搜索

[12020] 2017-11-17_色情网站的光棍节“福利”：加密式挂马玩转流氓推广

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-11-17_色情网站的光棍节“福利”：加密式挂马玩转流氓推广 色 情 网 站 的 光 棍 节 “ 福 利 ” ： 加 密 式 挂 马 玩 转 流 氓 推 广 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 1 1 - 1 7 双 十 一 前 夜 ， 还 想 着 通 过 同 城 交 友 或 是 某 些 不 可 描 述 的 网 站 一 解 单 身 的 烦 恼 ？ 别 急 ， 不 妨 先 来 看 看 这 些 网 站 给 光 棍 发 的 “ 福 利 ” ！ 最 近 ， 最 近 ， 3 6 0 安 全 中 心 监 测 到 一 起 网 站 弹 窗 广 告 挂 马 事 件 ， 弹 出 的 网 络 广 告 出 现 挂 马 ， 广 告 内 容 以 同 城 交 友 等 伪 装 安 全 中 心 监 测 到 一 起 网 站 弹 窗 广 告 挂 马 事 件 ， 弹 出 的 网 络 广 告 出 现 挂 马 ， 广 告 内 容 以 同 城 交 友 等 伪 装 色 情 诱 惑 信 息 为 主 ， 通 过 对 整 个 挂 马 攻 击 的 过 程 分 析 发 现 该 挂 马 脚 本 以 及 攻 击 负 载 色 情 诱 惑 信 息 为 主 ， 通 过 对 整 个 挂 马 攻 击 的 过 程 分 析 发 现 该 挂 马 脚 本 以 及 攻 击 负 载 ( P a y l o a d )   在 通 过 中 招 者 网 络 在 通 过 中 招 者 网 络 时 进 行 加 密 ， 并 在 最 后 阶 段 通 过 进 行 解 密 执 行 。 攻 击 负 载 甚 至 还 利 用 时 进 行 加 密 ， 并 在 最 后 阶 段 通 过 进 行 解 密 执 行 。 攻 击 负 载 甚 至 还 利 用 r e g s r v 3 2   实 用 程 序 执 行 一 个 实 用 程 序 执 行 一 个 . s c t 文 件 来 绕 文 件 来 绕 过 过 A p p L o c k e r   的 脚 本 规 则 。 的 脚 本 规 则 。 下 面 就 对 该 挂 马 木 马 进 行 简 单 分 析 ： 下 面 就 对 该 挂 马 木 马 进 行 简 单 分 析 ： 通 过 监 控 追 踪 发 现 主 要 来 源 于 外 挂 以 及 色 情 网 站 的 自 动 弹 窗 广 告 ， 用 户 使 用 此 类 外 挂 自 动 弹 出 同 城 交 友 广 告 或 浏 览 某 些 色 情 网 站 就 可 能 触 发 带 漏 洞 攻 击 的 页 面 ， 如 果 此 时 受 害 者 的 机 器 没 有 打 相 应 补 丁 的 话 ， 就 会 触 发 相 应 漏 洞 ， 开 始 下 载 木 马 并 执 行 ： 图 1
图 2 该 页 面 客 户 嵌 入 的 j s 脚 本 过 程 如 下 ： 图 3 挂 马 代 码 加 密 过 程 简 图 ： 挂 马 代 码 加 密 过 程 简 图 ：
  图 4 第 一 个 页 面 h t t p : / / 1 7 4 . * . 9 6 . 4 2 / i n d e x . p h p ? i d = 0 1 1 ： 主 要 功 能 ： 主 要 功 能 ： 每 次 服 务 器 都 会 生 成 一 个 随 机 的 v a l i d a t e 值 放 入 表 单 中 ， 这 个 值 每 次 刷 新 得 到 的 结 果 都 不 一 样 ， 通 过 这 个 值 作 为 浏 览 器 的 会 话 标 记 。 此 外 ， 攻 击 者 使 用 I E 官 方 的 H T M L 条 件 注 释 来 进 行 浏 览 器 版 本 判 断 ， 这 种 判 断 对 于 常 见 的 前 端 设 计 是 有 效 的 ， 但 是 对 于 浏 览 器 漏 洞 利 用 却 是 错 误 的 ， 因 为 不 同 浏 览 器 都 会 开 启 不 同 程 度 的 兼 容 模 式 ， 导 致 错 误 的 兼 容 性 设 置 结 果 ， 所 以 不 如 直 接 判 断 浏 览 器 版 本 好 。 根 据 浏 览 器 的 上 述 的 结 果 ， 构 造 最 终 需 要 提 交 的 表 单 数 据 ， 并 进 行 G E T 提 交 图 5
图 6 第 二 个 页 面 ： 第 二 个 页 面 ： G E T 提 交 的 地 址 h t t p : / / 1 7 4 . . . 4 2 / p / s e r v l e t ? t o k e n = & i d = 4 9 4 5 7 & v a l i d a t e = X X X X X X X X X X 参 数 中 有 s e r v l e t ， 故 猜 测 有 可 能 后 台 是 j a v a 。 这 个 请 求 会 被 3 0 2 重 定 向 到 另 外 一 个 页 面 ： h t t p : / / 1 7 4 . . . 4 3 / r t / a b 0 6 a d d 3 9 4 f b 4 6 9 b 6 5 1 0 9 7 3 1 3 1 a c b 8 7 0 . h t m l ? i d = 4 9 4 5 7 这 个 页 面 会 根 据 I D 返 回 R a b b i t 或 者 R C 4 的 加 密 后 的 L o a d 代 码 ， 页 面 载 入 了 额 外 的 两 个 j s 库 文 件 ( e n c r y p t . m i n . j s 、 t i n y j s . m i n . j s ) ， 提 供 相 关 的 对 称 和 非 对 称 加 密 算 法 。 图 7 解 密 得 到 的 结 果 ： 解 密 得 到 的 结 果 ： 代 码 中 会 预 制 一 个 R S A 公 钥 ， 然 后 使 用 随 机 数 生 成 函 数 来 生 成 一 段 字 符 串 作 为 后 续 的 对 称 加 密 密 钥 ， 并 将 该 数 据 P O S T 到 服 务 器 ， 此 外 还 会 动 态 生 成 一 个 字 符 串 ， 两 者 拼 接 后 作 为 后 续 通 讯 加 密 的 密 钥 。 P O S T 请 求 会 从 服 务 端 返 回 这
个 密 钥 加 密 的 漏 洞 利 用 代 码 。 此 时 会 根 据 接 收 到 的 数 据 选 项 ， 选 择 使 用 R C 4 还 是 R a b b i t 算 法 进 行 解 密 并 执 行 。 图   8 漏 洞 利 用 ： 最 终 解 密 执 行 的 漏 洞 利 用 代 码 可 以 很 明 显 看 出 是 漏 洞 利 用 ： 最 终 解 密 执 行 的 漏 洞 利 用 代 码 可 以 很 明 显 看 出 是 C V E - 2 0 1 6 - 0 1 8 9 。 。
图 9 漏 洞 利 用 成 功 后 ， 会 利 用 r e g s v r 3 2 调 用 s c t 文 件 执 行 对 应 脚 本 。 （ R e g s v r 3 2 是 W i n d o w s 命 令 行 实 用 工 具 用 于 注 册 动 态 链 接 库 文 件 ， 向 系 统 注 册 控 件 或 者 卸 载 控 件 的 命 令 ， 以 命 令 行 方 式 运 行 。 国 外 网 友   C a s e y   S m i t h @ s u b T e e 发 现 通 过 调 用   r e g s r v 3 2 实 用 程 序 执 行 一 条 命 令 或 者 . s c t 文 件 有 可 能 绕 过 A p p L o c k e r 的 脚 本 规 则 。 由 于 该 实 用 程 序 是 具 有 微 软 官 方 签 名 的 所 以 好 处 自 不 用 多 说 了 ， 并 且 支 持 T L S 加 密 ， 遵 循 重 定 向 方 式 ， 且 不 会 在 磁 盘 上 留 下 痕 迹 。 鉴 于 这 么 多 优 点 ， 挂 马 者 自 然 不 会 错 过 ） r e g s r v 3 2 命 令 行 参 数 选 项 ： / s   静 默 执 行 / n   指 定 不 调 用 D l l R e g i s t e r S e r v e r ， 此 选 项 必 须 与 / i 共 同 使 用 / i   调 用 D l l I n s t a l l 将 它 传 递 到 可 选 的 [ c m d l i n e ] ， 在 与   / u   共 同 使 用 时 ， 它 调 用 _ _ D l l U n s t a l l
图 1 0 S c t 文 件 ： 文 件 ： 文 件 中 包 含 了 经 过 b a s e 6 4 编 码 后 的 恶 意 d l l 文 件 ， 利 用 A c t i v e X O b j e c t 写 入 到 本 地 文 件 ， 在 使 用 脚 本 操 作 二 进 制 文 件 时 ， 常 常 会 因 为 不 可 见 字 符 报 错 ， 所 以 挂 马 者 通 常 会 选 择 先 对 二 进 制 文 件 作 b a s e 6 4 编 码 再 操 作 ， 最 后 通 过 解 码 还 原 出 二 进 制 文 件 ； 图 1 1 以 下 是 测 试 将 s c t 文 件 中 的 B a s e 6 4 部 分 转 换 成 d l l 文 件 的 j s 脚 本 ： 图 1 2 然 后 会 通 过 r e g s v r 3 2 加 特 定 的 参 数 执 行 ： 参 数 中 包 含 l u a 脚 本 的 下 载 链 接 。
图 1 3 在 c o n f i g . l u a 文 件 中 其 判 断 了 是 否 为 网 吧 环 境 ， 若 是 网 吧 环 境 则 只 安 装 小 黑 记 事 本 ( x i a o h e i . l u a ) 和 a b c 看 图 ( a b c . l u a ) ； 否 则 安 装 如 下 图 所 示 多 款 软 件 。
图 1 4
图 1 5 以 d u b a . l u a 为 例 其 中 的 l u a 脚 本 内 容 如 下 ， 主 要 判 断 未 安 装 推 广 软 件 的 环 境 下 进 行 下 载 安 装 ： 图 1 6 最 终 普 通 中 招 用 户 机 器 上 被 推 广 安 装 上 1 0 款 推 广 软 件 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理