搜索

[5211] 2018-06-12_警告！双向通信银行后门SocketPlayer可规避沙箱机制

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-16
2018-06-12_警告！双向通信银行后门SocketPlayer可规避沙箱机制 警 告 ！ 双 向 通 信 银 行 后 门 S o c k e t P l a y e r 可 规 避 沙 箱 机 制 原 创   E 安 全   E 安 全   2 0 1 8 - 0 6 - 1 2 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 6 月 1 2 日 讯   据 安 全 公 司   G   D a t a   近 期 一 份 报 告 称 ， 最 近 发 现 的 远 程 访 问 木 马   S o c k e t P l a y e r   正 在 使 用 一 个 专 门 的 程 序 库 s o c k e t . i o ， 操 作 者 可 以 此 与 被 感 染 的 设 备 进 行 交 互 ， 而 不 需 要 “ 信 标 ”   消 息 。 常 规 银 行 木 马 只 单 向 通 信 常 规 银 行 木 马 只 单 向 通 信 S o c k e t P l a y e r   后 门 与 大 多 数 使 用 典 型 单 向 通 信 系 统 的 银 行 木 马 、 后 门 及 键 盘 记 录 程 序 不 同 ， 它 通 过 使 用   s o c k e t . i o   库 ， 可 在 应 用 程 序 之 间 实 现 实 时 的 双 向 通 信 ， 根 据 这 个 特 性 ， 恶 意 软 件 处 理 程 序 不 再 需 要 等 待 被 感 染 的 设 备 启 动 通 信 ， 攻 击 者 可 以 自 行 联 系 被 感 染 的 计 算 机 。 据 称 ， 后 门   S o c k e t P l a y e r   一 旦 在 被 入 侵 的 机 器 上 安 装 成 功 ， 便 能 接 收 操 作 者 的 命 令 并 执 行 各 种 操 作 ， 如 嗅 探 驱 动 器 、 屏 幕 截 图 、 抓 取 和 运 行 代 码 等 。 研 究 人 员 还 发 现 ， S o c k e t P l a y e r   还 能 够 选 择 性 采 用 其 他 功 能 ， 例 如 ， 作 为 键 盘 记 录 器 ， 尽 管 在 后 门 中 没 有 实 际 的 键 盘 记 录 功 能 。 目 前 看 似 还 没 有 过 具 体 使 用 情 况 。 S o c k e t P l a y e r 感 染 路 径 感 染 路 径 后 门   S o c k e t P l a y e r   的 感 染 路 径 始 于   d o w n l o a d e r   的 沙 盒 系 统 检 测 ， 如 果 通 过 检 测 ， d o w n l o a d e r   会 下 载 一 个 可 执 行 文 件 并 进 行 解 密 ， 然 后 使 用   I n v o k e   方 法 在 内 存 中 运 行 该 解 密 程 序 。 被 调 用 的 程 序 会 为 宿 主 创 建 一 个 套 接 字 连 接 （ 宿 主 为 h t t p : / / 9 3 . 1 0 4 . 2 0 8 . 1 7 : 5 1 5 6 / s o c k e t . i o ） ， 同 时 还 要 创 建 一 个 可 实 现 持 久 化 的 注 册 表 键 。 接 下 来 检 查 是 否 存 在   P r o c e s s   H a n d l e r /   f o l d e r ， 如 果 没 有 ， 就 需 要 创 建 一 个 。 之 后 ， 还 需 创 建 一 个 值
为 “ H a n d l e r ” 的 自 动 启 动 键 。 此 外 ， S o c k e t P l a y e r   还 会 下 载 另 一 个 可 下 载   S o c k e t P l a y e r   的 可 执 行 文 件 ， 解 密 并 在 内 存 中 运 行 。 两 个 变 种 两 个 变 种 G   D a t a   的 安 全 研 究 员 在 研 究 过 程 中 发 现 了   S o c k e t P l a y e r   后 门 的 两 个 变 种 ： 第 一 个 变 种 是 一 个 大 约 1 0 0 k b 的 文 件 ， 用 以 充 当 可 从 网 站 上 执 行 任 意 代 码 的   d o w n l o a d e r ； 第 二 个 变 种 则 具 备 更 复 杂 的 功 能 ， 包 括 检 测 和 规 避 沙 箱 机 制 。   据   G   D a t a   的 技 术 报 告 称 ， S o c k e t P l a y e r   的 第 一 个 变 种 的 第 一 个 样 本 已 于 3 月 2 8 日 首 次 提 交 给   V i r u s T o t a l （ 免 费 的 可 疑 文 件 分 析 服 务 网 站 ） ， 并 在 3 月 3 1 日 提 交 了 该 变 种 的 第 二 个 样 本 。 此 外 ， S o c k e t P l a y e r   的 第 二 个 变 种 也 存 在 两 个 版 本 。 安 全 研 究 人 员 注 意 到 ， S o c k e t P l a y e r   的 两 个 变 种 之 间 经 历 了 一 系 列 的 变 化 ， 包 括 ： 命 令 和 控 制 （ C & C ） 端 口 文 件 位 置 初 始 流 程 所 发 送 的 信 息 在 服 务 器 中 新 添 加 了 命 令 在 恶 意 软 件 中 新 添 加 功 能 u p l d e x   的 存 储 位 置 等 恶 意 软 件 通 过 某 印 度 网 站 分 发 恶 意 软 件 通 过 某 印 度 网 站 分 发 报 告 显 示 ， 已 知 的 恶 意 软 件 样 本 通 过 一 个 印 度 网 站 进 行 分 发 ， 但 尚 不 清 楚 后 门 如 何 传 播 。 但 无 论 该 网 站 是 用 于 感 染 目 的 还 是 只 是 用 于 镜 像 ， 显 然 该 恶 意 软 件 在 很 长 一 段 时 间 内 都 未 被 注 意 到 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 3 3 4 8 4 8 1 8 3 . s h t m l 推 荐 阅 读 ： 恶 意 软 件 + 在 线 沙 箱 服 务 + 云 = 数 据 渗 漏 B l a c k T D S ： 新 型 恶 意 软 件 流 量 分 配 系 统 恶 意 软 件 在 A I 领 域 ， 攻 和 防 谁 更 厉 害 ？ A n y . R u n ： 免 费 的 交 互 式 恶 意 软 件 分 析 工 具
英 特 尔 芯 片 漏 洞 P o C 发 布 后 出 现 上 百 种 恶 意 软 件 P o S 终 端 恶 意 软 件 L o c k P o S 曝 新 技 术 ， 刷 卡 购 物 不 安 全 ？ “ 散 弹 式 ” 攻 击 ！ 俄 A P T 2 8 黑 客 组 织 破 天 荒 改 变 策 略 ？ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理