搜索

[11560] 2017-07-18_跨平台恶意软件Adwind卷土重来，这一次倒霉的是航空航天领域

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-07-18_跨平台恶意软件Adwind卷土重来，这一次倒霉的是航空航天领域 跨 平 台 恶 意 软 件 A d w i n d 卷 土 重 来 ， 这 一 次 倒 霉 的 是 航 空 航 天 领 域 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 7 - 1 8 网 络 犯 罪 分 子 其 实 都 是 机 会 主 义 者 ， 随 着 各 类 操 作 系 统 的 应 用 范 围 越 来 越 广 泛 ， 他 们 也 在 不 断 地 丰 富 自 己 的 网 络 犯 罪 分 子 其 实 都 是 机 会 主 义 者 ， 随 着 各 类 操 作 系 统 的 应 用 范 围 越 来 越 广 泛 ， 他 们 也 在 不 断 地 丰 富 自 己 的 工 工 具 和 技 术 。 与 此 同 时 ， 为 了 尽 可 能 地 在 网 络 犯 罪 活 动 中 谋 取 更 多 的 经 济 利 益 ， 犯 罪 分 子 们 在 选 择 受 攻 击 目 标 时 具 和 技 术 。 与 此 同 时 ， 为 了 尽 可 能 地 在 网 络 犯 罪 活 动 中 谋 取 更 多 的 经 济 利 益 ， 犯 罪 分 子 们 在 选 择 受 攻 击 目 标 时 也 呈 现 出 一 种 多 样 化 的 趋 势 。 这 也 是 恶 意 软 件 的 价 值 主 张 ， 现 在 越 来 越 多 的 恶 意 软 件 已 经 实 现 了 跨 平 台 感 染 ， 也 呈 现 出 一 种 多 样 化 的 趋 势 。 这 也 是 恶 意 软 件 的 价 值 主 张 ， 现 在 越 来 越 多 的 恶 意 软 件 已 经 实 现 了 跨 平 台 感 染 ， 如 果 能 够 配 合 一 种 专 门 的 商 业 模 式 来 向 其 他 的 坏 人 兜 售 这 些 恶 意 软 件 的 话 ， 那 么 这 些 恶 意 软 件 的 影 响 范 围 还 会 如 果 能 够 配 合 一 种 专 门 的 商 业 模 式 来 向 其 他 的 坏 人 兜 售 这 些 恶 意 软 件 的 话 ， 那 么 这 些 恶 意 软 件 的 影 响 范 围 还 会 进 一 步 扩 大 。 进 一 步 扩 大 。 今 天 的 主 角 是 A d w i n d / j R A T ， 趋 势 科 技 将 其 标 识 为 J A V A _ A D W I N D 。 这 是 一 款 跨 平 台 的 远 程 访 问 木 马 （ R A T ） ， 它 可 以 感 染 任 何 安 装 了 J a v a 的 设 备 ， 包 括 W i n d o w s 、 m a c O S 、 L i n u x 和 A n d r o i d 平 台 。 近 期 ， 我 们 在 一 次 垃 圾 邮 件 活 动 中 再 一 次 检 测 到 了 A d w i n d 。 但 这 一 次 ， 它 主 要 针 对 的 是 航 空 航 天 工 业 领 域 的 企 业 ， 受 影 响 比 较 严 重 的 国 家 地 区 包 括 瑞 士 、 乌 克 兰 、 澳 大 利 亚 和 美 国 。 A d w i n d 异 常 活 跃 异 常 活 跃 从 今 年 年 初 开 始 ， A d w i n d 被 检 测 到 的 频 率 就 一 直 在 稳 步 增 长 ， 从 2 0 1 7 年 1 月 份 的 5 2 8 6 次 猛 增 到 了 6 月 份 的 1 1 7 6 4 9 次 ， 而 且 我 们 基 本 上 都 是 在 垃 圾 邮 件 活 动 中 检 测 到 的 J A V A _ A D W I N D 。 值 得 注 意 的 是 ， 2 0 1 7 年 5 月 到 6 月 之 间 ， J A V A _ A D W I N D 的 出 现 频 率 增 长 了 1 0 7 % ， 这 也 表 明 网 络 犯 罪 分 子 正 在 积 极 地 推 送 和 传 播 A d w i n d 。 研 究 人 员 表 示 ， A d w i n d / j R A T 可 以 窃 取 用 户 凭 证 、 收 集 和 记 录 键 盘 信 息 、 保 存 屏 幕 、 电 影 或 视 频 截 图 、 以 及 从 目 标 主 机 中 提 取 数 据 。 此 前 曾 有 攻 击 者 利 用 A d w i n d 的 变 种 版 本 攻 击 银 行 和 丹 麦 企 业 ， A d w i n d 甚 至 还 可 以 用 受 感 染 设 备 组 成 僵 尸 网 络 。 作 为 一 款 臭 名 昭 著 的 跨 平 台 R A T ， A d w i n d 还 有 很 多 其 他 的 “ 昵 称 ” ， 例 如 j R A T 、 U N R E C O M 、 A l i e n S p y 、 F r u t a s 和   J S o c k e t 等 等 。 在 2 0 1 4 年 ， 我 们 还 发 现 了 A n d r o i d 版 本 的 A d w i n d / j R A T ， 令 人 惊 讶 的 是 ， 这 个 A n d r o i d 版 本 的 A d w i n d 竟 然 具 备 了 挖 矿 的 能 力 （ 涉 及 区 块 链 和 加 密 货 币 ） 。 实 际 上 ， A d w i n d 是 作 为 一 种 服 务 来 进 行 出 售 的 ， 这 也 就 意 味 着 任 何 一 位 网 络 犯 罪 分 子 都 可 以 根 据 自 己 的 需 要 来 修 改 和 定 制 自 己 的 A d w i n d 版 本 。 下 图 显 示 的 是 研 究 人 员 在 2 0 1 7 年 1 月 至 6 月 期 间 检 测 到 J A V A _ A D W I N D 的 次 数 ：
下 图 为 A d w i n d 的 感 染 链 ： 垃 圾 邮 件 活 动 主 要 通 过 两 种 方 式 进 行 垃 圾 邮 件 活 动 主 要 通 过 两 种 方 式 进 行 我 们 所 观 察 到 的 垃 圾 邮 件 活 动 主 要 有 两 波 ， 而 且 都 可 以 作 为 社 会 工 程 学 的 典 型 应 用 案 例 。 我 们 在 2 0 1 7 年 6 月 7 日 观 察 到 了 第 一 波 感 染 ， 当 时 A d w i n d 使 用 了 不 同 的 U R L 地 址 来 向 目 标 用 户 传 播 由 . N E T 编 写 的 恶 意 软 件 ， 而 且 这 些 恶 意 软 件 还 具 备 间 谍 软 件 的 功 能 。 第 二 波 感 染 在 6 月 1 4 日 被 观 察 到 ， 当 时 A d w i n d 使 用 了 不 同 的 域 名 来 托 管 恶 意 软 件 和 C & C 服 务 器 。 这 两 波 感 染 使 用 的 都 是 相 似 的 社 会 工 程 学 技 巧 ， 即 欺 骗 用 户 去 点 击 恶 意 U R L 地 址 。 攻 击 者 会 假 冒 地 中 海 游 艇 委 员 会 （ M Y B A ） 来 向 目 标 用 户 发 送 垃 圾 邮 件 ， 垃 圾 邮 件 的 主 题 栏 中 写 的 是 “ C h a n g e s   i n 2 0 1 7   –   M Y B A   C h a r t e r   A g r e e m e n t ” ， 并 通 过 这 种 方 式 尝 试 给 潜 在 的 目 标 用 户 造 成 紧 迫 感 。 除 此 之 外 ， 攻 击 者 不 仅 使 用 的 是 伪 造 的 发 件 人 地 址 （ i n f o [ @ ] m y b a [ . ] n e t ） ， 而 且 还 会 在 邮 件 中 提 供 看 似 合 法 的 内 容 来 欺 骗 用 户 点 击 恶 意 U R L 链 接 。 下 图 为 发 送 至 C & C 服 务 器 的 消 息 截 图 ：
下 图 为 垃 圾 邮 件 截 图 ： 分 析 分 析 A d w i n d 的 攻 击 链 的 攻 击 链 恶 意 U R L 链 接 将 会 投 放 一 个 程 序 信 息 文 件 （ P I F ） ， P I F 中 包 含 关 于 W i n d o w s 如 何 运 行 M S - D O S 应 用 的 信 息 ， 并 且 可 以 像 普 通 可 执 行 程 序 （ E X E ） 一 样 直 接 运 行 。 这 个 文 件 采 用 . N E T 编 写 ， 其 功 能 相 当 于 一 个 下 载 器 。 在 成 功 修 改 了 系 统 证 书 之 后 ， 这 个 P I F 文 件 便 会 启 动 A d w i n d 的 感 染 链 。 我 们 跟 踪 的 U R L 指 向 的 是 一 个 恶 意 P I F 文 件 （ T R O J _ D L O A D R . A U S U D T ） , 其 中 包 含 各 种 与 网 络 钓 鱼 和 垃 圾 邮 件 相 关 的 H T M L 文 件 ， 而 这 些 H T M L 页 面 很 有 可 能 就 是 攻 击 者 用 来 欺 骗 目 标 用 户 点 击 恶 意 U R L 时 所 用 的 。
下 载 器 会 通 过 调 用 W i n d o w s   A P I 来 尝 试 修 改 系 统 证 书 ： 如 下 图 所 示 ， 恶 意 代 码 成 功 修 改 了 证 书 ： 系 统 证 书 被 恶 意 篡 改 之 后 ， 下 载 器 便 会 从 一 个 域 名 下 载 J a v a   E X E 、 动 态 链 接 库 D L L 和 7 - Z i p 安 装 程 序 ， 而 这 个 域 名 指 向 的 是 垃 圾 邮 件 操 作 者 所 使 用 的 文 件 共 享 平 台 ： 下 图 显 示 的 是 垃 圾 邮 件 操 作 者 所 使 用 的 文 件 托 管 服 务 器 域 名 ： h x x p s : / / n u p [ . ] p w / D J o j Q E [ . ] 7 z h x x p : / / n u p [ . ] p w / e 2 B X t K [ . ] e x e h x x p s : / / n u p [ . ] p w / 9 a H i C q [ . ] d l l
应 对 措 施 应 对 措 施 A d w i n d 是 一 款 基 于 J a v a 的 跨 平 台 恶 意 软 件 ， 所 以 网 关 、 终 端 节 点 、 网 络 、   服 务 器 和 移 动 设 备 都 有 可 能 受 其 影 响 。 广 大 I T / 系 统 管 理 员 、 信 息 安 全 专 家 和 开 发 者 / 程 序 员 在 使 用 J a v a 工 作 时 应 该 遵 守 最 佳 的 J a v a 安 全 实 践 ， 并 随 时 保 持 J a v a 版 本 为   最 新 版 。 在 A d w i n d 攻 击 链 中 ， 最 重 要 的 一 个 环 节 就 是 社 会 工 程 学 技 术 了 ， 这 也 表 明 我 们 现 在 急 需 对 企 业 员 工 进 行 网 络 安 全 意 识 教 育 ， 并 培 养 员 工 对 垃 圾 邮 件 的 敏 感 度 ： 当 你 打 开 一 份 电 子 邮 件 时 ， 你 在 进 行 任 何 点 击 操 作 之 前 一 定 要 三 思 而 后 行 。 A d w i n d 的 主 要 感 染 向 量 为 垃 圾 邮 件 ， 这 也 突 出 了 保 护 邮 件 网 关 安 全 的 重 要 性 。 电 子 邮 件 作 为 系 统 和 网 络 的 一 个 入 口 点 ， 广 大 管 理 员 应 该 部 署 垃 圾 邮 件 过 滤 器 、 安 全 策 略 和 电 子 邮 件 安 全 机 制 来 缓 解 这 种 基 于 电 子 邮 件 的 安 全 威 胁 。 除 此 之 外 ， 管 理 员 还 应 该 部 署 最 佳 实 践 方 案 来 防 止 类 似 A d w i n d 这 样 的 恶 意 软 件 从 你 的 网 络 （ 涉 及 B Y O D ） 中 窃 取 重 要 数 据 。 I o C 入 侵 检 测 指 标 入 侵 检 测 指 标 与 A d w i n d / j R A T 相 关 的 文 件 和 U R L ： h x x p : / / c c b - b a [ . ] a d v [ . ] b r / w p - a d m i n / n e t w o r k / o k / i n d e x [ . ] p h p h x x p : / / w w w [ . ] e m p l o y e r s f i n d e r [ . ] c o m / 2 0 1 7 - M Y B A - C h a r t e r [ . ] A g r e e m e n t [ . ] p i f h x x p s : / / n u p [ . ] p w / e 2 B X t K [ . ] e x e h x x p s : / / n u p [ . ] p w / Q c a q 5 e [ . ] j a r 相 关 哈 希 值 : 3 f c 8 2 6 c e 8 e b 9 e 6 9 b 3 c 3 8 4 b 8 4 3 5 1 b 7 a f 6 3 f 5 5 8 f 7 7 4 d c 5 4 7 f c c c 2 3 d 2 f 9 7 8 8 e b a b 4 ( T R O J _ D L O A D R . A U S U D T ) c 1 6 5 1 9 f 1 d e 6 4 c 6 7 6 8 c 6 9 8 d e 8 9 5 4 9 8 0 4 c 1 2 2 3 a d d d 8 8 9 6 4 c 5 7 e e 0 3 6 f 6 5 d 5 7 f d 3 9 b ( J A V A _ A D W I N D . J E J P C O ) 9 7 d 5 8 5 b 6 a f f 6 2 f b 4 e 4 3 e 7 e 6 a 5 f 8 1 6 d c d 7 a 1 4 b e 1 1 a 8 8 b 1 0 9 a 9 b a 9 e 8 c d 4 c 4 5 6 e b 9 ( J A V A _ A D W I N D . A U J C ) 7 0 5 3 2 5 9 2 2 c f f a c 1 b c a 8 b 1 8 5 4 9 1 3 1 7 6 f 8 b 2 d f 8 3 a 7 0 e 0 d f 0 c 8 d 6 8 3 e c 5 6 c 6 6 3 2 d d b ( B K D R 6 4 _ A G E N T . T Y U C T )
相 关 C & C 服 务 器 ： 1 7 4 [ . ] 1 2 7 [ . ] 9 9 [ . ] 2 3 4   P o r t   1 0 3 3 h x x p : / / v a c a n z a i m m o b i l i a r e [ . ] i t / t e s t l a / W e b P a n e l / p o s t [ . ] p h p *   参 考 来 源 ： t r e n d m i c r o ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理