搜索

[11010] 2017-02-10_全球上百家银行和金融机构感染了一种“无文件”恶意程序，几乎无法检测

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-02-10_全球上百家银行和金融机构感染了一种“无文件”恶意程序，几乎无法检测 全 球 上 百 家 银 行 和 金 融 机 构 感 染 了 一 种 “ 无 文 件 ” 恶 意 程 序 ， 几 乎 无 法 检 测 孙 毛 毛   F r e e B u f   2 0 1 7 - 0 2 - 1 0 根 据 卡 巴 斯 基 发 布 的 最 新 报 告 ， 超 过 根 据 卡 巴 斯 基 发 布 的 最 新 报 告 ， 超 过 1 4 0 家 美 国 、 南 美 、 欧 洲 和 非 洲 的 银 行 、 通 讯 企 业 和 政 府 机 构 感 染 了 一 种 几 乎 无 法 被 检 家 美 国 、 南 美 、 欧 洲 和 非 洲 的 银 行 、 通 讯 企 业 和 政 府 机 构 感 染 了 一 种 几 乎 无 法 被 检 测 到 的 极 为 复 杂 的 无 文 件 恶 意 程 序 。 测 到 的 极 为 复 杂 的 无 文 件 恶 意 程 序 。 卡 巴 斯 基 的 专 家 警 告 ： 虽 然 目 前 的 官 方 数 据 显 示 成 为 目 标 的 银 行 和 企 业 至 少 有 虽 然 目 前 的 官 方 数 据 显 示 成 为 目 标 的 银 行 和 企 业 至 少 有 1 4 0 家 ， 但 是 鉴 于 这 种 恶 意 程 序 极 难 被 发 现 的 家 ， 但 是 鉴 于 这 种 恶 意 程 序 极 难 被 发 现 的 特 性 ， 潜 在 受 害 者 数 量 可 能 远 高 于 这 个 数 字 。 特 性 ， 潜 在 受 害 者 数 量 可 能 远 高 于 这 个 数 字 。 这 种 类 型 的 感 染 并 不 是 第 一 次 出 现 ， 几 年 前 卡 巴 斯 基 就 曾 在 自 己 企 业 内 部 网 络 中 发 现 了 这 种 在 当 时 前 所 未 有 的 恶 意 程 序 ， 并 将 其 称 为 D u q u   2 . 0 。 D u q u   2 . 0 的 来 源 则 被 认 为 是 震 网 ， 是 当 时 美 国 与 以 色 列 为 了 破 坏 伊 朗 核 计 划 专 门 合 作 创 建 的 一 种 极 为 复 杂 的 电 脑 蠕 虫 。 感 染 现 状 感 染 现 状 感 染 现 状 感 染 现 状 目 前 这 种 与 D u q u   2 . 0 十 分 相 似 的 恶 意 程 序 已 经 在 不 计 其 数 的 企 业 和 银 行 之 中 像 野 火 一 样 蔓 延 开 来 。 它 会 利 用 像 是 P o w e r S h e l l ,   M e t a s p l o i t 和 M i m i k a t z 这 样 的 合 法 管 理 系 统 或 安 全 工 具 将 恶 意 程 序 注 入 电 脑 内 存 。 卡 巴 斯 基 选 择 不 公 布 这 些 目 前 正 在 遭 受 攻 击 的 具 体 机 构 ， 但 确 定 这 些 机 构 来 自 卡 巴 斯 基 选 择 不 公 布 这 些 目 前 正 在 遭 受 攻 击 的 具 体 机 构 ， 但 确 定 这 些 机 构 来 自 4 0 个 不 同 国 家 。 其 中 受 感 染 的 个 不 同 国 家 。 其 中 受 感 染 的 5 个 重 灾 区 分 别 个 重 灾 区 分 别 是 美 国 、 法 国 、 厄 瓜 多 尔 、 肯 尼 亚 和 英 国 。 是 美 国 、 法 国 、 厄 瓜 多 尔 、 肯 尼 亚 和 英 国 。 此 次 攻 击 十 分 令 人 厌 恶 的 原 因 主 要 是 ： 它 可 以 潜 伏 很 久 并 且 很 难 被 发 现 ， 并 且 无 法 确 定 在 这 个 恶 意 程 序 背 后 的 究 竟 是 一 个 黑 客 、 一 个 组 织 或 很 多 组 织 ？ 除 非 哪 天 有 人 出 来 声 称 对 此 事 负 责 ， 否 则 在 很 长 时 间 内 这 个 幕 后 真 凶 对 安 全 专 家 或 当 局 来 说 都 会 是 一 个 未 解 之 谜 。 工 作 原 理 工 作 原 理 工 作 原 理 工 作 原 理
无 文 件 恶 意 程 序 最 初 是 由 卡 巴 斯 基 在 2 0 1 4 年 发 现 的 ， 一 直 不 算 是 什 么 主 流 的 攻 击 方 式 ， 直 到 此 次 事 件 的 发 生 。 说 起 来 无 文 件 恶 意 程 序 并 不 会 为 了 执 行 而 将 文 件 或 文 件 夹 复 制 到 硬 盘 上 ， 反 而 是 将 p a y l o a d s 直 接 注 入 正 在 运 行 程 序 的 内 存 ， 导 致 恶 意 软 件 直 接 在 系 统 R A M 中 执 行 ， 也 让 专 家 很 难 在 系 统 重 启 之 后 找 到 此 恶 意 软 件 的 踪 迹 。 该 恶 意 程 序 首 次 被 发 现 是 在 2 0 1 6 年 底 ， 有 一 家 银 行 的 安 全 团 队 在 微 软 域 控 制 器 的 物 理 内 存 发 现 了 一 段 M e t e r p r e t e r 代 码 。 经 过 取 证 分 析 ， 卡 巴 斯 基 的 专 家 发 现 这 段 代 码 是 入 侵 者 利 用 W i n d o w s   P o w e r S h e l l 将 M e t e r p r e t e r 代 码 注 入 内 存 ， 而 并 未 将 其 写 入 磁 盘 。 M e t e r p r e t e r 是 一 种 可 注 入 运 行 程 序 的 内 存 攻 击 p a y l o a d ， 它 可 以 在 在 被 感 染 的 系 统 中 造 成 持 续 破 坏 。 M e t e r p r e t e r 是 M e t a s p l o i t 渗 透 测 试 框 架 的 一 部 分 ， M e t a s p l o i t 在 安 全 团 队 或 恶 意 入 侵 者 中 都 是 十 分 流 行 的 工 具 。   攻 击 者 利 用 已 知 漏 洞 的 利 用 工 具 来 入 侵 目 标 组 织 的 服 务 器 ， 在 获 得 访 问 权 之 后 就 利 用 M i m i k a t z 来 获 取 系 统 的 身 份 凭 证 — — 这 样 才 能 完 成 进 一 步 的 提 权 ， 也 是 后 续 攻 击 必 须 的 。 然 后 再 用 P o w e r S h e l l 脚 本 、 M e t e r p r e t e r 和 W i n d o w s 工 具 S c 在 内 存 中 部 署 恶 意 代 码 。 目 前 我 们 知 道 会 用 如 下 脚 本 来 生 成 M e t a s p l o i t 框 架 。 脚 本 会 分 配 内 存 并 将 W i n A P I s 和 下 载 的 M e t e r p r e t e r 直 接 解 析 到 R A M 。 入 侵 者 还 会 利 用 微 软 的 N E T S H 网 络 工 具 设 置 了 一 个 代 理 通 道 ， 与 C & C 服 务 器 通 信 并 远 程 控 制 被 感 染 的 主 机 。 N E T S H   ( N e t w o r k   S h e l l ) 是 w i n d o w s 系 统 本 身 提 供 的 功 能 强 大 的 网 络 配 置 命 令 行 工 具 。 为 了 消 除 设 备 重 启 后 留 在 日 志 或 硬 盘 的 痕 迹 ， 入 侵 者 将 P o w e r S h e l l 命 令 隐 藏 在 W i n d o w s 注 册 表 ， 让 安 全 专 家 之 后 的 取 证 和 分 析 过 程 变 得 更 加 困 难 。 看 起 来 这 个 恶 意 程 序 的 主 要 目 的 就 是 为 了 收 集 系 统 管 理 员 的 密 码 及 远 程 控 制 受 到 感 染 的 主 机 。 此 次 攻 击 的 终 极 目 标 可 能 是 感 染 那 此 次 攻 击 的 终 极 目 标 可 能 是 感 染 那 些 控 制 自 动 取 款 机 的 电 脑 ， 让 入 侵 者 能 以 这 样 的 方 式 获 取 钱 财 。 些 控 制 自 动 取 款 机 的 电 脑 ， 让 入 侵 者 能 以 这 样 的 方 式 获 取 钱 财 。 虽 然 受 感 染 的 企 业 和 机 构 范 围 很 广 、 数 量 较 多 ， 但 是 入 侵 者 所 采 取 的 方 法 相 对 一 致 ， 这 样 就 能 帮 助 各 公 司 的 安 全 人 员 认 识 现 状 并 采 取 相 应 措 施 。
卡 巴 斯 基 实 验 室 计 划 在 卡 巴 斯 基 实 验 室 计 划 在 4 月 月 2 日 至 日 至 6 日 之 间 揭 露 更 多 关 于 此 次 攻 击 的 细 节 。 日 之 间 揭 露 更 多 关 于 此 次 攻 击 的 细 节 。 G a r t n e r 安 全 分 析 师 A v i v a h   L i t a n 提 到 ， “ 现 如 今 越 来 越 多 的 公 司 会 在 终 端 部 署 保 护 和 检 测 工 具 ， 所 以 采 用 无 文 件 恶 意 软 件 的 攻 击 也 变 得 越 来 越 频 繁 。 ” L i t a n 也 给 企 业 该 如 何 快 速 检 测 并 阻 止 无 文 件 恶 意 软 件 攻 击 提 出 了 一 下 几 点 建 议 ： 也 给 企 业 该 如 何 快 速 检 测 并 阻 止 无 文 件 恶 意 软 件 攻 击 提 出 了 一 下 几 点 建 议 ： 频 繁 对 系 统 进 行 维 护 ； 根 据 需 求 ， 限 制 使 用 M i c r o s o f t   P o w e r S h e l l 和 类 似 管 理 工 具 的 电 脑 和 用 户 ； 购 买 一 些 有 预 防 内 存 攻 击 功 能 的 产 品 ， 像 是 赛 门 铁 克 、 T r e n d 和 M c A f e e 等 ； 可 以 考 虑 对 终 端 电 脑 实 施 应 用 程 序 控 制 ， 只 允 许 一 个 机 构 的 应 用 程 序 可 以 运 行 。 * 参 考 来 源 ： s e c u r e l i s t ， F B 小 编 孙 毛 毛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理