搜索

[10184] 2016-06-10_一大波iCloud钓鱼网站来袭果粉们会分辨吗？

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2016-06-10_一大波iCloud钓鱼网站来袭果粉们会分辨吗？ 一 大 波 i C l o u d 钓 鱼 网 站 来 袭   果 粉 们 会 分 辨 吗 ？ 欧 阳 洋 葱   F r e e B u f   2 0 1 6 - 0 6 - 1 0 国 外 的 国 外 的 F i r e E y e 实 验 室 有 一 套 自 动 化 系 统 ， 这 套 系 统 能 够 主 动 侦 测 最 新 注 册 的 恶 意 域 名 。 所 谓 的 恶 意 域 名 ， 绝 大 部 分 都 是 伪 装 实 验 室 有 一 套 自 动 化 系 统 ， 这 套 系 统 能 够 主 动 侦 测 最 新 注 册 的 恶 意 域 名 。 所 谓 的 恶 意 域 名 ， 绝 大 部 分 都 是 伪 装 成 很 多 人 知 道 的 常 用 域 名 ， 以 此 来 达 到 成 很 多 人 知 道 的 常 用 域 名 ， 以 此 来 达 到 “ 恶 意 恶 意 ” 的 目 的 。 比 如 说 伪 装 成 苹 果 公 司 的 域 名 的 目 的 。 比 如 说 伪 装 成 苹 果 公 司 的 域 名 — — F i r e E y e 的 这 套 系 统 最 近 就 检 测 到 了 的 这 套 系 统 最 近 就 检 测 到 了 今 年 一 季 度 注 册 的 不 少 此 类 钓 鱼 域 名 。 今 年 一 季 度 注 册 的 不 少 此 类 钓 鱼 域 名 。 这 类 域 名 的 特 色 就 是 擅 长 伪 装 ， 跟 合 法 域 名 “ 长 得 ” 很 像 。 F i r e E y e 报 道 称 ， 这 些 “ 伪 苹 果 ” 域 名 针 对 的 主 要 是 中 国 和 英 国 的 苹 果 i C l o u d 用 户 。 虽 说 F i r e E y e 先 前 曾 经 追 踪 过 不 少 类 似 的 域 名 ， 但 这 次 的 情 况 比 较 独 特 ： 这 些 站 点 的 恶 意 钓 鱼 内 容 是 一 样 的 ， 而 且 手 段 比 较 复 杂 ， 甚 至 能 够 规 避 钓 鱼 检 测 系 统 。 众 所 周 知 ， 苹 果 用 户 都 有 个 A p p l e   I D 。 A p p l e   I D 可 以 说 是 苹 果 全 套 服 务 的 核 心 账 户 了 ， 贯 穿 于 i C l o u d 、 i T u n e s   S t o r e 、 A p p   S t o r e 等 等 服 务 。 其 中 i C l o u d 是 苹 果 的 云 服 务 ， 实 时 保 证 用 户 苹 果 设 备 上 的 文 档 、 照 片 、 联 系 人 等 资 料 同 步 ； 此 外 i C l o u d 也 提 供 与 朋 友 分 享 照 片 、 日 历 、 地 理 位 置 等 的 接 口 ； 它 也 能 用 来 找 回 丢 失 的 i O S 设 备 。 或 许 对 很 多 人 而 言 ， i C l o u d 更 重 要 的 作 用 是 i C l o u d   K e y c h a i n （ 密 钥 链 ） 功 能 。 这 项 功 能 用 于 存 储 用 户 的 密 码 、 信 用 卡 信 息 ， 这 样 一 来 用 户 在 i O S 和 M a c 设 备 上 操 作 时 ， i C l o u d 就 能 帮 助 用 户 自 动 填 写 这 些 信 息 了 。 有 了 A p p l e   I D 、 密 码 ， 还 有 其 他 一 些 信 息 （ 比 如 生 日 、 设 备 解 锁 码 ） ， 对 设 备 就 有 比 较 完 整 的 操 作 权 限 ， 甚 至 可 以 使 用 信 用 卡 信 息 在 A p p l e   S t o r e 购 物 。 而 下 面 这 些 针 对 苹 果 用 户 的 钓 鱼 攻 击 ， 就 是 高 度 组 织 化 ， 而 且 比 较 复 杂 的 钓 鱼 攻 击 ， 一 部 分 针 对 中 国 人 ， 一 部 分 针 对 英 国 而 下 面 这 些 针 对 苹 果 用 户 的 钓 鱼 攻 击 ， 就 是 高 度 组 织 化 ， 而 且 比 较 复 杂 的 钓 鱼 攻 击 ， 一 部 分 针 对 中 国 人 ， 一 部 分 针 对 英 国 人 。 人 。 针 对 中 国 苹 果 用 户 的 针 对 中 国 苹 果 用 户 的 Z y c o d e 钓 鱼 攻 击 钓 鱼 攻 击 下 面 这 张 列 表 就 是 F i r e E y e   L a b s 在 今 年 3 月 份 检 测 到 的 、 针 对 苹 果 用 户 的 钓 鱼 域 名 。 当 然 这 些 域 名 肯 定 都 不 是 苹 果 注 册 的 ， 自 然 也 不 会 指 向 苹 果 的 产 品 ：
显 然 ， 黑 客 是 想 模 仿 和 i T u n e s 、 i C l o u d 和 A p p l e   I D 相 关 的 网 站 ， 就 是 要 吸 引 用 户 输 入 他 们 的 A p p l e   I D 。 访 问 这 些 域 名 ， 绝 大 部 分 都 呈 现 A p p l e   I D 、 i T u n e s 和 i C l o u d 的 登 录 界 面 ； 网 页 还 部 署 了 非 常 复 杂 、 可 疑 的 J a v a S c r i p t 代 码 。 据 说 对 于 分 析 表 单 和 依 赖 H T M L 内 容 的 反 钓 鱼 系 统 而 言 ， 这 些 网 站 能 够 很 大 程 度 令 其 失 效 。 从 观 察 到 的 结 果 来 看 ， 这 些 域 名 明 显 都 是 在 中 国 注 册 的 ， 而 且 注 册 用 的 还 是 Q Q 邮 箱 。 钓 鱼 内 容 分 析 钓 鱼 内 容 分 析 通 常 我 们 通 过 简 单 查 看 H T M L 代 码 ， 大 致 就 能 明 了 钓 鱼 内 容 ， 理 论 上 这 些 代 码 应 该 是 一 部 分 图 片 用 来 模 仿 苹 果 品 牌 ， 另 外 还 有 一 些 收 集 用 户 凭 证 的 表 单 。 一 般 来 说 ， 如 果 是 这 样 的 话 ， 一 般 来 说 ， 如 果 是 这 样 的 话 ， 钓 鱼 检 测 系 统 就 能 够 在 钓 鱼 检 测 系 统 就 能 够 在 H T M L 页 面 内 容 中 发 现 问 题 ， 但 在 此 处 却 失 效 了 。 页 面 内 容 中 发 现 问 题 ， 但 在 此 处 却 失 效 了 。 初 看 起 来 ， 这 里 只 是 向 页 面 发 起 简 单 的 G E T 请 求 ， 响 应 内 容 却 是 编 码 过 的 J a v a S c r i p t 代 码 。 这 么 一 来 ， 除 非 是 在 浏 览 器 或 J S 模 拟 器 中 真 的 去 执 行 ， 否 则 还 真 是 看 不 出 其 真 实 意 图 。 下 面 就 是 从 代 码 中 获 取 到 的 编 码 字 符 串 的 一 部 分 。
编 码 后 的 字 符 串 S t r H T M L ， 需 要 通 过 一 系 列 复 杂 的 2 3 种 解 密 函 数 ， 包 括 数 制 转 换 （ n u m b e r   s y s t e m   c o n v e r s i o n s ） 、 伪 随 机 规 则 表 达 式 的 修 饰 符 （ p s e u d o - r a n d o m   p a t t e r n   m o d i f i e r s ） 等 ， 然 后 还 要 加 上 采 用 了 固 定 密 钥 “ z y c o d e ” 的 X O R 解 码 ， 最 后 才 得 到 了 真 正 的 H T M L 钓 鱼 内 容 （ 参 见 附 录 1 ） 。 所 以 说 ， 仅 依 赖 于 响 应 部 分 仅 依 赖 于 响 应 部 分 H T M L 的 钓 鱼 检 测 系 统 ， 在 此 显 然 是 根 本 没 法 发 挥 作 用 的 。 的 钓 鱼 检 测 系 统 ， 在 此 显 然 是 根 本 没 法 发 挥 作 用 的 。 一 旦 这 些 代 码 真 正 在 浏 览 器 中 加 载 ， 混 淆 后 的 J a v a S c r i p t 也 就 构 建 起 了 i C l o u d 钓 鱼 页 面 ， 如 上 图 所 示 。
这 就 是 还 原 混 淆 后 （ d e - o b f u s c a t e d ） 的 内 容 。 然 后 用 B u r p   S u i t e 工 具 来 观 察 ， 上 图 展 示 的 就 是 用 户 提 供 的 登 录 和 密 码 信 息 提 交 到 H T M L 表 单 。 此 处 能 够 看 到 ， 以 H T T P   P O S T 方 式 ， 5 个 变 量 （ u , p , x , y 和 c c ） 和 1 个 c o o k i e 被 发 往 s a v e . p h p 页 面 。
用 户 输 入 登 录 信 息 后 ， 页 面 会 被 重 定 向 到 上 面 显 示 的 “ 苹 果 ” 页 面 。 有 意 思 的 是 ， 这 个 页 面 的 所 有 链 接 倒 是 指 向 正 确 的 苹 果 官 网 域 名 的 ， 这 些 无 关 紧 要 。 该 页 面 还 仅 支 持 中 文 （ 贴 心 服 务 ） ， “ 验 证 您 的 出 生 日 期 或 设 备 屏 幕 锁 以 继 续 ” 。 若 进 入 下 一 步 ， 用 户 被 带 到 a s k 3 . a s p 页 面 。 这 个 页 面 会 询 问 你 更 多 账 户 细 节 。
再 下 一 步 ， 提 交 成 功 ！ 再 看 看 B u r p 会 话 。 除 此 以 外 ， 如 果 用 户 尝 试 再 度 提 交 相 同 的 A p p l e   I D ， 就 会 被 重 定 向 至 s a v e . a s p 页 面 。 该 页 面 会 告 诉 你 ， “ 您 的 A p p l e   I D 或 密 码 输 入 有 误 ， 请 重 新 输 入 ” ， 如 上 图 所 示 。 点 击 O K 又 会 回 到 主 页 。 域 名 注 册 信 息 域 名 注 册 信 息 从 F i r e E y e 提 供 的 数 据 来 看 ， 注 册 这 些 伪 苹 果 域 名 的 登 记 名 ， 集 中 在 “ Y u   H u ” “ W u   Y a n ” “ Y u   F e i ” 和 “ Y u   Z h e ” 之 上 ， 明 显 都 是 中 文 名 。 如 上 所 述 ， 注 册 所 用 的 邮 箱 ， 都 是 后 缀 为 注 册 所 用 的 邮 箱 ， 都 是 后 缀 为 q q . c o m 的 的 Q Q 邮 箱 邮 箱 ， 详 情 如 下 图 所 示 。
深 入 挖 掘 F i r e E y e 的 恶 意 域 名 检 测 系 统 ， 我 们 会 发 现 这 类 “ 伪 苹 果 ” 域 名 的 注 册 正 变 得 越 来 越 多 。 自 今 年 1 月 份 以 来 ， 这 套 恶 意 域 名 检 测 系 统 标 记 了 大 约 2 4 0 个 域 名 ， 都 是 相 关 A p p l e   I D 、 i C l o u d 或 i T u n e s 的 。 这 其 中 1 5 4 个 采 用 单 独 的 邮 箱 登 记 ， 6 4 个 邮 箱 都 是 q q . c o m 后 缀 ， 2 6 个
则 为 G m a i l 账 户 ， 另 有 1 8 个 指 向 1 6 3 . c o m 和 1 2 6 . c o m ， 还 有 一 些 是 1 3 9 . c o m 。 这 些 数 据 对 苹 果 自 己 的 身 份 凭 证 钓 鱼 检 测 团 队 而 言 是 很 有 意 义 的 ， 同 时 也 表 明 ， 果 然 Q Q 邮 箱 很 受 欢 迎 。 F i r e E y e 在 信 息 总 结 中 有 提 到 ， “ 这 些 攻 击 者 更 喜 欢 用 数 字 作 为 邮 箱 地 址 ， 而 非 名 字 ， 比 如 这 些 攻 击 者 更 喜 欢 用 数 字 作 为 邮 箱 地 址 ， 而 非 名 字 ， 比 如 5 4 5 4 5 4 @ q q . c o m 之 类 之 类 ” 。 显 然 F i r e E y e 是 不 知 道 ， Q Q 邮 箱 在 中 国 人 的 心 目 中 ， 有 着 怎 样 的 位 置 。 最 后 ， 如 上 图 所 示 ， 这 些 域 名 指 向 中 国 和 美 国 的 1 3 个 独 立 的 I P 地 址 ， 或 许 表 明 目 标 攻 击 群 体 也 在 这 些 地 方 。 英 国 的 苹 果 也 变 味 了 英 国 的 苹 果 也 变 味 了 不 仅 是 中 国 的 苹 果 用 户 ， 英 国 的 苹 果 用 户 也 成 为 钓 鱼 的 目 标 。 下 面 这 张 表 包 含 了 8 6 个 苹 果 钓 鱼 域 名 ， 也 是 F i r e E y e 自 今 年 1 月 份 以 来 收 集 到 的 （ 域 名 似 乎 不 及 中 国 人 注 册 的 高 级 啊 … ） 。
钓 鱼 内 容 分 析 钓 鱼 内 容 分 析 这 些 域 名 给 出 的 页 面 ， 也 都 是 相 同 的 钓 鱼 内 容 ： 向 域 名 主 页 发 起 简 单 的 H T T P   G E T （ 通 过 w g e t 工 具 ） ， H T M L 代 码 中 包 含 了 刷 新 标 记 （ m e t a - r e f r e s h ） 重 定 向 至 s i g n i n . p h p 页 面 。 下 面 展 示 的 是 w g e t 会 话 ： $   w g e t   h t t p : / / m a n a g e A p p l e i d 8 4 9 1 3 [ . ] n e t - - 2 0 1 6 - 0 4 - 0 5   1 6 : 4 7 : 4 4 - -     h t t p : / / m a n a g e A p p l e i d 8 4 9 1 3 [ . ] n e t / R e s o l v i n g   m a n a g e A p p l e i d 8 4 9 1 3 [ . ] n e t   ( m a n a g e A p p l e i d 8 4 9 1 3 [ . ] n e t ) . . .   1 0 9 . 1 2 3 . 1 2 1 . 1 0 C o n n e c t i n g   t o   m a n a g e A p p l e i d 8 4 9 1 3 [ . ] n e t   ( m a n a g e A p p l e i d 8 4 9 1 3 [ . ] n e t ) | 1 0 9 . 1 2 3 . 1 2 1 . 1 0 | : 8 0 . . .   c o n n e c t e d . H T T P   r e q u e s t   s e n t ,   a w a i t i n g   r e s p o n s e . . .   2 0 0   O K L e n g t h :   2 0 3   [ t e x t / h t m l ] S a v i n g   t o :   ‘ i n d e x . h t m l . 1 ’  
1 0 0 % [ = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = > ] 2 0 3                   - - . - K / s       i n   0 s               2 0 1 6 - 0 4 - 0 5   1 6 : 4 7 : 4 4   ( 3 7 . 8   M B / s )   -   ‘ i n d e x . h t m l . 1 ’   s a v e d   [ 2 0 3 / 2 0 3 ] 下 面 就 是 页 面 内 容 ： < m e t a   h t t p - e q u i v = " r e f r e s h "   c o n t e n t = " 0 ; U R L = s i g n i n . p h p ? c = O D c y N T A 5 M T J G U j U 0 O T Y w N T Q 5 N D c 3 M T k 3 N T A x O D E 2 O D Y z N D g x O D g 2 N z U 3 N A = = & l o g = 1 & s F R = O D I x N j M z M z M x O D A 0 N T E 4 M T M x N T Q 5 c 2 R m Z 3 M 1 Z j R z N j Q y M D Q z N j g z O D c y O T U 2 M j U 5 & e m a i l = "   / > 这 个 代 码 会 将 浏 览 器 重 定 向 至 如 下 的 页 面 ： 随 后 浏 览 器 会 加 载 高 度 混 淆 的 J a v a S c r i p t 代 码 ， 生 成 钓 鱼 H T M L 代 码 — — 和 上 面 中 国 人 做 的 那 些 钓 鱼 页 面 一 样 ， 这 些 页 面 也 具 备 躲 避 基 于 特 征 的 钓 鱼 检 测 系 统 的 能 力 （ 详 见 附 录 2 ） 。 这 些 代 码 在 浏 览 其 中 渲 染 出 如 上 图 所 示 的 A p p l e   I D 钓 鱼 页 面 ， 看 起 来 还 挺 像 真 的 （ 就 是 域 名 太 假 了 ） …
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理