搜索

[12017] 2017-11-17_IBMX-Force发现新型银行木马IcedID

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-11-17_IBMX-Force发现新型银行木马IcedID I B M   X - F o r c e 发 现 新 型 银 行 木 马 I c e d I D 米 雪 儿   F r e e B u f   2 0 1 7 - 1 1 - 1 7 近 日 ， 近 日 ， I B M   X - F o r c e 研 究 团 队 在 一 项 针 对 最 近 一 系 列 攻 击 美 国 金 融 机 构 的 案 例 中 发 现 了 一 款 新 型 银 行 木 马 ， 并 研 究 团 队 在 一 项 针 对 最 近 一 系 列 攻 击 美 国 金 融 机 构 的 案 例 中 发 现 了 一 款 新 型 银 行 木 马 ， 并 将 其 命 名 为 将 其 命 名 为 “ I c e d I D ” ， 该 银 行 木 马 目 前 似 乎 还 正 处 于 开 发 的 初 始 阶 段 。 ， 该 银 行 木 马 目 前 似 乎 还 正 处 于 开 发 的 初 始 阶 段 。 关 于 关 于 I B M   X - F o r c e I B M   X - F o r c e 安 全 团 队 是 世 界 上 最 知 名 的 商 业 安 全 研 究 团 队 之 一 。 这 些 安 全 专 家 可 监 视 并 分 析 各 种 来 源 的 安 全 问 题 ， 提 供 威 胁 情 报 内 容 并 将 其 作 为   I B M   S e c u r i t y   产 品 服 务 组 合 的 基 础 。 此 外 ， I B M   X - F o r c e 还 可 以 生 成 多 项 思 想 领 先 的 安 全 研 究 资 产 ， 帮 助 客 户 、 研 究 人 员 和 公 众 更 深 入 地 了 解 最 新 的 安 全 风 险 ， 提 前 预 知 新 兴 威 胁 。 新 型 银 行 木 马 新 型 银 行 木 马 I c e d I D 据 悉 ， I c e d I D 银 行 木 马 最 早 是 由 I B M 的 X - F o r c e 研 究 小 组 的 研 究 人 员 在 今 年 9 月 份 发 现 的 。 研 究 人 员 表 示 ， 虽 然 这 款 木 马 目 前 看 起 来 还 处 于 开 发 的 初 级 阶 段 ， 但 它 已 经 展 示 了 很 多 先 进 的 功 能 ， 完 全 可 以 与 一 些 较 老 的 和 更 复 杂 的 银 行 木 马 相 媲 美 ， 例 如 其 在 网 络 上 传 播 ， 通 过 建 立 交 通 隧 道 的 本 地 代 理 监 控 浏 览 器 的 活 动 能 力 等 。 I c e d I D 同 时 具 备 重 定 向 攻 击 和 同 时 具 备 重 定 向 攻 击 和 W e b 注 入 攻 击 能 力 注 入 攻 击 能 力 研 究 人 员 表 示 ， 像 T r i c k B o t y 银 行 木 马   和   D r i d e x 银 行 木 马 类 似 ， I c e d I D 也 可 以 使 用 W e b 注 入 （ 注 入 浏 览 器 进 程 显 示 重 叠 在 原 页 面 上 的 虚 假 内 容 ） 和 重 定 向 攻 击 （ 安 装 本 地 代 理 将 用 户 重 定 向 到 恶 意 网 站 ） 技 术 来 执 行 窃 取 受 害 者 的 财 务 数 据 。 而 I c e d I D 的 重 定 向 方 案 并 不 是 简 单 地 将 受 害 用 户 切 换 到 另 一 个 不 同 的 U R L 网 站 上 ， 而 是 精 心 设 计 了 一 个 虚 假 的 银 行 站 点 展 现 给 受 害 者 ， 使 用 到 的 策 略 包 括 ： U R L 地 址 栏 中 显 示 合 法 银 行 的 U R L ， 以 及 银 行 正 确 的 S S L 证 书 ， 这 是 通 过 与 真 实 的 银 行 站 点 保 持 实 时 连 接 来 实 现 的 。 分 析 发 现 I c e d I D 的 重 定 向 方 案 是 通 过 配 置 文 件 来 实 现 的 。 恶 意 软 件 监 听 着 一 组 受 害 者 可 能 会 访 问 的 目 标 U R L 的 列 表 ， 一 旦 被 命 中 ， 就 会 执 行 一 个 指 定 的 W e b 注 入 ， 这 样 做 能 够 将 受 害 者 重 定 向 到 一 个 预 先 设 置 好 的 与 他 最 初 想 要 访 问 的 站 点 很 相 似 的 一 个 虚 假 的 银 行 网 站 。 受 害 者 在 这 个 虚 假 的 页 面 上 提 交 自 己 的 账 户 凭 据 ， 不 知 不 觉 中 将 自 己 的 敏 感 信 息 发 送 到 攻 击 者 控 制 的 服 务 器 上 。 从 这 一 点 上 可 以 看 出 ， 攻 击 者 很 好 的 利 用 了 社 会 工 程 学 的 手 段 ， 有 效 的 提 高 了 受 害 者 被 骗 的 概 率 。 而 在 过 去 ， 只 有 D r i d e x （ 最 先 进 的 银 行 木 马 之 一 ） 被 认 为 能 够 同 时 使 用 这 两 种 攻 击 方 式 。 当 然 ， 这 主 要 是 因 为 网 络 犯 罪 分 子 通 常 只 会 选 择 其 中 之 一 ， 并 专 注 于 完 善 他 们 的 技 术 。
此 外 ， 研 究 人 员 还 表 示 ， I c e d I D 具 备 从 一 个 端 点 移 动 到 另 一 个 端 点 的 能 力 ， 且 具 备 感 染 终 端 服 务 器 的 能 力 ， 被 感 染 的 终 端 服 务 器 通 常 为 设 备 终 端 、 打 印 机 和 共 享 的 网 络 设 备 提 供 终 端 服 务 ， 只 要 这 些 端 点 只 有 连 接 到 了 一 个 共 同 的 局 域 网 （ L A N ） 或 广 域 网 （ W A N ） ， 这 表 明 I c e d I D 有 能 力 从 目 标 员 工 的 电 子 邮 件 最 终 跨 越 到 组 织 的 终 端 设 备 。 I c e d I D 银 行 木 马 借 由 银 行 木 马 借 由 E m o t e t 银 行 木 马 进 行 传 播 银 行 木 马 进 行 传 播 此 外 ， 根 据 I B M   X - F o r c e 的 调 查 结 果 显 示 ， I c e d I D 背 后 的 犯 罪 组 织 正 在 通 过 E m o t e t （ 银 行 木 马 之 一 ） 使 用 的 僵 尸 网 络 基 础 设 施 在 已 经 被 感 染 的 计 算 机 上 传 播 I c e d I D 。 E m o t e t 本 身 主 要 通 过 垃 圾 文 件 （ 包 含 恶 意 的 宏 函 数 ） 进 行 传 播 ， 一 旦 E m o t e t 成 功 感 染 了 终 端 ， 它 会 保 持 沉 默 ， 并 为 其 他 犯 罪 集 团 的 操 控 的 恶 意 软 件 服 务 。 【 I c e d I D 活 动 中 感 染 和 通 信 基 础 设 施 示 意 图 】 据 本 周 恶 意 软 件 行 业 的 一 位 消 息 人 士 透 露 称 ， 在 过 去 的 一 年 里 ， E m o t e t 银 行 木 马 已 经 将 业 务 重 点 从 窃 取 受 害 者 财 务 信 息 转 向 了 恶 意 软 件 交 付 平 台 。 看 起 来 ， I c e d I D 似 乎 是 E m o t e t 的 最 新 客 户 之 一 ， 而 且 I c e d I D 木 马 开 发 团 队 也 正 在 使 用 E m o t e t 的 地 理 定 位 功 能 ， 仅 在 特 定 的 国 家 / 地 区 向 受 害 者 传 送 木 马 。 专 有 的 远 程 注 入 面 板 专 有 的 远 程 注 入 面 板 I c e d I D 的 运 营 商 有 一 个 专 用 的 、 基 于 W e b 的 远 程 面 板 ， 使 用 用 户 名 和 密 码 组 合 进 行 登 录 ， 用 于 协 调 管 理 W e b 注 入 攻 击 的 每 个 目 标 银 行 的 网 站 。 网 络 罪 犯 们 通 常 会 在 地 下 市 场 中 购 买 这 类 W e b 注 入 面 板 ，   而 I c e d I D 木 马 所 使 用 这 种 商 业 化 的 W e b 注 入 产 品 ， 可 能 是 从
别 处 购 买 到 的 ， 但 也 有 可 能 I c e d I D 本 身 就 是 一 款 商 业 化 的 恶 意 软 件 。 不 过 ， 截 至 目 前 为 止 ， 还 没 有 发 现 I c e d I D 在 地 下 或 暗 网 市 场 被 销 售 的 迹 象 。 I c e d I D 将 目 标 定 位 于 北 美 国 家 将 目 标 定 位 于 北 美 国 家 根 据 I c e d I D 样 本 中 发 现 的 配 置 文 件 类 型 结 果 显 示 ， 犯 罪 组 织 似 乎 将 其 目 标 定 位 为 位 于 美 国 、 加 拿 大 和 英 国 的 用 户 。 在 对 配 置 文 件 进 行 深 入 分 析 后 就 会 发 现 ， I c e d I D 可 以 针 对 银 行 、 支 付 卡 提 供 商 、 移 动 服 务 提 供 商 、 工 资 门 户 、 网 络 邮 件 客 户 端 和 电 子 商 务 网 站 发 起 攻 击 。 更 具 体 地 说 ， I c e d I D 的 重 定 向 攻 击 目 标 是 支 付 卡 和 网 络 邮 件 网 站 ， 而 W e b 注 入 攻 击 则 针 对 了 网 上 银 行 门 户 网 站 。 虽 然 ， I c e d I D 针 对 的 大 多 数 银 行 门 户 网 站 都 位 于 美 国 和 加 拿 大 ， 但 也 包 括 英 国 的 两 家 银 行 。 I c e d I D 具 有 粗 糙 的 反 虚 拟 机 功 能 具 有 粗 糙 的 反 虚 拟 机 功 能 对 I c e d I D 的 样 本 进 行 动 态 分 析 ， 发 现 该 恶 意 软 件 可 以 运 行 在 安 装 了 各 种 W i n d o w s 操 作 系 统 的 终 端 上 。 采 取 的 反 虚 拟 机 （ V M ） 或 反 取 证 分 析 技 术 包 括 ： 需 要 重 新 启 动 才 能 完 成 全 面 部 署 ， 这 样 做 可 能 是 为 了 逃 避 沙 箱 （ 无 法 仿 效 重 启 ） ； 通 过 安 全 套 接 字 层 （ S S L ） 进 行 通 信 ， 为 通 信 添 加 一 层 安 全 性 ， 并 绕 过 了 入 侵 检 测 系 统 的 自 动 扫 描 。 研 究 人 员 断 言 ， I c e d I D 早 就 具 备 了 反 取 证 的 功 能 。 只 是 目 前 还 不 清 楚 ， I c e d I D 木 马 是 最 终 的 成 品 还 是 处 于 初 期 阶 段 的 实 验 成 果 。 无 论 怎 样 ， 我 们 或 许 将 在 未 来 几 个 月 中 看 到 它 的 活 跃 “ 表 现 ” ， 以 及 它 的 创 造 者 是 否 能 在 恶 意 木 马 领 域 站 住 脚 跟 。 点 击 查 看 完 整 报 告 参 考 来 源 ： 参 考 来 源 ： * b l e e p i n g c o m p u t e r * * ， 米 雪 儿 编 译 ， 转 载 请 注 明 来 自 ， 米 雪 儿 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理