搜索

[9757] 2016-01-20_钓鱼攻击工具包AnglerExploitKit已感染超过9w网站

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2016-01-20_钓鱼攻击工具包AnglerExploitKit已感染超过9w网站 钓 鱼 攻 击 工 具 包 A n g l e r   E x p l o i t   K i t 已 感 染 超 过 9 w 网 站 v u l _ w i s h   F r e e B u f   2 0 1 6 - 0 1 - 2 0 近 期 ， 近 期 ， P a l o   A l t o   N e t w o r k s 的 分 析 报 告 显 示 ， 的 分 析 报 告 显 示 ， A n g l e r   E x p l o i t   K i t 的 持 续 感 染 已 经 导 致 超 过 的 持 续 感 染 已 经 导 致 超 过 9 0 0 0 0 个 网 站 被 攻 破 ， 且 大 多 数 个 网 站 被 攻 破 ， 且 大 多 数 网 站 在 网 站 在 A l e x a （ 网 站 的 世 界 排 名 ） 排 名 的 前 十 万 中 。 （ 网 站 的 世 界 排 名 ） 排 名 的 前 十 万 中 。 F r e e B u f 百 科 百 科 A n g l e r   E x p l o i t   K i t （ E K ） 是 一 个 钓 鱼 攻 击 工 具 包 ， 它 具 有 高 度 混 淆 性 、 侦 察 特 性 ( 其 包 含 了 尝 试 检 测 杀 毒 软 件 和 虚 拟 机 的 代 码 ) 、 反 侦 察 性 ( 其 对 网 络 传 输 的 P a y l o a d 进 行 加 密 以 绕 过 I D S / I P S 的 检 测 ， 使 用   “ F i l e l e s s   i n f e c t i o n s ” 等 技 术 躲 避 杀 毒 软 件 的 检 测 ) ， 同 时 其 对 最 新 漏 洞 的 利 用 代 码 更 新 迅 速 ， 甚 至 在 其 中 还 会 出 现 0 d a y 漏 洞 的 利 用 代 码 。 主 要 发 现 主 要 发 现 1 、 目 前 已 经 检 测 到 了 超 过 9 万 个 网 站 受 到 了 A n g l e r 工 具 的 影 响 。 其 中 包 含 大 量 热 门 网 站 。 我 们 根 据 T r a f f i c E s t i m a t e . c o m 的 统 计 信 息 对 其 中 3 0 个 网 站 的 月 访 问 量 进 行 了 估 算 ， 发 现 其 月 访 问 量 至 少 为 一 千 一 百 万 。 2 、 在 分 析 过 程 中 发 现 了 一 个 高 度 组 织 化 的 入 侵 操 作 ， 攻 击 者 会 定 期 更 新 被 入 侵 网 站 中 的 恶 意 信 息 。 这 也 就 意 味 着 ， 攻 击 者 能 够 对 入 侵 的 网 站 进 行 非 常 复 杂 并 且 持 久 的 命 令 控 制 。 3 、 在 恶 意 内 容 的 传 播 过 程 中 发 现 了 细 粒 度 （ 表 示 实 例 级 ， 即 需 要 考 虑 具 体 对 象 的 实 例 ） 权 限 控 制 。 这 也 就 意 味 着 ， 注 入 脚 本 可 以 隐 藏 数 日 之 久 ， 以 躲 避 安 全 软 件 的 检 测 ， 被 入 侵 的 网 站 也 只 能 对 特 定 I P 范 围 的 目 标 用 户 进 行 攻 击 ， 而 且 也 只 能 采 用 特 定 的 配 置 方 式 。 对 于 V i r u s T o t a l ( T V ) 这 类 扫 描 工 具 而 言 ， 会 大 大 降 低 其 检 测 率 。 在 我 们 首 次 发 现 这 些 结 果 的 数 周 之 后 ， 我 们 所 发 现 的 大 多 数 网 站 仍 然 没 有 被 V T 列 为 恶 意 网 站 。 4 、 扫 描 网 站 漏 洞 的 行 为 与 利 用 被 扫 描 网 站 作 为 E K 的 入 口 这 两 者 之 间 ， 存 在 着 某 种 潜 在 的 联 系 。 这 就 意 味 着 ， 这 种 E K 的 背 后 还 有 着 一 条 庞 大 的 黑 客 产 业 链 。 过 程 介 绍 和 影 响 过 程 介 绍 和 影 响 这 些 网 站 遭 到 入 侵 就 意 味 着 2 9 , 5 3 1 个 独 立 I P 受 到 影 响 ， 其 中 有 1 4 5 7 个 I P 地 址 分 别 对 应 着 超 过 1 0 个 被 入 侵 的 域 名 。 例 如 ， I P 地 址 为 1 8 4 . 1 6 8 . 4 7 . 2 2 5 的 服 务 器 托 管 了 4 2 2 个 被 感 染 的 网 站 。 如 下 图 ， 被 入 侵 的 网 站 大 多 数 都 在 美 国 境 内 ， 其 中 的 小 部 分 网 站 则 位 于 欧 洲 和 亚 洲 地 区 。 美 国 境 内 的 这 些 网 站 系 统 大 多 数 都 是 使 用 G o D a d d y 所 提 供 的 基 础 服 务 ， 当 然 还 有 部 分 网 站 使 用 了 其 他 的 一 些 服 务 提 供 商 的 服 务 。 图 1   入 侵 主 机 的 I S P 分 布
图 2   入 侵 主 机 I P 的 地 区 分 布 大 多 数 网 站 在 被 入 侵 的 过 程 中 都 没 有 被 V T 检 测 到 ， 安 全 专 家 使 用 V T 对 已 经 确 定 感 染 的 5 , 2 3 5 个 网 站 进 行 检 查 ， 结 果 只 发 现 2 2 6 个 网 站 是 受 影 响 的 。 结 果 表 明 ， V T 的 检 测 率 不 到 5 % 。   图 3   A n g l e r   E K 的 入 侵 拓 扑 图 当 受 害 者 访 问 被 入 侵 的 W o r d P r e s s / A p a c h e 主 机 列 表 时 ， 会 被 直 接 或 间 接 （ 借 助 于 被 称 为 “ E K 门 ” 的 中 间 层 ） 地 重 定 向 到 带 有 E K 的 恶 意 服 务 器 。 最 终 的 恶 意 负 载 有 很 多 种 ， 可 能 是 勒 索 软 件 （ 例 如 C r y p t o w a l l ） ， 也 可 能 是 连 接 C 2 服 务 器 的 恶 意 软 件 或 僵 尸 网 络 。 图 4   重 定 向 链 （ 红 色 部 分 为 同 域 ， 蓝 色 部 分 为 跨 域 ）
图 5   在 重 定 向 期 间 捕 获 的 F i d d l e r 数 据 包 下 图 六 显 示 的 是 使 用 F i d d l e r 获 取 感 染 数 据 的 过 程 。 在 这 一 操 作 中 ， 受 感 染 的 虚 拟 机 发 送 了 一 个 类 似 C 2 请 求 的 信 息 ， 并 且 接 收 到 了 一 个 很 长 的 ， 并 且 是 经 过 加 密 的 返 回 消 息 。 图 6   获 取 感 染 数 据 结 论 结 论 现 代 的 漏 洞 利 用 工 具 变 得 越 来 越 难 以 检 测 ， 因 为 这 些 E K 工 具 在 设 计 之 初 就 会 尝 试 避 开 安 全 研 究 人 员 的 检 测 。 此 外 ， A n g l e r E K 还 具 有 以 下 特 性 ： 1 、 它 使 用 J a v a S c r i p t 恶 意 代 码 家 族 以 及 i f r a m e 注 入 技 术 进 行 有 针 对 性 的 利 用 。 2 、 它 对 注 入 脚 本 进 行 不 断 升 级 和 进 化 ， 以 躲 避 安 全 人 员 检 测 。 3 、 攻 击 者 可 借 助 该 工 具 进 行 持 续 的 跟 踪 控 制 。 4 、 它 会 不 断 地 感 染 网 站 ， 每 天 增 加 的 被 入 侵 网 站 的 数 量 稳 定 增 加 。 另 外 也 发 现 了 此 类 工 具 的 限 制 ： 1 、 重 定 向 脚 本 不 断 变 化 ， 但 是 重 定 向 链 基 本 不 变 。 E K 感 染 的 固 定 模 式 是 针 对 由 W o r d P r e s s 驱 动 的 网 站 ， 并 下 载 f l a s h 文 件 。 2 、 攻 击 者 很 容 易 利 用 W o r d P r e s s 中 已 知 的 漏 洞 和 D N S 的 配 置 缺 陷 ， 但 是 ， 想 要 修 改 托 管 E K 工 具 的 服 务 器 相 对 而 言 就 比 较 困 难 ， 攻 击 者 无 法 在 被 感 染 的 机 器 中 配 置 真 实 的 E K 文 件 。 攻 击 者 借 助 这 些 现 代 漏 洞 利 用 工 具 实 施 攻 击 活 动 日 益 猖 獗 ， 安 全 研 究 人 员 应 持 续 关 注 此 类 事 件 ， 尽 快 部 署 解 决 方 案 ， 以 保 护 网 站 的 用 户 。 * 原 文 地 址 ： p a l o a l t o n e t w o r k s ， 原 作 者 ： Y u c h e n   Z h o u   a n d   W e i   X u ， F B 小 编 v u l _ w i s h 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理