搜索

[10500] 2016-09-13_跨平台后门Mokes现已加入OSX豪华午餐

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-09-13_跨平台后门Mokes现已加入OSX豪华午餐 跨 平 台 后 门 M o k e s 现 已 加 入 O S   X 豪 华 午 餐 A l p h a _ h 4 c k   F r e e B u f   2 0 1 6 - 0 9 - 1 3 近 期 ， 卡 巴 斯 基 实 验 室 的 安 全 研 究 人 员 发 现 了 一 种 恶 意 软 件 ， 这 种 恶 意 软 件 可 以 在 目 前 主 流 的 几 款 操 作 系 统 平 台 上 运 行 ， 近 期 ， 卡 巴 斯 基 实 验 室 的 安 全 研 究 人 员 发 现 了 一 种 恶 意 软 件 ， 这 种 恶 意 软 件 可 以 在 目 前 主 流 的 几 款 操 作 系 统 平 台 上 运 行 ， 包 括 包 括 W i n d o w s 、 、 L i n u x 和 和 M a c   O S X 。 。 根 据 报 道 ， 安 全 研 究 专 家 在 今 年 一 月 份 发 现 了 一 款 针 对 计 算 机 操 作 系 统 的 跨 平 台 木 马 后 门 。 当 时 ， 安 全 研 究 人 员 仅 在 L i n u x 和 W i n d o w s 这 两 大 操 作 系 统 中 发 现 了 该 后 门 的 代 码 。 而 现 在 ， 研 究 人 员 又 在 O S X 系 统 中 检 测 到 了 这 一 后 门 变 种 （ M o k e s . A ） 。 据 分 析 ， 这 一 后 门 采 用 了 C + + 编 程 语 言 进 行 开 发 ， 并 且 还 使 用 到 了 Q t 框 架 （ 一 款 跨 平 台 应 用 程 序 框 架 ） 。 跨 平 台 的 恶 意 软 件 正 在 兴 起 跨 平 台 的 恶 意 软 件 正 在 兴 起 在 此 之 前 ， 攻 击 者 只 会 将 他 们 的 注 意 力 放 在 W i n d o w s 操 作 系 统 上 ， 他 们 更 愿 意 花 时 间 去 开 发 针 对 W i n d o w s 平 台 的 恶 意 软 件 。 但 是 现 在 ， 网 络 攻 击 者 们 似 乎 已 经 开 始 开 发 跨 平 台 的 恶 意 软 件 了 ， 而 且 这 个 趋 势 的 增 长 势 头 有 点 猛 。 由 于 近 些 年 M a c   O S   X 和 其 他 类 型 的 桌 面 操 作 系 统 不 断 兴 起 ， 攻 击 者 也 毫 无 疑 问 地 会 跟 上 这 个 发 展 潮 流 ， 所 以 跨 平 台 恶 意 软 件 的 出 现 也 并 没 有 出 乎 我 们 的 意 料 。 跨 平 台 的 恶 意 软 件 需 要 通 过 特 殊 的 有 效 载 荷 （ p a y l o a d ） 和 功 能 组 件 来 进 行 加 载 ， 而 这 些 特 殊 的 p a y l o a d 和 组 件 正 是 它 们 能 够 跨 平 台 运 行 的 基 本 条 件 。 针 对 针 对 M a c   O S   X 的 的 M o k e s 后 门 后 门
在 今 年 一 月 份 ， 卡 巴 斯 基 实 验 室 的 安 全 研 究 人 员 S t e f a n   O r t l o f f 首 次 在 L i n u x 和 W i n d o w s 这 两 个 操 作 系 统 中 发 现 了 这 种 跨 平 台 的 后 门 ， 并 将 该 后 门 取 名 为 “ M o k e s ” 。 而 在 不 久 之 前 ， 安 全 研 究 人 员 又 在 M a c O S   X 系 统 中 发 现 了 这 一 木 马 家 族 的 变 种 ， 即 M o k e s . a 。 与 W i n d o w s 和 L i n u x 平 台 上 的 M o k e s 后 门 类 似 ， 针 对 O S X 的 后 门 （ B a c k d o o r . O S X . M o k e s . a ） 能 够 利 用 受 感 染 设 备 的 摄 像 头 和 麦 克 风 来 记 录 视 频 和 音 频 数 据 ， 并 获 取 到 设 备 的 键 盘 记 录 ， 而 且 它 每 隔 三 十 秒 就 会 在 目 标 设 备 上 截 一 次 图 。 除 此 之 外 ， 这 一 后 门 还 可 以 监 控 类 似 U 盘 这 样 的 移 动 存 储 设 备 。 当 受 感 染 设 备 上 插 入 了 一 个 U 盘 之 后 ， 该 后 门 便 会 立 刻 获 取 U 盘 中 的 数 据 。 值 得 注 意 的 是 ， 它 还 可 以 扫 描 目 标 设 备 文 件 系 统 中 的 O f f i c e 文 档 ， 例 如 . d o c x 、 . d o c 、 . x l s x 、 以 及 . x l s 文 件 。 M o k e s . a 的 功 能 远 不 止 获 取 文 件 和 数 据 这 么 简 单 。 它 还 可 以 通 过 远 程 C & C 服 务 器 来 获 取 攻 击 者 的 操 作 指 令 ， 并 且 在 目 标 用 户 的 计 算 机 中 执 行 这 些 命 令 。 该 后 门 在 与 C & C 服 务 器 通 信 时 ， 会 建 立 一 个 经 过 A E S - 2 5 6 加 密 的 安 全 通 信 链 接 ， 而 这 一 加 密 算 法 被 认 为 是 目 前 一 种 非 常 安 全 的 加 密 算 法 。 O r t l o f f 在 对 M o k e s . a 样 本 进 行 分 析 时 发 现 ， 当 该 后 门 被 执 行 之 后 ， 它 可 以 进 行 自 我 复 制 ， 并 将 自 己 复 制 到 文 件 系 统 中 各 个 不 同 的 地 方 ， 例 如 S k y p e 、 D r o p b o x 、 G o o g l e 、 以 及 F i r e f o x 等 程 序 的 C a c h e 文 件 中 。 深 入 分 析 深 入 分 析 B a c k d o o r . O S X . M o k e s . a 当 我 们 拿 到 该 后 门 的 检 测 样 本 时 ， 其 文 件 名 为 “ u n p a c k e d ” 。 运 行 运 行 当 我 们 首 次 运 行 M o k e s . a 时 ， 这 款 恶 意 软 件 会 按 照 下 列 目 录 顺 序 依 次 将 自 己 拷 贝 到 这 些 目 录 中 ：
自 我 复 制 完 成 之 后 ， 它 会 在 这 些 目 录 下 分 别 创 建 一 个 p l i s t 文 件 ， 并 以 此 来 实 现 其 在 目 标 系 统 中 的 持 久 化 ： 一 切 设 置 妥 当 后 ， 它 便 会 使 用 T C P 协 议 和 8 0 端 口 来 与 远 程 C & C 服 务 器 建 立 首 次 通 信 链 接 （ H T T P ） ： U s e r - A g e n t 中 的 内 容 已 经 提 前 硬 编 码 至 后 门 代 码 中 了 ， 服 务 器 会 以 长 度 为 2 0 8 字 节 的 “ t e x t / h t m l ” 内 容 来 响 应 后 门 的 网 络 请 求 。 接 下 来 ， 恶 意 代 码 会 通 过 T C P 的 4 4 3 端 口 来 与 服 务 器 建 立 加 密 链 接 ， 加 密 过 程 使 用 的 是 A E S - 2 5 6 - C B C 加 密 算 法 。 M o k e s . a 的 功 能 的 功 能 上 述 操 作 完 成 之 后 ， 该 后 门 便 会 开 始 配 置 其 功 能 ： $ H O M E / L i b r a r y / A p p S t o r e / s t o r e u s e r d $ H O M E / L i b r a r y / c o m . a p p l e . s p o t l i g h t / S p o t l i g h t H e l p e r $ H O M E / L i b r a r y / D o c k / c o m . a p p l e . d o c k . c a c h e $ H O M E / L i b r a r y / S k y p e / S k y p e H e l p e r $ H O M E / L i b r a r y / D r o p b o x / D r o p b o x C a c h e $ H O M E / L i b r a r y / G o o g l e / C h r o m e / n a c l d $ H O M E / L i b r a r y / F i r e f o x / P r o f i l e s / p r o f i l e d
1 . 记 录 音 频 数 据 ： 记 录 音 频 数 据 ： 2 . 监 控 移 动 存 储 设 备 ： 监 控 移 动 存 储 设 备 ： 3 . 截 取 屏 幕 图 片 ： 截 取 屏 幕 图 片 ： 4 . 扫 描 文 件 系 统 中 的 扫 描 文 件 系 统 中 的 O f f i c e 文 档 （ 文 档 （ x l s 、 、 x l s x 、 、 d o c 、 、 d o c x ） ： ） ：
除 此 之 外 ， 攻 击 者 还 可 以 通 过 C & C 服 务 器 来 对 后 门 的 文 件 过 滤 器 进 行 自 定 义 配 置 ， 这 样 不 仅 能 够 增 强 其 对 目 标 文 件 系 统 的 监 控 能 力 ， 而 且 还 可 以 更 方 便 地 在 目 标 系 统 中 执 行 任 意 代 码 。 该 恶 意 软 件 会 在 目 标 系 统 中 创 建 以 下 几 个 临 时 文 件 ， 如 果 C & C 服 务 器 无 法 响 应 的 话 ， 它 就 可 以 将 收 集 到 的 用 户 数 据 暂 时 保 存 到 这 些 文 件 中 。 如 果 目 标 系 统 中 没 有 定 义 环 境 变 量 $ T M P D I R 的 话 ， 该 恶 意 软 件 会 默 认 使 用 “ / t m p / ” 来 作 为 临 时 文 件 目 录 。 该 恶 意 软 件 的 作 者 还 留 下 了 一 些 极 具 参 考 价 值 的 信 息 ， 相 应 的 源 文 件 如 下 图 所 示 ： 入 侵 威 胁 指 标 入 侵 威 胁 指 标 ( I O C ) $ T M P D I R / s s 0 - D D M M y y - H H m m s s - n n n . s s t ( 屏 幕 截 图 ) $ T M P D I R / a a 0 - D D M M y y - H H m m s s - n n n . a a t ( 音 频 数 据 ) $ T M P D I R / k k 0 - D D M M y y - H H m m s s - n n n . k k t ( 键 盘 记 录 ) $ T M P D I R / d d 0 - D D M M y y - H H m m s s - n n n . d d t ( 其 他 数 据 ) D D M M y y =   日 期 :   0 7 0 9 1 6   =   2 0 1 6 - 0 9 - 0 7 H H m m s s =   时 间 :   1 5 4 4 1 1   =   1 5 : 4 4 : 1 1 n n n   =   毫 秒
后 门 名 称 ： 后 门 名 称 ： 后 门 后 门 h a s h ： ： 感 染 文 件 ： 感 染 文 件 ： 远 程 主 机 ： 远 程 主 机 ： U s e r - A g e n t : 总 结 总 结 目 前 ， 安 全 研 究 人 员 还 没 有 找 到 M o k e s 后 门 家 族 背 后 的 始 作 俑 者 到 底 是 谁 。 但 无 论 是 独 立 的 黑 客 组 织 也 好 ， 由 国 家 资 助 的 黑 客 组 织 也 罢 ， 就 目 前 可 获 取 到 的 信 息 来 看 ， 这 款 后 门 绝 对 是 一 种 非 常 复 杂 的 恶 意 软 件 。 *   参 考 来 源 ： t h e h a c k e r n e w s ， s e c u r e l i s t ， 本 文 由 A l p h a _ h 4 c k 编 译 ， 未 经 许 可 禁 止 转 载 B a c k d o o r . O S X . M o k e s . a 6 6 4 e 0 a 0 4 8 f 6 1 a 7 6 1 4 5 b 5 5 d 1 f 1 a 5 7 1 4 6 0 6 9 5 3 d 6 9 e d c c e c 5 2 2 8 0 1 7 e b 5 4 6 0 4 9 d c 8 c $ H O M E / L i b r a r y A p p S t o r e / s t o r e u s e r d $ H O M E / L i b r a r y / c o m . a p p l e . s p o t l i g h t / S p o t l i g h t H e l p e r $ H O M E / L i b r a r y / D o c k / c o m . a p p l e . d o c k . c a c h e $ H O M E / L i b r a r y / S k y p e / S k y p e H e l p e r $ H O M E / L i b r a r y / D r o p b o x / D r o p b o x C a c h e $ H O M E / L i b r a r y / G o o g l e / C h r o m e / n a c l d $ H O M E / L i b r a r y / F i r e f o x / P r o f i l e s / p r o f i l e d $ H O M E / L i b r a r y / L a u n c h A g e n t s / $ f i l e n a m e . p l i s t $ T M P D I R / s s * - $ d a t e - $ t i m e - $ m s . s s t $ T M P D I R / a a * - $ d a t e - $ t i m e - $ m s . a a t $ T M P D I R / k k * - $ d a t e - $ t i m e - $ m s . k k t $ T M P D I R / d d * - $ d a t e - $ t i m e - $ m s . d d t 1 5 8 . 6 9 . 2 4 1 [ . ] 1 4 1 j i k e n i c k 1 2 a n d 6 7 [ . ] c o m c a m e f o r c a m e a n d 3 3 2 1 2 [ . ] c o m M o z i l l a / 5 . 0 ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 9 _ 3 )   A p p l e W e b K i t / 5 3 7 . 7 5 . 1 4   ( K H T M L ,   l i k e   G e c k o ) V e r s i o n / 7 . 0 . 3   S a f a r i / 7 0 4 6 A 1 9 4 A
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理