搜索

[11044] 2017-02-20_JavaScript的注入引出技术诈骗

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-02-20_JavaScript的注入引出技术诈骗 J a v a S c r i p t 的 注 入 引 出 技 术 诈 骗 z u s h e n g   F r e e B u f   2 0 1 7 - 0 2 - 2 0 0 × 0 1   前 言 前 言 在 最 近 的 恶 意 软 件 的 调 查 中 ， 我 们 发 现 了 一 些 有 趣 的 混 淆 在 最 近 的 恶 意 软 件 的 调 查 中 ， 我 们 发 现 了 一 些 有 趣 的 混 淆 J a v a S c r i p t 代 码 。 此 代 码 伪 装 成 现 在 流 行 的 插 件 代 码 。 此 代 码 伪 装 成 现 在 流 行 的 插 件 A d d T h i s   s o c i a l   s h a r i n g 的 一 部 分 ， 在 的 一 部 分 ， 在 U R L 命 名 约 定 和 图 像 文 件 中 使 用 它 。 命 名 约 定 和 图 像 文 件 中 使 用 它 。 恶 意 软 件 最 终 将 网 站 访 问 者 重 定 向 到 n o d e . a d d i t i o n s n p [ . ] t o p ， 这 个 网 站 存 在 着 可 能 对 访 问 者 造 成 威 胁 的 技 术 骗 局 。 这 种 恶 意 软 件 巧 妙 的 隐 藏 了 自 己 ， 网 络 管 理 员 很 难 能 识 别 它 。 0 × 0 2   混 淆 的 恶 意 图 像 文 件 混 淆 的 恶 意 图 像 文 件 恶 意 代 码 嵌 入 在 W o r d P r e s s 核 心 文 件 的 末 尾 w p - i n c l u d e s / j s / j q u e r y / u i / d a t e p i c k e r . m i n . j s 攻 击 者 使 用 o n b l u r 函 数 加 载 恶 意 内 容 ， 窗 口 失 去 焦 点 三 秒 后 ， 它 将 使 用 r e p l a c e 函 数 来 解 密 模 糊 的 p a y l o a d   U R L 。   这 是 通 过 在 字 符 串 中 随 机 位 置 添 加 0 到 5 的 数 字 来 编 码 的 ， 如 下 所 示 ： 在 从 字 符 串 中 删 除 0 - 5 之 间 的 所 有 数 字 后 ， 我 们 看 到 它 从 以 下 位 置 的 U R L 获 取 p a y l o a d ： 恶 意 软 件 还 会 在 字 符 串 前 添 加 h t t p 和 附 加 # a d . p n g ， 从 而 生 成 P N G 图 像 文 件 的 U R L 。 0 × 0 3   一 个 令 人 信 服 的 假 图 像 一 个 令 人 信 服 的 假 图 像 该 恶 意 软 件 很 狡 猾 ， 如 果 你 直 接 去 访 问 P N G 文 件 ， 会 返 回 一 个 4 0 4 页 面 。 这 很 可 能 是 攻 击 者 基 于 访 问 者 浏 览 器 的   u s e r - a g e n t 字 符 串 进 行 了 限 制 访 问 。 我 们 可 以 使 用 c u r l 工 具 去 伪 造 一 下 ， 欺 骗 它 正 常 的 进 行 工 作 。 我 能 够 访 问 假 的 P N G 文 件 。 它 甚 至 包 含 正 确 的 头 信 息 和 魔 术 字 节 ， 以 将 文 件 格 式 标 识 为 P N G 图 像 ： 2 2 c 1 n 4 d 4 1 . 3 s 2 7 - 4 4 a 2 d 1 1 d 1 t 0 h i 4 s 3 . 0 t 1 o 2 p 0 0 1 / / c n d . s 7 - a d d t h i s [ . ] t o p
该 文 件 还 包 含 一 些 二 进 制 代 码 ， 它 通 过 浏 览 器 渲 染 一 个 实 际 的 图 像 （ 它 看 起 来 像 一 个 真 正 的 A d d T h i s 图 标 ） 。   这 个 额 外 的 步 骤 使 得 它 更 难 被 网 站 所 有 者 识 别 为 恶 意 软 件 ： 隐 藏 在 图 像 文 件 中 的 恶 意 代 码 在 恶 意 软 件 业 务 中 并 不 是 什 么 新 东 西   –   我 们 已 经 看 到 了 这 些 年 来 不 同 的 技 术 。 在 P N G 文 件 的 E N D 部 分 之 后 添 加 的 恶 意 代 码 不 会 破 坏 图 像 。 图 像 文 件 内 容 ， 带 有 恶 意 有 效 载 荷 在 末 尾 ， 由 我 们 上 面 提 到 的 脚 本 解 析 和 执 行 ： 隐 藏 函 数 用 于 将 浏 览 器 重 定 向 到 U R L ： 0 × 0 4   重 定 向 到 技 术 诈 骗 重 定 向 到 技 术 诈 骗 此 页 面 检 查 访 问 者 的 I P 地 址 和 浏 览 器 ， 使 用 下 面 的 脚 本 将 不 符 合 的 访 问 者 返 回 到 上 一 页 面 ： 对 于 搜 索 引 擎 的 u s e r - a g e n t s （ 例 如 G o o g l e b o t ） ， 此 页 面 返 回 4 0 4   N o t   F o u n d 错 误 。 但 是 ， 如 果 访 问 者 在 启 用 J a v a S c r i p t 的 W i n d o w s 上 使 用 浏 览 器 ， 并 且 使 用 美 国 或 加 拿 大 I P ， 则 此 页 面 将 显 示 带 有 典 型 技 术 诈 骗 警 告 的 弹 出 窗 口 。 这 些 骗 子 试 图 说 服 受 害 者 ， 他 们 的 计 算 机 感 染 了 恶 意 软 件 ， 并 紧 急 发 布 一 些 免 费 的 “ 帮 助 台 ” 号 码 来 解 决 这 个 问 题 。 如 果 受 害 者 呼 叫 这 些 号 码 ， 骗 子 将 连 接 到 受 害 者 的 计 算 机 ， 然 后 自 愿 清 除 错 误 日 志 ， 并 删 除 不 存 在 的 恶 意 软 件   –   换 取 几 百 美 元 。 访 问 受 害 者 的 计 算 机 也 可 以 使 骗 子 安 装 一 些 额 外 的 间 谍 软 件 。   有 时 ， 骗 局 页 面 甚 至 可 能 会 请 求 您 的 W i n d o w s 用 户 名 和 密 码 （ a s   r e p o r t e d   i n   t h i s   M a l w a r e B y t e s   t h r e a d ） ， 这 可 能 有 助 于 感 染 受 害 者 的 计 算 机 。 0 × 0 5   S o u r c e   a n d   A d d i t i o n a l   D o m a i n s e v a l ( y . r e s p o n s e T e x t . s p l i t ( ' # # # ' ) [ 1 ] ) ; h x x p : / / n o d e . a d d i t i o n s n p [ . ] t o p / ? a f f = 8 0 0 7 0 0 1 w i n d o w . o n l o a d = h i s t o r y . b a c k ( ) ;
此 恶 意 软 件 广 告 使 用 位 于 伯 利 兹 的 I P 地 址 的 服 务 器 ， 特 别 是 在 俄 罗 斯 和 乌 克 兰 组 织 注 册 的 8 0 . 8 7 . 2 0 5 . 2 3 3 和 1 8 5 . 9 3 . 1 8 5 . 2 4 3 。 我 们 发 现 有 更 多 的 网 域 与 此 恶 意 软 件 广 告 系 列 相 关 联 ： 0 × 0 6   总 结 总 结 有 这 么 多 域 用 于 托 管 诈 骗 内 容 ， 这 似 乎 是 这 些 唯 利 可 图 黑 帽 子 的 附 属 公 司 。 这 个 恶 意 软 件 被 注 入 到 W o r d P r e s s 核 心 文 件 ， 与 其 他 代 码 混 合 ， 并 欺 骗 熟 悉 的 合 法 服 务 ， 以 隐 藏 其 轨 迹 ， 使 其 很 难 被 发 现 。 简 单 搜 索 你 的 网 站 文 件 和 数 据 库 去 发 现 恶 意 域 不 会 有 任 何 作 用 ， 因 为 这 可 以 很 容 易 混 淆 。 为 了 快 速 检 测 您 的 网 站 文 件 的 未 经 授 权 的 更 改 ， 您 可 以 设 置 一 个 监 控 服 务 ， 将 您 的 文 件 与 已 知 的 良 好 状 态 进 行 比 较 。 我 建 议 使 用 W o r d P r e s s 的 s u c u r i - s c a n n e r 插 件 ， 准 备 好 对 安 全 事 件 采 取 行 动 ， 可 以 让 您 在 访 问 者 受 到 这 些 欺 骗 行 为 伤 害 之 前 采 取 行 动 。 * 本 文 作 者 ： z u s h e n g ， 参 考 来 源 ： s u c u r i ， 转 载 请 注 明 来 自 F r e e b u f . C O M 阅 读 原 文 w i n e . i n d u s t r i a l z z . t o p o n e . i n d u s t r i a l z z . t o p w e b . m a c h i n e r y s c . t o p s u b . c o n t e n t e d y . t o p c h e c k - w o r k - 1 8 7 9 9 . t o p a s p . r e f r e s h m e n t n u . t o p g e t . r e s e m b l a n c e a o . b i d s i p . d i s c o v e r e d z p . b i d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理