搜索

[11185] 2017-03-30_你的Safari浏览器被“锁”了吗？千万别付赎金，升级iOS10.3即可

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-03-30_你的Safari浏览器被“锁”了吗？千万别付赎金，升级iOS10.3即可 你 的 S a f a r i 浏 览 器 被 “ 锁 ” 了 吗 ？ 千 万 别 付 赎 金 ， 升 级 i O S   1 0 . 3 即 可 b i m e o v e r   F r e e B u f   2 0 1 7 - 0 3 - 3 0 前 两 天 苹 果 发 布 了 最 新 的 i O S   1 0 . 3 更 新 ， 这 次 更 新 修 复 了 不 少 安 全 问 题 ， 其 中 包 括 对 移 动 端 S a f a r i 对 J a v a S c r i p t 弹 出 窗 口 的 处 理 方 式 的 改 变 。 前 不 久 ， L o o k o u t 发 现 攻 击 者 正 在 利 用 这 种 处 理 方 式 对 苹 果 用 户 实 施 勒 索 ， 其 目 标 主 要 是 那 些 在 网 上 找 色 情 内 容 ， 和 想 要 非 法 下 载 盗 版 音 乐 和 其 他 敏 感 信 息 的 人 。 你 中 招 了 吗 ？ “ 漏 洞 ” 说 明 在 本 次 攻 击 中 ， 诈 骗 分 子 滥 用 了 移 动 端 S a f a r i 的 弹 窗 处 理 方 式 ， 通 过 反 复 弹 窗 ， 让 用 户 无 法 使 用 S a f a r i 浏 览 器 ， 除 非 该 用 户 以 i T u n e s 礼 品 卡 的 形 式 向 诈 骗 分 子 支 付 赎 金 。 诈 骗 分 子 通 过 这 种 方 式 成 功 “ 锁 定 ” 一 个 S a f a r i 浏 览 器 之 后 ， 还 会 给 用 户 提 示 各 种 威 胁 、 恐 吓 的 勒 索 信 息 。 不 过 这 种 “ 勒 索 ” 程 序 其 实 很 容 易 “ 解 锁 ” ， 只 需 要 在 i O S 设 置 中 将 S a f a r i 浏 览 器 的 缓 存 删 除 即 可 。 诈 骗 者 其 实 根 本 没 有 向 一 般 的 勒 索 程 序 那 样 加 密 数 据 ， 他 们 的 目 的 就 是 恐 吓 受 害 者 支 付 赎 金 。 L o o k o u t 上 个 月 首 次 发 现 这 种 攻 击 ， 他 们 将 发 现 的 相 关 细 节 上 报 给 了 苹 果 ， 包 括 涉 及 诈 骗 活 动 的 多 个 网 站 和 攻 击 原 理 ， 并 强 调 了 经 常 更 新 手 机 服 务 的 重 要 性 。 首 次 发 现 就 在 今 年 2 月 ， 一 位 使 用 i O S   1 0 . 2 的 用 户 向 L o o k o u t 反 应 ， 他 在 使 用 S a f a r i 浏 览 器 访 问 某 家 网 站 之 后 ， S a f a r i 就 彻 底 失 控 了 ， 并 发 给 L o o k o u t 两 张 截 图 。 截 图 有 两 部 分 内 容 ， 最 直 观 的 就 是 一 条 来 自 p a y - p o l i c e . c o m 网 站 的 提 示 信 息 “ C a n n o t   O p e n   P a g e ” 。 据 受 害 者 反 应 ， 他 每 次 点 “ O K ” 之 后 还 是 提 示 “ C a n n o t   O p e n   P a g e ” ， 显 然 网 址 日 志 陷 入 了 无 限 循 环 ， 结 果 就 是 用 户 无 法 正 常 使 用 浏 览 器 。 还 有 一 部 分 就 是 背 景 部 分 的 勒 索 信 息 。
“ 你 的 设 备 已 经 被 锁 … ” 以 及 “ … 快 支 付 价 值 1 0 0 磅 的 i T u n e s 礼 品 卡 ” ， 威 胁 用 户 支 付 赎 金 移 动 端 S a f a r i 弹 窗 的 弊 端 如 前 文 所 述 ， 攻 击 者 就 是 利 用 S a f a r i 针 对 弹 窗 的 处 理 方 式 来 欺 骗 受 害 者 ， 声 称 “ 你 的 S a f a r i 已 经 被 我 锁 了 ” ， 并 向 受 害 者 索 要 赎 金 。 这 种 攻 击 方 式 并 没 有 突 破 S a f a r i 浏 览 器 的 应 用 沙 盒 ， 也 没 有 利 用 什 么 e x p l o i t 代 码 — — 这 和 那 些 复 杂 攻 击 方 式 完 全 不 是 一 个 层 级 。 攻 击 者 注 册 类 似 p o l i c e - p a y 这 样 的 域 名 ， 其 实 是 为 那 些 整 天 找 “ 特 定 类 型 内 容 ” 的 用 户 准 备 的 ， 这 里 的 特 定 类 型 可 能 是 色 情 内 容 ， 当 然 也 有 可 能 是 盗 版 音 乐 网 站 。 为 了 更 高 效 地 拿 到 赎 金 ， 他 们 恐 吓 受 害 者 以 明 确 的 物 品 来 充 当 赎 金 ， 就 比 如 等 值 i T u n e s 礼 品 卡 。 经 分 析 ， 诈 骗 分 子 的 攻 击 代 码 似 乎 针 对 较 老 的 i O S   8 版 本 开 发 的 ， 苹 果 直 到 i O S   1 0 . 3 才 修 复 了 这 个 浏 览 器 缺 陷 。 其 实 “ 锁 ” 住 浏 览 器 的 就 是 一 串 触 发 弹 窗 的 无 限 循 环 代 码 。 由 于 i O S   1 0 . 3 浏 览 器 采 用 每 个 标 签 独 立 运 行 的 方 式 ， 因 此 在 i O S   1 0 . 3 中 单 个 标 签 弹 窗 不 会 锁 住 整 个 浏 览 器 ， 用 户 可 关 闭 该 标 签 或 移 动 到 另 一 标 签 解 决 被 无 限 弹 窗 的 问 题 。 快 速 修 复 在 获 取 i O S   1 0 . 3 更 新 之 前 ， 受 害 者 还 可 以 通 过 以 下 方 法 解 “ 锁 ” ， 设 置 > S a f a r i > 清 除 历 史 和 网 页 数 据 ； 再 次 启 动 S a f a r i 的 时 候 ， 勒 索 消 息 就 消 失 了 。
调 查 勒 索 行 为 从 下 面 这 条 指 令 可 以 看 出 ， 此 次 攻 击 利 用 J a v a S c r i p t 代 码 是 对 早 期 攻 击 的 再 利 用 。 “ s a v e d   f r o m   u r l = ( 0 0 7 0 ) h t t p : / / a p p l e - i o s - f r o n t . g q / 2 9 3 0 0 0 0 0 / i n d e x . p h p ? D A T A R E = V y l e t % 3 A 3 0 _ 1 5 % 3 A 2 9 ” 一 家 俄 罗 斯 网 站 上 曾 介 绍 过 这 种 攻 击 ， J a v a S c r i p t 中 包 含 一 些 专 门 将 U s e r A g e n t   s t r i n g 匹 配 到 老 版 本 i O S 的 代 码 。 “ ’ M o z i l l a / 5 . 0   ( i P h o n e ;   C P U   i P h o n e   O S   8 _ 0 _ 2   l i k e   M a c   O S   X )   A p p l e W e b K i t / 6 0 0 . 1 . 4   ( K H T M L ,   l i k e   G e c k o )   V e r s i o n / 8 . 0   M o b i l e / 1 2 A 3 6 6   S a f a r i / 6 0 0 . 1 . 4 ’ ” 攻 击 代 码 会 创 建 一 个 弹 窗 ， 并 无 限 循 环 ， 除 非 受 害 者 支 付 赎 金 。 赎 金 支 付 可 以 通 过 将 i T u n e s 礼 品 卡 号 发 给 勒 索 网 页 显 示 的 电 话 号 码 完 成 。 后 续 版 本 的 i O S 系 统 中 ， 弹 出 错 误 窗 口 对 话 框 实 际 上 是 因 为 移 动 版 S a f a r i 无 法 找 到 本 次 U R L 查 询 ， 不 过 由 于 无 限 循 环 代 码 ， 攻 击 代 码 还 是 会 持 续 弹 出 错 误 日 志 信 息 。 值 得 一 提 的 是 ， J a v a S c r i p t 代 码 被 混 淆 ， 在 分 析 员 的 还 原 之 下 ， 发 现 了 它 的 真 实 目 的 。 比 如 ， 在 p a y - p o l i c e [ . ] c o m 域 名 的 J a v a S c r i p t 代 码 中 ， 攻 击 者 以 十 六 进 制 混 淆 了 他 的 攻 击 代 码 。 这 种 攻 击 在 新 版 本 的 i O S 中 可 能 会 导 致 浏 览 器 D O S （ 拒 绝 服 务 ） 。
在 执 行 混 淆 代 码 之 前 该 网 页 代 码 还 会 运 行 下 面 这 个 脚 本 < s c r i p t   t y p e = ” t e x t / j a v a s c r i p t ” > n a v i g a t o r . _ _ d e f i n e G e t t e r _ _ ( ‘ u s e r A g e n t ’ ,   f u n c t i o n   ( )   {   r e t u r n   ‘ M o z i l l a / 5 . 0   ( i P h o n e ;   C P U   i P h o n e   O S   8 _ 0 _ 2   l i k e   M a c   O S   X ) A p p l e W e b K i t / 6 0 0 . 1 . 4   ( K H T M L ,   l i k e   G e c k o )   V e r s i o n / 8 . 0   M o b i l e / 1 2 A 3 6 6   S a f a r i / 6 0 0 . 1 . 4 ’ ;   } ) ; < / s c r i p t > 该 组 织 在 本 次 勒 索 行 动 中 购 买 了 大 量 域 名 来 吸 引 用 户 点 进 他 们 设 好 陷 阱 的 网 站 ， 以 收 取 更 多 赎 金 。 L o o k o u t 研 究 员 还 在 下 列 U R L 中 发 现 相 同 的 恶 意 J a v a S c r i p t 代 码 h x x p : / / x - i o s - v a l i d a t i o n [ . ] c o m / u s [ . ] h t m l h x x p : / / x - i o s - v a l i d a t i o n [ . ] c o m / i e [ . ] h t m l h x x p : / / x - i o s - v a l i d a t i o n [ . ] c o m / g b [ . ] h t m l h x x p : / / x - i o s - v a l i d a t i o n [ . ] c o m / a u [ . ] h t m l h x x p : / / x - i o s - v a l i d a t i o n [ . ] c o m / n z [ . ] h t m l 每 个 网 站 的 勒 索 信 息 都 不 同 ， 且 针 对 的 对 象 包 括 全 球 不 同 地 区 ， 每 个 网 站 各 关 联 一 个 联 系 邮 箱 。 可 以 看 出 这 是 一 起 针 对 全 球 范 围 的 钓 鱼 活 动 。 各 p a y l o a d 对 应 的 钓 鱼 域 名 和 邮 箱 地 址 ： U . S . :   u s . h t m l   n e t w o r k s a f e t y d e p t @ u s a [ . ] c o m I r e l a n d :   i e . h t m l   j u s t i c e d e p t @ i r e l a n d m a i l [ . ] c o m U K :   g b . h t m l   c y b e r c r i m e g o v @ e u r o p e [ . ] c o m A u s t r a l i a :   a u . h t m l   f e d e r a l j u s t i c e @ a u s t r a l i a m a i l [ . ] c o m N e w   Z e a l a n d :   n z . h t m l   c y b e r c r i m e g o v @ p o s t [ . ] c o m * 参 考 来 源 ： l o o k o u t ， F B 小 编 b i m e o v e r 编 译 ， 转 载 请 注 明 来 自 F r e e b u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理