搜索

[10573] 2016-10-07_玩出C&C服务器地址隐身的新花样，看看这个恶意软件怎么做的

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-18
2016-10-07_玩出C&C服务器地址隐身的新花样，看看这个恶意软件怎么做的 玩 出 C & C 服 务 器 地 址 隐 身 的 新 花 样 ， 看 看 这 个 恶 意 软 件 怎 么 做 的 d a w n e r   F r e e B u f   2 0 1 6 - 1 0 - 0 7 恶 意 软 件 作 者 们 一 直 在 凭 借 自 己 天 马 行 空 的 想 法 ， 艰 难 地 绕 过 安 全 研 究 人 员 的 追 踪 和 检 测 。 恶 意 软 件 作 者 们 一 直 在 凭 借 自 己 天 马 行 空 的 想 法 ， 艰 难 地 绕 过 安 全 研 究 人 员 的 追 踪 和 检 测 。 P a l o   A l t o   N e t w o r k 公 司 就 曾 在 两 个 独 立 无 关 的 网 络 间 谍 事 件 中 ， 检 测 到 这 样 的 后 门 木 马 样 本 。 研 究 人 员 表 示 ， 在 这 些 样 本 中 他 们 发 现 黑 客 使 用 了 一 种 有 意 思 的 新 方 法 ， 以 隐 藏 恶 意 软 件 的 C & C 服 务 器 地 址 。 C O N F U C I U S 恶 意 软 件 的 定 位 解 决 方 案 恶 意 软 件 的 定 位 解 决 方 案 一 些 低 端 的 恶 意 软 件 ， 可 能 会 在 源 代 码 里 将 C & C 服 务 器 的 I P 地 址 进 行 硬 编 码 。 高 级 点 的 则 会 使 用 动 态 域 名 生 成 算 法 （ D G A ） ， 来 隐 藏 C & C 服 务 器 的 真 实 I P 地 址 。 然 而 ， 我 们 这 次 要 讲 的 恶 意 软 件 叫 做 C O N F U C I U S （ 孔 夫 子 ） ， 它 就 没 有 使 用 以 上 这 两 种 方 法 。 研 究 人 员 表 示 ， 他 们 没 有 发 现 恶 意 软 件 源 代 码 里 存 在 异 常 的 域 名 / I P 地 址 ， 也 没 有 在 其 中 发 现 复 杂 的 动 态 域 名 生 成 算 法 。 然 而 ， 他 们 很 快 意 识 到 ， 恶 意 软 件 对 应 的 C & C 服 务 器 地 址 可 能 是 通 过 合 法 网 站 进 行 获 取 的 。 事 实 证 明 他 们 的 猜 测 是 对 的 ， 这 两 个 恶 意 软 件 会 向 知 名 的 网 站 发 起 查 询 ， 比 如 发 送 请 求 给 雅 虎 和 Q u o r a （ 某 著 名 问 答 社 区 ） 。 恶 意 软 件 玩 的 密 码 表 游 戏 恶 意 软 件 玩 的 密 码 表 游 戏 研 究 人 员 表 示 ， 这 两 个 恶 意 样 本 采 用 了 不 同 的 获 取 方 式 。 C O N F U C I U S _ A ， 也 就 是 第 一 个 样 本 ， 它 会 访 问 雅 虎 或 者 Q u o r a 特 定 的 某 些 页 面 ， 然 后 试 图 寻 找 两 个 特 定 标 记 / 关 键 词 之 间 的 内 容 ， 这 些 内 容 中 会 含 有 四 个 以 上 的 单 词 。 同 时 ， 研 究 人 员 似 乎 在 源 代 码 里 发 现 里 一 个 密 码 映 射 表 。 通 过 这 张 涵 盖 了 2 5 5 个 单 词 的 表 ， 如 果 让 它 们 与 1 - 2 5 5 的 数 字 对 应 的 话 ， 是 可 以 直 接 将 相 应 的 单 词 组 合 翻 译 为 I P V 4 地 址 的 。  
而 第 二 个 样 本 C O N F U C I U S _ B ， 则 使 用 了 一 个 相 似 的 策 略 。 它 们 会 尝 试 用 单 词 去 表 示 1 - 9 ， 比 如 “ l o v e ” 代 表 0 ， “ h a t e ” 代 表 9 等 等 ， 最 后
按 I P V 4 地 址 的 每 一 位 数 字 进 行 翻 译 。 网 络 间 谍 活 动 中 的 恶 意 软 件 网 络 间 谍 活 动 中 的 恶 意 软 件 P a l o   A l t o 的 研 究 人 员 表 示 ， 这 类 用 文 字 游 戏 去 拼 凑 I P 地 址 的 法 子 ， 很 可 能 是 同 一 个 或 者 同 一 批 恶 意 软 件 作 者 撰 写 的 后 门 。 C O N F U C I U S _ A 的 样 本 是 由 R a p i d 7 在 2 0 1 3 年 巴 基 斯 坦 官 员 被 攻 击 时 发 现 的 。 这 种 攻 击 手 法 被 称 为 S N E E P Y ， 或 者 B y e B y e S h e l l ， 被 攻 击 者 的 数 量 在 2 0 1 4 年 初 开 始 下 降 。 而 C O N F U C I U S _ B 样 本 则 是 与 O p e r a t i o n   P a t c h w o r k 和 T h e   H a n g o v e r   R e p o r t 有 关 ， 其 针 对 的 大 多 数 是 印 度 的 邻 国 。 研 究 这 些 网 络 间 谍 事 件 的 公 司 表 示 ， 这 些 攻 击 很 可 能 来 自 于 印 度 的 某 股 势 力 。   *   参 考 来 源 ： S F 和 P N ， F B 小 编 d a w n e r 编 译 , 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理