2 . C r e a t e U r l C a c h e E n t r y A ( * ”   h t t p : / / g o o g l e . c o m / ” , , , , ) ,   C r e a t e F i l e A ,   C r e a t e F i l e M a p p i n g A ,   M a p V i e w O f F i l e ,   { l o o p   o f   m o v i n g   b y t e s } ,   F l u s h V i e w O f F i l e ,   U n m a p V i e w O f F i l e 随 后 再 通 过 r e g s v r 3 2 . e x e 或 者 r u n d l l 3 2 . e x e 来 执 行 p a y l o a d 。 E S E T 的 分 析 发 现 了 下 面 这 些 p a y l o a d 会 被 下 载 ， 应 该 还 有 其 他 的 p a y l o a d 。 W i n 3 2 / T r o j a n D o w n l o a d e r . A g e n t . C F H W i n 3 2 / T r o j a n D o w n l o a d e r . D a g o z i l l . B W i n 3 2 / G e n K r y p t i k . K U M W i n 3 2 / K r y p t i k . D L I F 从 整 个 过 程 来 看 ， 这 个 恶 意 广 告 的 作 者 还 是 花 了 相 当 多 的 心 思 来 确 保 隐 蔽 性 。 不 过 鉴 于 利 用 的 漏 洞 都 已 经 被 修 复 ， 所 以 将 从 整 个 过 程 来 看 ， 这 个 恶 意 广 告 的 作 者 还 是 花 了 相 当 多 的 心 思 来 确 保 隐 蔽 性 。 不 过 鉴 于 利 用 的 漏 洞 都 已 经 被 修 复 ， 所 以 将 软 件 升 级 到 最 新 版 ， 这 个 看 起 来 非 常 有 趣 和 恐 怖 的 攻 击 过 程 就 无 法 得 逞 了 。 软 件 升 级 到 最 新 版 ， 这 个 看 起 来 非 常 有 趣 和 恐 怖 的 攻 击 过 程 就 无 法 得 逞 了 。 另 外 ， 广 告 网 络 虽 然 一 直 都 越 来 越 注 重 扫 描 广 告 中 的 恶 意 代 码 ， 不 过 对 于 A d G h o l a s 这 种 具 有 隐 蔽 性 的 技 术 仍 旧 束 手 无 策 。 技 术 分 析 中 就 已 经 提 到 ， 这 个 黑 客 团 队 会 推 两 个 不 同 版 本 的 广 告 ， 其 中 一 版 是 普 通 版 ， 就 是 为 了 给 广 告 网 络 扫 描 之 用 的 。 但 在 “ 精 心 挑 选 ” 被 攻 击 对 象 之 后 ， 才 推 恶 意 广 告 。 这 样 一 来 ， 恶 意 广 告 就 逃 脱 了 广 告 网 络 的 扫 描 ， 恶 意 广 告 也 就 出 现 在 了 大 型 网 站 上 ， 导 致 大 量 设 备 被 攻 击 。 如 S e g u r a 所 说 ， 互 联 网 广 告 行 业 现 如 今 注 重 的 主 要 是 速 度 ， 而 非 安 全 性 ， 威 胁 的 出 现 是 值 得 那 些 广 告 网 络 注 意 的 。 *   参 考 来 源 ： E S E T ， i n f o r i s k t o d a y ， 孙 毛 毛 & 欧 阳 洋 葱 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理