搜索

[4253] 2017-09-01_如何利用U盘传送恶意软件实施无文件攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2017-09-01_如何利用U盘传送恶意软件实施无文件攻击 如 何 利 用 U 盘 传 送 恶 意 软 件 实 施 无 文 件 攻 击 原 创   E 小 编   E 安 全   2 0 1 7 - 0 9 - 0 1 E 安 全 9 月 1 日 讯   趋 势 科 技 8 月 初 分 析 了 无 文 件 后 门   J S _ P O W M E T ， 攻 击 分 子 使 用 J S _ P O W M E T . D E （ 滥 用 了 各 种 合 法 功 能 的 脚 本 ） 在 目 标 系 统 上 以 无 文 件 形 式 安 装 后 门 B K D R _ A N D R O M . E T I N 。 起 初 ， 趋 势 科 技 并 不 清 楚 威 胁 如 何 到 达 目 标 设 备 ， 研 究 人 员 当 时 猜 想 是 用 户 下 载 或 由 其 它 恶 意 软 件 丢 给 目 标 设 备 。 最 近 ， 趋 势 科 技 研 究 发 现 之 前 的 猜 想 是 错 误 的 ， J S _ P O W M E T 竟 然 是 通 过 U 盘 感 染 目 标 。 无 文 件 后 门 无 文 件 后 门   J S _ P O W M E T 技 术 细 节 技 术 细 节 U 盘 包 含 两 个 恶 意 文 件 （   趋 势 科 技 检 测 为 T R O J _ A N D R O M . S V N ） ， 如 下 ： a d d d d d d a d a d a a d d a a d d a a a a d a d d d d d a d d a d a a a a a d a d d a a . a d d d d d d a d a d a a d d a a d d a a a a d a d d d d d a d d a I n d e x e r V o l u m e G u i d U 盘 中 的 a u t o r u n . i n f   文 件 可 能 被 修 改 运 行 上 述 第 一 个 文 件 ， 该 文 件 能 解 密 第 二 个 文 件 的 内 容 ， 这 两 个 文 件 之 后 载 入 内 存 运 行 。 解 密 器 的 文 件 名 充 当 该 实 例 中 的 加 密 密 钥 ， 被 感 染 系 统 上 实 际 并 未 保 存 文 件 。 解 密 代 码 负 责 创 建 自 动 启 动 注 册 表 项 。 趋 势 科 技 指 出 ， 感 染 的 最 终 结 果 是 安 装 后 门 最 终 结 果 是 安 装 后 门 B K D R _ A N D R O M . E T I N 。 感 染 链
研 究 人 员 强 调 了 两 点 。 研 究 人 员 强 调 了 两 点 。 第 一 ， W i n d o w s 版 本 不 同 ， 过 程 会 有 差 异 ， W i n d o w s   1 0 的 过 程 相 对 简 单 ： 创 建 注 册 表 项 ， 下 载 并 在 被 感 染 系 统 上 执 行 后 门 。 然 而 W i n d o w s   1 0 之 前 的 W i n d o w s 版 本 会 多 一 个 步 骤 ： 第 二 个 后 门 （ 趋 势 科 技 检 测 为 B K D R _ A N D R O M . S M R A ） 会 丢 在   % A p p D a t a % 文 件 夹 中 ， 其 文 件 名 为 e e { 8   r a n d o m   c h a r a c t e r s } . e x e ， 同 时 还 会 在 用 户 启 动 文 件 夹 中 创 建 快 捷 方 式 ， 确 保 第 二 个 后 门 自 动 执 行 。 第 二 ， 创 建 的 注 册 表 项 中 包 含 的 U R L 不 同 ： 其 中 一 个 U R L 用 于 W i n d o w s   1 0 ， 而 另 一 个 用 于 W i n d o w s   1 0 之 前 的 版 本 。 虽 然 研 究 人 员 未 发 现 实 际 行 为 有 任 何 不 同 之 处 ， 但 攻 击 者 可 能 会 根 据 用 户 的 操 作 系 统 发 起 不 同 的 攻 击 。 目 前 尚 不 清 楚 第 二 个 后 门 安 装 相 对 简 单 的 原 因 ， 有 可 能 是 为 了 转 移 注 意 力 ， 因 为 相 比 第 一 个 无 文 件 后 门 ， 研 究 人 员 或 用 户 更 容 易 发 现 第 二 个 后 门 ， 然 而 移 除 第 二 个 后 门 可 能 会 让 第 一 个 更 隐 秘 的 无 文 件 威 胁 不 易 被 发 现 。 此 类 攻 击 相 关 的 S H A - 2 5 6 哈 希 如 下 ： 2 4 b c 3 0 5 9 6 1 c f 0 3 3 f 7 8 b c 1 a 1 6 2 c 4 1 a 7 c 1 a 5 3 8 3 6 a 6 c c b b 1 9 7 a 5 6 6 9 b 5 f 8 a 9 f 5 2 5 1 d 8 9 d d 7 1 6 9 2 b c e 3 b b 5 1 a 0 5 3 5 7 0 e b 8 7 f b 5 a 9 b 5 e 1 5 1 3 f c 1 7 4 1 f 5 1 b 7 8 5 e 1 1 3 7 b d 3 c d 1 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 4 8 5 5 7 6 0 6 . s h t m l 相 关 阅 读 ： 插 个 U 盘 就 能 黑 进 马 自 达 ？ 【 视 频 】 9 0 % 的 U S B 设 备 易 遭 “ 串 扰 泄 露 ” 攻 击 “ 夺 命 U 盘 ” U S B   K i l l   2 . 0 — 电 脑 硬 件 的 克 星 （ 含 视 频 演 示 ） 视 频 演 示 ： U S B 以 太 网 适 配 器 经 改 动 能 窃 取 W i n d o w s 和 M a c 系 统 凭 证 K e y S w e e p e r — — 伪 装 成 U S B 电 话 充 电 器 窃 取 无 线 数 据 俄 罗 斯 工 程 师 打 造 “ U S B   K i l l e r   2 . 0 ” ， 旨 在 进 行 数 据 保 护 中 国 公 民 赴 美 开 会 被 F B I 当 黑 客 逮 捕 ， 我 外 交 部 回 应 说 … …
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理