搜索

[10330] 2016-07-22_对一次网络钓鱼攻击的逆向分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-07-22_对一次网络钓鱼攻击的逆向分析 对 一 次 网 络 钓 鱼 攻 击 的 逆 向 分 析 c l o u d s   F r e e B u f   2 0 1 6 - 0 7 - 2 2 作 为 最 近 的 一 项 研 究 ， 我 们 首 先 发 现 了 两 个 钓 鱼 攻 击 域 名 ， 而 在 这 两 个 域 名 之 后 是 更 多 的 域 名 ， 这 些 域 名 已 经 成 功 地 攻 击 作 为 最 近 的 一 项 研 究 ， 我 们 首 先 发 现 了 两 个 钓 鱼 攻 击 域 名 ， 而 在 这 两 个 域 名 之 后 是 更 多 的 域 名 ， 这 些 域 名 已 经 成 功 地 攻 击 了 超 过 了 超 过 1 0 0 0 多 名 用 户 多 名 用 户 , 这 项 钓 鱼 攻 击 主 要 针 对 的 是 这 项 钓 鱼 攻 击 主 要 针 对 的 是 A O L 、 雅 虎 、 、 雅 虎 、 L i n k e d I n 等 网 站 的 用 户 。 等 网 站 的 用 户 。 1 、 钓 鱼 网 站 对 应 的 域 名 信 息 、 钓 鱼 网 站 对 应 的 域 名 信 息 我 们 碰 到 的 第 一 个 域 名 为 ： f 4 h k n 8 t y 1 j e t y 7 s y s f 4 h k n 8 t y . c o m ， 像 是 “ 猫 步 ” 域 名 — — 就 是 猫 随 意 地 再 键 盘 上 走 动 产 生 的 域 名 。
图 1   “ 猫 步 “ 域 名 的 由 来 然 而 这 个 域 名 是 用 来 对 A O L 用 户 进 行 网 络 钓 鱼 的 ： 图 2     A O L   钓 鱼 页 面 但 是 ， 有 趣 的 是 ， 攻 击 者 非 常 “ 善 良 ” ， 虽 然 显 示 了 钓 鱼 页 面 ， 但 却 没 禁 用 其 钓 鱼 网 站 的 目 录 列 表 ， 在 网 站 的 根 目 录 里 竟 然 保 存 着 受 害 者 的 明 文 凭 据 信 息 ： 图 3     钓 鱼 网 站 目 录 列 表
图 4     密 码 信 息 被 储 存 在 钓 鱼 网 站 站 点 目 录 列 表 的 o l e . t x t 文 件 中 在 v i r u s t o t a l 上 检 查 时 显 示 是 恶 意 站 点 ： 图 5     V i r u s t o t a l   u r l   扫 描 结 果 V i r u s t o t a l 上 更 多 的 信 息 显 示 ， 这 项 钓 鱼 活 动 最 早 于 2 0 1 6 年 4 月 9 日 ：
图 6     V i r u s t o t a l   里 显 示 的 更 多 域 名 信 息 另 一 个 有 趣 的 地 方 是 ， 我 们 注 意 到 该 域 名 通 过 M E L B O U R N E I T 公 司 注 册 给 了 “ S u z y   L e p r i n o ” ， 而 M E L B O U R N E   I T 是 一 个 雅 虎 域 名 注 册 合 作 商 。 还 有 一 点 让 我 们 疑 惑 的 是 ， 域 名 对 应 的 I P 在 曾 经 发 生 过 变 化 ， 更 准 确 地 说 ， 主 机 提 供 商 从 美 国 雅 虎 （ A a b a c o ） 变 成 了 荷 兰 的 E c a t e l 。 经 过 对 两 个 I P 历 史 的 长 期 跟 踪 ， 我 们 发 现 原 因 可 能 是 美 国 的 I P 已 经 被 标 记 在 许 多 黑 名 单 中 ， 攻 击 者 想 更 换 一 个 “ 干 净 ” 的 I P 。
图 7     域 名 对 应 的 新 I P ( 左 )         和   旧 I P ( 右 ) 经 过 进 一 步 的 调 查 我 们 又 发 现 了 另 一 个 有 着 相 似 特 点 的 域 名 ： n e x t b l u m . c o m   ， 像 上 面 的 “ 猫 步 ” 域 名 那 样 ， 其 对 应 的 是 一 个 A O L 钓 鱼 页 面 、 使 用 相 同 的 混 淆 技 术 、 在 域 名 网 站 根 目 录 文 件 “ O L E . t x t ” 中 保 存 明 文 凭 据 。 这 不 可 能 是 偶 然 的 ， 这 意 味 着 两 起 钓 鱼 攻 击 可 能 都 使 用 了 相 同 的 工 具 ， 甚 至 可 能 连 攻 击 者 都 一 样 ： 图 8     “ o l e . t x t ” 文 件 信 息 从 V i r u s T o t a l 的 信 息 里 面 表 明 n e x t b l u m . c o m 使 用 时 间 更 长 ， 所 以 如 果 两 个 域 名 与 同 一 攻 击 者 有 关 ， 那 么 这 项 攻 击 活 动 可 能 是 在 2 0 1 6 年 3 月 1 0 日 前 后 开 始 的 ：
图 9     n e x t b l u m . c o m 域 名 的 相 关 信 息 以 下 是 两 个 域 名 的 相 似 度 比 较 ： 图 1 0     “ 猫 步 ” 域 名 代 码
图 1 1     n e x t b l u m . c o m 域 名 代 码 唯 一 的 不 同 之 处 在 于 域 名 n e x t b l u m . c o m 上 架 设 的 钓 鱼 页 面 较 多 ， 包 括 ： Y a h o o 、 L i n k e d I n 、 O l d   D o m i n i o n   U n i v e r s i t y , 、 L e h i g h   U n i v e r s i t y 和 一 个 用 来 针 对 . e d u 邮 箱 进 行 钓 鱼 的 通 用 网 页 ： 图 1 2     n e x t b l u m . c o m 域 名 上 的 A O L 钓 鱼 页 面
图 1 3     n e x t b l u m . c o m 域 名 上 的 . e d u 钓 鱼 页 面 图 1 3   的 网 络 钓 鱼 网 页 是 一 个 电 子 邮 件 重 新 验 证 页 面 ， 这 类 型 的 诈 骗 网 页 存 在 多 年 ， 而 它 们 最 近 却 以 新 颖 时 尚 的 黑 色 视 图 卷 土 重 来 。 这 起 事 件 的 攻 击 者 还 曾 经 以 另 外 一 个 域 名 d a t a - r i c e . c o m ， 于 2 0 1 5 年 底 发 起 过 网 络 钓 鱼 攻 击 ， 后 文 将 会 提 及 。 图 1 4     d a t a - r i c e . c o m 域 名 上 的 邮 箱 重 新 认 证 钓 鱼 页 面 （ P h i s h t a n k 的 存 档 ）
图 1 5     n e x t b l u m . c o m 上 的 L i n k e d I n 钓 鱼 页 面 图 1 6     n e x t b l u m . c o m 上 的   O l d   D o m i n i o n   大 学 钓 鱼 页 面
图 1 7     n e x t b l u m . c o m 上 的 L e h i g h   U n i v e r s i t y 大 学 钓 鱼 页 面 2 、 网 络 钓 鱼 攻 击 使 用 的 技 术 、 网 络 钓 鱼 攻 击 使 用 的 技 术 在 这 些 域 名 背 后 ， 攻 击 者 使 用 了 B a s e 6 4 编 码 加 密 混 淆 大 部 分 网 页 ， 这 种 技 术 是 全 新 的 ： 我 们 发 现 这 种 技 术 被 用 于 网 络 钓 鱼 攻 击 的 最 早 参 考 案 例 是 2 0 1 2 年 1 0 月 ， 现 如 今 攻 击 者 将 它 与 其 它 技 术 结 合 了 起 来 ， 应 用 于 网 络 钓 鱼 攻 击 。 使 用 这 种 技 术 ， 可 以 让 攻 击 者 有 两 个 好 处 ： （ 1 ） 混 淆 H T M L 代 码 并 动 态 加 载 内 容 ， 所 以 它 可 能 会 绕 过 那 些 基 于 文 件 的 安 全 防 护 措 施 。 图 1 8     b a s e 6 4   e n c o d e d   数 据 （ 2 ） 另 一 个 好 处 是 ， 一 旦 加 载 钓 鱼 页 面 的 U R L ， 浏 览 器 地 址 栏 就 变 为 格 式 ： 如 果 用 f 4 h k n 8 t y 1 j e t y 7 s y s f 4 h k n 8 t y . c o m 这 样 的 域 名 来 代 替   a o l . c o m ， 可 能 会 引 起 用 户 警 觉 ， 但 如 果 U R L 显 示 都 像 “ d a t a : t e x t / h t m l ; b a s e 6 4 ″ 这 样 ， 可 能 许 多 用 户 由 于 不 了 解 U R L 结 构 而 错 被 它 迷 惑 ， 这 对 攻 击 者 来 说 自 然 就 是 个 不 错 的 选 择 了 。 “ d a t a : t e x t / h t m l ; b a s e 6 4 , < b a s e 6 4 _ b l o b _ o f _ t h e _ e n c o d e d _ h t m l _ f i l e > ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理