搜索

[4095] 2017-07-27_新型Ursnif银行木马：添加鼠标移动反检测技术

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-16
2017-07-27_新型Ursnif银行木马：添加鼠标移动反检测技术 新 型 U r s n i f 银 行 木 马 ： 添 加 鼠 标 移 动 反 检 测 技 术 原 创   E 安 全 编 辑 部   E 安 全   2 0 1 7 - 0 7 - 2 7 E 安 全 7 月 2 7 日 讯   2 0 1 7 年 7 月 ， 安 全 研 究 人 员 发 现 新 型 U r s n i f 银 行 木 马 利 用 巧 妙 的 技 术 规 避 沙 盒 环 境 和 自 动 化 虚 拟 机 ， 并 根 据 鼠 标 移 动 检 测 真 实 用 户 是 否 在 与 计 算 机 交 互 。 它 的 总 体 思 路 是 检 测 鼠 标 光 标 的 位 置 是 否 会 移 动 ， 因 为 在 安 全 测 试 与 恶 意 软 件 分 析 环 境 中 ， 鼠 标 光 标 在 整 个 扫 描 和 分 析 过 程 中 会 停 留 在 同 一 位 置 。 U r s n i f 惯 用 技 巧 U r s n i f 银 行 木 马 已 经 成 为 新 恶 意 软 件 技 术 的 滋 生 土 壤 。 2 0 1 6 年 夏 天 ， U r s n i f 一 直 使 用 T o r 匿 名 网 络 隐 藏 命 令 与 控 制 服 务 器 （ C & C   S e r v e r ） 。 U r s n i f   在 此 期 间 还 测 试 并 部 署 了 其 它 创 新 反 检 测 和 虚 拟 机 规 避 技 术 。 以 下 是 U r s i f 去 年 部 署 的 技 巧 ： 检 查 文 件 名 检 查 文 件 名
提 交 用 于 分 析 的 文 件 通 常 被 重 命 名 为 它 们 的 M D 5 或 S H A 2 5 6 哈 希 值 ， 且 仅 使 用 十 六 进 制 字 符 — — 0 1 2 3 4 5 6 7 8 9 A B C D E F a b c d e f 。 如 果 U r s n i f 发 现 本 地 文 件 包 含 字 母 、 数 字 、 字 符 ， 例 如 t 、 R 或 # ， 它 便 知 道 自 己 在 普 通 P C 上 运 行 。 检 查 本 地 检 查 本 地 P C 的 图 形 界 面 应 用 程 序 的 图 形 界 面 应 用 程 序 虚 拟 机 运 行 少 量 进 程 ， 以 及 非 常 少 的 图 形 界 面 进 程 。 如 果 U r s n i f 样 本 发 现 进 程 数 少 于 5 0 个 ， 便 会 停 止 执 行 ， 并 思 考 自 己 是 否 在 虚 拟 机 内 。 检 查 用 户 的 检 查 用 户 的 I P 地 址 地 址 U r s n i f 会 获 取 计 算 机 的 I P 地 址 ， 并 将 其 与 安 全 公 司 或 数 据 中 心 （ 研 究 人 员 租 赁 虚 拟 机 的 地 方 ） 分 配 的 I P 地 址 列 表 对 照 。 检 查 最 近 打 开 的 文 件 检 查 最 近 打 开 的 文 件 U r s n i f 会 检 查 最 近 打 开 的 文 件 数 量 。 虚 拟 机 上 最 近 打 卡 的 文 件 数 量 通 常 很 少 ， 因 为 没 有 用 户 使 用 该 系 统 执 行 常 规 任 务 。 这 些 只 是 U r s n i f 去 年 部 署 的 其 中 一 些 技 巧 。 通 过 三 个 嵌 入 式 D L L 文 件 进 行 部 署 网 络 安 全 公 司 F o r c e p o i n t 分 析 了 U r s n i f 最 近 一 起 活 动 后 发 现 ， 新 版 U r s n i f 今 年 4 月 开 始 使 用 鼠 标 移 动 检 测 技 术 。 受 害 者 会 接 收 携 带 密 码 保 护 Z I P 文 件 的 垃 圾 电 子 邮 件 。 解 压 此 文 件 的 受 害 者 会 看 到 三 个 W o r d 文 档 。 W o r d 文 档 包 含 相 同 的 恶 意 宏 脚 本 。 攻 击 者 使 用 三 个 文 件 提 高 用 户 打 开 并 遭 遇 感 染 的 几 率 。 如 果 允 许 运 行 宏 ， W o r d 文 档 会 下 载 一 个 D L L 文 件 ， 该 文 件 会 解 压 成 另 一 个 D L L 文 件 ， 之 后 解 压 到 第 三 个 安 装 银 行 木 马 的 D L L 文 件 。 鼠 标 移 动 轨 迹 不 仅 可 以 用 来 检 测 是 否 存 在 真 实 操 作 用 户 或 虚 拟 机 ， 还 能 被 用 来 暴 力 破 解 第 二 个 D L L 文 件 中 的 加 密 密 钥 ， 并 用 来 获 取 第 三 个 D L L 文 件 。 总 之 ， U r s n i f 攻 击 者 惯 用 这 种 高 超   的 技 巧 。 U r s n i f   无 意 获 取 银 行 登 录 凭 证 无 意 获 取 银 行 登 录 凭 证 该 版 U r s n i f 最 不 寻 常 的 部 分 在 于 ， 它 重 点 提 取 M o z i l l a   T h u n d e r b i r d 电 子 邮 件 客 户 端 的 联 系 人 和 密 码 ， 而 非 专 注 于 窃 取 特 定 银 行 的 登 录 凭 证 。 F o r c e p o i n t 研 究 人 员 约 吉 高 表 示 ， 该 样 本 使 用 T h u n d e r b i r d 相 关 功 能 的 原 因 尚 不 清 楚 ， 这 可 能 是 U r s n i f 攻 击 者 首 次 尝 试 此 类 活 动 ， 这 可 能 意 味 着 U r s n i f 会 在 今 后 的 版 本 中 涉 及 更 多 电 子 邮 件 客 户 端 或 应 用 程 序 。 2 7 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 7 月 月   0 1 T r i c k B o t 银 行 木 马 再 度 来 袭   这 次 将 影 响 2 4 个 国 家 0 2 黑 客 利 用 木 马 盗 窃 日 本 多 家 银 行 超 过 2 5 8 0 万 美 元 ，   日 本 发 布 全 国 安 全 警 告 0 3 新 型 安 卓 木 马 伪 装 成 F l a s h 手 机 端   将 窃 取 用 户 银 行 帐 密
0 4 神 秘 木 马 F e l i s m u s 初 现 身   幕 后 黑 手 谜 云 重 重 0 5 2 0 1 7 年 最 牛 安 卓 木 马 S w i t c h e r 来 袭   伪 装 成 百 度 客 户 端 和 W I F I 万 能 钥 匙 0 6 新 型 木 马 “ O d i n a f f ” 与 C a r b a n a k 犯 罪 团 伙 有 关 0 7 新 型 M a c   O S   X 木 马 “ K o m p l e x ” 专 攻 航 天 航 空 工 业   或 与 A P T 组 织 “ S o f a c y ” 有 关 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理