搜索

[10280] 2016-07-08_围观2016年最活跃的“顶级ExploitKit”

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2016-07-08_围观2016年最活跃的“顶级ExploitKit” 围 观 2 0 1 6 年 最 活 跃 的 “ 顶 级 E x p l o i t   K i t ” 米 雪 儿   F r e e B u f   2 0 1 6 - 0 7 - 0 8 E x p l o i t   K i t 作 为 传 播 犯 罪 软 件 的 作 为 传 播 犯 罪 软 件 的 重 要 工 具 ， 一 直 深 受 网 络 犯 罪 分 子 喜 爱 。 俗 话 说 知 己 知 彼 百 战 百 胜 ， 面 对 与 时 俱 进 ， 不 断 升 重 要 工 具 ， 一 直 深 受 网 络 犯 罪 分 子 喜 爱 。 俗 话 说 知 己 知 彼 百 战 百 胜 ， 面 对 与 时 俱 进 ， 不 断 升 级 更 新 的 级 更 新 的 E x p l o i t   K i t ， 我 们 必 须 要 完 全 的 了 解 和 分 析 他 们 ， 才 能 实 现 有 效 的 防 御 。 ， 我 们 必 须 要 完 全 的 了 解 和 分 析 他 们 ， 才 能 实 现 有 效 的 防 御 。 本 文 将 介 绍 当 下 最 活 跃 的 流 行 工 具 包 本 文 将 介 绍 当 下 最 活 跃 的 流 行 工 具 包 — — A n g l e r ， ， R I G 和 和 N e u t r i n o 。 。       什 么 是 什 么 是 E x p l o i t   K i t ？ ？ 预 打 包 了 安 装 程 序 、 控 制 面 板 、 恶 意 代 码 以 及 相 当 数 量 的 攻 击 工 具 、 通 常 基 于 P H P 的 一 个 软 件 。 E x p l o i t   K i t 经 济 体 制 经 济 体 制 价 格 在 成 百 上 千 美 元 ； 价 格 在 成 百 上 千 美 元 ； 可 以 按 日 可 以 按 日 / 周 周 / 月 来 付 租 金 ； 月 来 付 租 金 ； 提 供 可 以 躲 避 审 查 的 主 机 托 管 选 项 ； 提 供 可 以 躲 避 审 查 的 主 机 托 管 选 项 ； 甚 至 包 含 了 最 终 用 户 许 可 协 议 ； 甚 至 包 含 了 最 终 用 户 许 可 协 议 ； 可 以 在 不 同 可 以 在 不 同 k i t 之 间 择 优 选 择 ； 之 间 择 优 选 择 ； 提 供 日 常 升 级 服 务 ； 提 供 日 常 升 级 服 务 ； 2 0 1 6 年 最 活 跃 的 年 最 活 跃 的 E x p l o i t K i t 1 . A n g l e r E x p l o i t   K i t 关 于 关 于 A n g l e r A n g l e r   E x p l o i t   K i t （ E K ） 是 一 个 钓 鱼 攻 击 工 具 包 ， 出 现 于 2 0 1 3 年 ， 具 有 高 度 混 淆 性 、 侦 察 特 性 ( 其 包 含 了 尝 试 检 测 杀 毒 软 件 和 虚 拟 机 的 代 码 ) 、 反 侦 察 性 ( 其 对 网 络 传 输 的 P a y l o a d 进 行 加 密 以 绕 过 I D S / I P S 的 检 测 ， 使 用   “ F i l e l e s s   i n f e c t i o n s ” 等 技 术 躲 避 杀 毒 软 件 的 检 测 ) 。 同 时 其 对 最 新 漏 洞 的 利 用 代 码 更 新 迅 速 ， 甚 至 在 其 中 还 会 出 现 0 d a y 漏 洞 的 利 用 代 码 ， 被 一 些 安 全 研 究 人 员 视 为 目 前 世 界 上 最 先 进 的 E K 。 然 而 ， 据 威 胁 情 报 显 示 ： 自 6 月 第 二 周 起 ， 不 知 何 种 原 因 ， A n g l e r 忽 然 停 止 更 新 ， 销 声 匿 迹 。
活 跃 度 活 跃 度 A n g l e r 直 至 2 0 1 6 年 春 天 依 然 保 持 着 强 势 的 活 跃 度 ， 并 不 断 更 新 了 许 多 漏 洞 利 用 工 具 ( 含 0 d a y ) ， 以 及 一 项 名 为 “ 域 名 阴 影 ( D o m a i n   S h a d o w i n g ) ” 的 新 技 术 。   长 期 活 跃 的         E I T e s t   恶 意 软 件 家 族 自 2 0 1 4 年 起 呈 上 升 趋 势 ， D a r k l e e c h 恶 意 软 件 仍 然 保 持 活 跃 态 势 。   2 0 1 6 年 4 - 5 月   A n g l e r 攻 击 趋 势 图 如 图 所 示 ， 在 2 0 1 6 年 4 月 — 5   月 中 旬 期 间 ， 共 有 6 , 5 0 0 个 A n g l e r 会 话 被 阻 断 ， 活 跃 时 间 与 西 方 的 工 作 周 浏 览 点 击 量 相 符 ， 在 周 六 和 周 日 呈 明 显 降 低 趋 势 。 A n g l e r 攻 击 分 布 图 不 出 所 料 ， 大 部 分 的 A n g l e r 攻 击 出 现 在 美 国 ， 同 时 ， 西 欧 国 家 也 出 现 了 大 规 模 的 A n g l e r 攻 击 行 为 。 2 0 1 6 年 6 月 中 旬 开 始 ， A n g l e r 的 活 跃 程 度 骤 然 下 降 。 许 多 此 前 服 务 于 A n g l e r 的 E I T e s t   c a m p a i g n   g a t e s 现 在 只 为 N e u t r i n o 或 是 S u n d o w n   e x p l o i t   k i t 登 录 页 提 供 服 务 。 同 时 ， A n g l e r 的 消 失 也 让 C r y p t X X X 勒 索 软 件 （ T r o j a n . C r y p t o l o c k e r . A N ） 活 跃 性 大 减 ， 因 为 A n g l e r 原 本 一 直 是 C r y p X X X 输 出 的 主 要 途 经 。 2 0 1 6 年 6 月 中 旬 起 A n g l e r 活 跃 程 度 降 低 A n g l e r E x p l o i t   K i t 执 行 执 行
2 0 1 6 年 4 月 初 ， 研 究 人 员 发 现 了 一 个 A n g l e r 陷 阱 网 页 （ L a n d i n g   p a g e ） 新 变 体 ， 它 更 改 了 原 本 的 混 淆 技 术 来 逃 避 检 测 ， 增 加 分 析 难 度 。 4 月 和 5 月 发 现 的 A n g l e r 样 本 与 这 些 新 模 式 一 致 。 在 此 期 间 ， A n g l e r 域 名 阴 影 新 技 术 （ 犯 罪 分 子 更 新 了 一 些 合 法 域 名 的 D N S 记 录 ， 添 加 了 多 个 指 向 恶 意 E K 的 子 域 名 - 这 种 技 术 叫 做 域 名 阴 影 ） 通 过 两 个 不 同 的 J a v a S c r i p t 混 淆 技 术 用 于 服 务 两 个 单 独 的 登 录 网 页 。 同 一 个 A n g l e r 主 机 服 务 的 两 个 登 录 页       为 了 更 好 地 躲 避 入 侵 检 测 措 施 ， A n g l e r 的 攻 击 负 载 ( P a y l o a d ) 在 通 过 受 害 者 网 络 时 进 行 加 密 ， 并 在 最 后 阶 段 通 过 填 充 数 据 代 码 ( S h e l l c o d e ) 进 行 解 密 。 攻 击 负 载 即 B e d e p ， 它 本 身 并 不 是 恶 意 软 件 ， 但 却 可 用 于 下 载 其 他 恶 意 软 件 。 A n g l e r 主 要 利 用 F l a s h 和 S i l v e r l i g h t 中 的 漏 洞 。 四 月 份 收 集 的 样 本 中 包 含 使 用 C V E - 2 0 1 6 - 1 0 1 9 的 F l a s h 负 载 ， 该 漏 洞 主 要 影 响 2 1 . 0 . 0 . 1 8 2 之 前 版 本 ， 并 曾 大 规 模 攻 击 2 0 . 0 . 0 . 3 0 6 版 本 。 研 究 人 员 也 发 现 了 以 S i l v e r l i g h t   4 . 0 . 5 0 5 2 4 . 0 版 本 为 目 标 的 样 本 。 恶 意 软 件 传 播 恶 意 软 件 传 播 4 月 份 ， T e s l a C r y p t 仍 然 是 主 要 的 传 播 负 载 ， 但 是 到 5 月 中 旬 ， 新 型 的 A n g l e r 开 始 使 用 B e d e p 和 C r y p t X X X 代 替 T e s l a C r y p t 。 6 月 1 日 开 始 ， 全 球 最 大 的 恶 意 体 系 结 构 — — N e c u r s 僵 尸 网 络 似 乎 消 失 了 。 另 外 两 大 重 要 的 E x p l o i t   K i t 攻 击 工 具 包 ， A n g l e r 和 N u c l e a r 似 乎 也 都 消 失 了 。 A n g l e r 和 和 N u c l e a r 的 消 失 促 成 了 其 他 的 消 失 促 成 了 其 他 E x p l o i t   K i t 的 成 长 ， 主 要 是 的 成 长 ， 主 要 是 N e u t r i n o 和 和 R I G ： ： 2 .   R I G   E x p l o i t   K i t 关 于 关 于 R I G R I G 发 现 于 2 0 1 4 年 ， 主 要 以 J a v a ， F l a s h 和 S i l v e r l i g h t 漏 洞 为 目 标 。 2 0 1 5 年 初 ，   R I G 源 代 码 泄 露 事 件 将 其 带 入 安 全 人 员 的 视 野 。 泄 露 发 生 后 ， R I G 的 主 要 架 构 并 没 有 发 生 很 大 的 改 变 ， 现 在 它 仍 然 是 十 分 活 跃 的 漏 洞 利 用 工 具 。 活 跃 度 活 跃 度 R I G 的 登 录 页 和 负 载 下 载 使 用 相 同 的 U R I 机 制 。 研 究 人 员 发 现 4 月 和 5 月 的 大 部 分 样 本 都 使 用 了 “ t o p g u n n ” g a t e ， 其 仍 然 是 R I G   E K 的 主 要 感 染 源 。 6 月 初 ， R I G 的 登 录 页 域 名 开 始 采 取 新 的 形 式 ， 摆 脱 了 传 统 的 二 字 节 子 域 名 ， 并 使 用 动 态 D N S 提 供 商 。
新 的 R I G 登 录 页 域 名 和 动 态 D N S 另 外 ， 研 究 人 员 还 发 现 了 一 些 e x p l o i t   c y c l e 的 g a t e 重 定 向 流 的 变 化 。 被 感 染 的 网 站 首 先 会 被 重 定 向 到 一 个 . h t m l 文 档 ， 然 后 重 定 向 到 具 有 相 同 文 件 名 的 . p h t m l （ 一 种 不 常 见 的 P H P 文 件 格 式 ） 文 档 ， 最 后 才 会 跳 转 到 登 录 页 。
  4 月 到 5 月 R I G 感 染 情 况 如 图 所 见 ， R I G 感 染 事 件 在 4 月 底 明 显 减 少 ， 但 是 5 月 至 6 月 中 旬 又 呈 现 增 长 趋 势 。   R I G 热 点 分 布 图 如 图 所 示 ： 大 部 分 的 R I G 感 染 事 件 发 生 在 美 国 。 R I G   E x p l o i t   K i t 执 行 执 行 4 月 和 5 月 的 感 染 事 件 中 大 量 使 用 了 “ Q u a d   P o w e r ”   g a t e 。 该 “ Q u a d   P o w e r ”   g a t e 使 用 带 有 相 同 二 级 域 名 的 . w i n 、 . t o p 、   . p a r t y 和 . b i d   T L D s 为 登 录 页 提 供 服 务 。 R I G 感 染 的 网 站 I F r a m e 注 入 实 例
R I G 登 录 页 实 例 恶 意 软 件 传 播 恶 意 软 件 传 播 2 0 1 6 年 早 期 ， 安 全 人 员 就 发 现 R I G 将 T o f s e e 后 门 作 为 其 漏 洞 利 用 的 一 部 分 。 最 近 ， R I G 又 开 始 使 用 了 新 的 Z e u s 负 载 。 一 篇   恶 意 流 量 分 析 报 告 恶 意 流 量 分 析 报 告 中 对 一 些 使 用 T o f s e e 负 载 的 R I G 样 本 进 行 了 分 析 。 这 些 发 现 与 研 究 人 员 在 2 0 1 5 年 秋 季 监 测 到 的 恶 意 软 件 活 动 完 全 符 合 。 4 月 初 ， 研 究 人 员 发 现 了 针 对 “ W h o a d s ” 广 告 服 务 的 恶 意 感 染 事 件 。 该 过 程 导 致 R I G 登 陆 页 通 过 一 个 H T T P S 连 接 和 两 级 g a t e ， 最 后 下 载 Q b o t 恶 意 软 件 成 为 其 最 终 有 效 负 载 。 根 据 B A E   S y s t e m s   以 及   K a s p e r s k y   T h r e a t p o s t 的 报 道 显 示 ， 该 事 件 与 Q b o t 恶 意 软 件 的 活 跃 度 整 体 上 升 相 关 。 3 .   N e u t r i n o   E x p l o i t   K i t 关 于 关 于 N e u t r i n o N e u t r i n o 结 构 十 分 简 单 ， 并 且 不 像 其 他 漏 洞 利 用 工 具 一 样 具 备 强 大 的 混 淆 技 术 和 反 沙 箱 技 术 ， 但 这 并 不 妨 碍 它 依 然 备 受 青 睐 。 加 之 近 期 A n g l e r 忽 然 停 止 更 新 ， 销 声 匿 迹 ， 而 第 二 大 流 行 工 具 包 “ N u c l e a r ” 也 从 网 络 上 下 线 。 老 大 老 二 的 退 出 ， 让 老 三 成 功 上 位 。 现 在 “ N e u t r i n o ” 一 跃 成 为 漏 洞 利 用 工 具 包 的 老 大 ， 由 于 竞 争 对 手 的 死 亡 ， 其 售 价 竟 然 翻 了 一 番 。 活 跃 度 活 跃 度 N e u t r i n o 并 不 如 R I G 和 A n g l e r 活 跃 ， 但 是 2 0 1 5 年 秋 至 今 其 感 染 率 一 直 保 持 稳 定 。 几 乎 每 周 都 会 为 恶 意 感 染 和 入 侵 主 机 等 活 动 建 设 新 的 登 陆 页 ， 服 务 于 A n g l e r 的 E I T e s t   g a t e 现 在 也 开 始 为 N e u t r i n o 登 录 页 提 供 服 务 ， 尤 其 是 A n g l e r 感 染 率 下 降 后 ， E I T e s t   g a t e 开 始 长 期 服 务 于 N e u t r i n o 登 陆 页 。 研 究 人 员 发 现 ， 在 2 0 1 6 年 第 一 季 度 ， 绝 大 部 分 的 N e u t r i n o 感 染 事 件 的 登 录 页 使 用 了 . t o p   T L D 域 名 ， 并 且 主 要 以 A d o b e   F l a s h   P l a y e r 为 攻 击 目 标 。 研 究 人 员 还 发 现 N e u t r i n o 的 登 陆 页 可 以 加 载 多 种 恶 意 软 件 负 载 ， 包 括 T o f s e e 、 G a m a r u e / A n d r o m e d a 、 P a n d a   B a n k e r 以 及 各 种 勒 索 软 件 等 。
4 月 - 5 月 N e u t r i n o 感 染 情 况 N e u t r i n o 热 点 分 布 图 如 上 所 示 ： 大 部 分 N e u t r i n o 主 机 位 于 美 国 、 意 大 利 和 罗 马 尼 亚 。 N e u t r i n o E x p l o i t   K i t 执 行 执 行 被 感 染 网 站 上 的 N e u t r i n o   f o o t p r i n t 非 常 小 ， 通 常 只 是 在 主 页 面 开 始 处 的 一 个 I F r a m e 标 签 。 除 了 E I T e s t   g a t e ， N e u t r i n o 很 少 使 用 其 他 g a t e 。   网 站 I F r a m e 注 入 N e u t r i n o 的 登 陆 页 不 具 备 像 A n g l e r 以 及 其 他 先 进 e x p l o i t   k i t s 一 样 复 杂 的 J a v a S c r i p t 混 淆 技 术 。 2 0 1 6 年 第 一 季 度 ， 安 全 人 员 观 察 到 的 所 有 登 录 页 都 使 用 了 比 较 简 单 的 格 式 ， 和 加 载 S W F   e x p l o i t 的 F l a s h   P l a y e r 对 象 差 不 多 。
今 年 4 月 ， L u i s   R o c h a 发 表 了 一 份 “ S A N S 白 皮 书 白 皮 书   ” ， 其 中 包 含 对 N e u t r i n o 体 系 结 构 的 详 细 分 析 。   N e u t r i n o 登 录 页 研 究 人 员 在 4 月 和 5 月 恶 意 感 染 活 动 中 观 察 到 的 N e u t r i n o 页 面 构 造 也 是 非 常 简 单 的 ， 通 常 只 包 含 一 个 重 定 向 到 登 录 页 的 I F r a m e ， 有 时 会 包 含 一 个 加 载 真 实 广 告 内 容 的 二 层 I F r a m e 。 恶 意 软 件 传 播 恶 意 软 件 传 播 5 月 中 旬 ， 研 究 人 员 发 现 了 一 个 完 整 的 N e u t r i n o 利 用 过 程 ， 最 终 实 现 了 一 个 G a m a r u e 木 马 有 效 负 载 的 加 载 。 该 广 告 服 务 页 面 中 包 含 一 个 可 以 加 载 c a s i n o - t h e m e d 广 告 内 容 的 I F r a m e 标 签 ， 以 及 从 同 一 个 主 机 加 载 中 间 页 来 隐 藏 利 用 工 具 的 I F r a m e 标 签 ， 中 间 页 中 可 以 重 定 向 到 N e u t r i n o 登 录 页 。
  使 用 中 间 页 的 感 染 总 结 总 结 E x p l o i t   k i t s 对 用 户 进 行 网 页 浏 览 带 来 了 严 重 隐 患 。 以 勒 索 软 件 为 例 ， 感 染 的 结 果 可 能 是 使 用 户 无 法 访 问 文 件 。 这 些 E x p l o i t   k i t s 的 开 发 者 定 期 更 新 隐 藏 和 混 淆 行 技 术 ， 加 大 监 测 和 分 析 难 度 ， 而 安 全 人 员 则 竭 力 分 析 并 阻 止 不 断 出 现 的 新 威 胁 。 对 于 普 通 用 户 而 言 ， 应 该 禁 止 加 载 不 可 信 的 第 三 方 脚 本 和 资 源 ， 避 免 点 击 恶 意 广 告 ， 从 根 本 上 阻 断 这 些 E x p l o i t   k i t s 的 运 行 。   *   原 文 链 接 ： z s c a l e r ， F B 小 编 米 雪 儿 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理