搜索

[13592] 2018-12-30_HTTPS劫匪木马卷土重来，盯上新闻娱乐购物网站

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2018-12-30_HTTPS劫匪木马卷土重来，盯上新闻娱乐购物网站 H T T P S 劫 匪 木 马 卷 土 重 来 ， 盯 上 新 闻 娱 乐 购 物 网 站 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 8 - 1 2 - 3 0 近 年 来 ， 国 内 各 大 网 站 逐 渐 升 级 为 近 年 来 ， 国 内 各 大 网 站 逐 渐 升 级 为 H T T P S 加 密 连 接 、 甚 至 是 全 站 加 密 连 接 、 甚 至 是 全 站 H T T P S ， 以 防 止 网 站 被 篡 改 、 劫 持 或 是 用 户 ， 以 防 止 网 站 被 篡 改 、 劫 持 或 是 用 户 数 据 被 监 听 等 事 件 的 发 生 ， 在 很 大 程 度 上 提 升 了 网 站 的 安 全 性 。 但 即 便 如 此 ， 一 向 被 认 为 数 据 被 监 听 等 事 件 的 发 生 ， 在 很 大 程 度 上 提 升 了 网 站 的 安 全 性 。 但 即 便 如 此 ， 一 向 被 认 为 “ 安 全 可 靠 安 全 可 靠 ” 的 的 H T T P S 安 全 传 输 协 议 也 无 法 保 证 万 无 一 失 安 全 传 输 协 议 也 无 法 保 证 万 无 一 失 — — 如 果 是 在 存 在 有 木 马 的 计 算 机 中 ， 如 果 是 在 存 在 有 木 马 的 计 算 机 中 ， H T T P S 也 可 能 被 轻 易 劫 持 ！ 也 可 能 被 轻 易 劫 持 ！ 近 期 3 6 0 互 联 网 安 全 中 心 监 测 到 一 款 专 门 劫 持 H T T P S 的 木 马 再 次 开 始 活 跃 。 在 2 0 1 7 年 ， 我 们 就 曾 曝 光 过 该 病 毒 团 伙 ， 在 那 之 后 该 团 伙 确 实 有 所 收 敛 ， 谁 知 最 近 他 们 重 出 江 湖 ， 又 开 始 大 肆 传 播 — — 来 自 3 6 0 网 络 安 全 研 究 院 的 数 据 显 示 ： H T T P S 劫 匪 木 马 的 主 控 域 名 之 一 e r h a o j i e [ . ] c o m ， 在 近 期 的 域 名 请 求 次 数 单 日 峰 值 已 超 过 1 9 0 万 次 。 图 1   木 马 主 控 域 名 请 求 次 数 波 动   过 程 分 析 过 程 分 析 劫 持 木 马 安 装 过 程 和 之 前 版 本 没 有 太 大 区 别 ， 依 旧 主 要 是 以 伪 装 成 色 情 播 放 器 的 方 式 进 行 推 广 ， 部 分 用 户 可 能 会 被 木 马 诱 骗 ， 关 闭 安 全 软 件 进 而 中 招 ： 图 2   木 马 通 过 伪 装 成 色 情 播 放 器 进 行 传 播   木 马 在 中 招 电 脑 中 运 行 后 会 进 行 如 下 操 作 ：
1 . 安 装 k a n g l e   w e b   s e r v e r 服 务 ， 而 该 服 务 则 通 过 请 求 控 制 配 置 和 回 应 控 制 配 置 的 方 式 ， 对 主 流 网 站 的 静 态 资 源 域 名 进 行 了 配 置 ； 2 . 通 过 导 入 证 书 的 方 式 实 现 中 间 人 攻 击 ； 3 . 导 入 到 本 地 信 任 的 伪 造 证 书 签 发 了 大 量 域 名 ， 同 时 修 改 电 脑 上 的 h o s t s 文 件 ， 将 这 些 域 名 解 析 到 k a n g l e   w e b 自 身 地 址 上 来 。 图 3   木 马 配 置 的 控 制 规 则 和 被 修 改 的 h o s t s 文 件   这 次 H T T P S 劫 匪 木 马 与 之 前 不 同 之 处 在 于 更 新 了 其 导 入 的 证 书 ， 新 增 了 1 5 个 域 名 ， 签 发 域 名 达 到 4 8 个 。 图 4   导 入 证 书 及 证 书 信 息   木 马 会 通 过 泛 域 名 ( w i d e _ h o s t ) 匹 配 规 则 对 系 统 发 起 的 每 条 网 络 访 问 进 行 匹 配 ， 一 旦 发 现 上 述 域 名 下 的 j s 类 型 文 件 ， 就 会 在 原 j s 文 件 的 尾 部 插 入 一 条 用 于 劫 持 的 j s 链 接 ： h x x p s : / / s s l . e r h a o j i e . c o m / s s l / b a . j s
图 4   在 K a n g l e   W e b 后 台 捕 获 到 的 劫 持 信 息   劫 持 客 户 端 新 闻 弹 窗 劫 持 客 户 端 新 闻 弹 窗 由 于 近 年 来 各 路 软 件 弹 出 m i n i 新 闻 窗 的 套 路 风 靡 ， 木 马 作 者 也 是 新 增 了 对 m i n i 窗 页 面 的 劫 持 。 多 款 软 件 的 m i n i 窗 均 被 劫 持 到 带 其 推 广 I D 的 东 方 头 条 m i n i 页 面 ： h x x p : / / h o t . e a s t d a y . c o m / m i n i 0 * * 图 5   劫 持 m i n i 窗 部 分 代 码 片 断
微 博 账 号 刷 粉 微 博 账 号 刷 粉 此 次 木 马 还 增 加 了 微 博 账 号 自 动 加 粉 的 功 能 。 如 果 木 马 检 测 到 用 户 电 脑 登 录 了 微 博 ， 则 会 自 动 关 注 木 马 内 置 的 两 个 微 博 账 号 。 这 两 个 微 博 的 粉 丝 均 已 超 过 7 0 0 0 个 （ 其 中 一 个 账 号 仅 发 了 4 条 微 博 ） ， 对 比 发 现 两 个 微 博 的 粉 丝 相 近 ， 关 注 方 式 也 基 本 一 致 — — 也 能 从 侧 面 印 证 这 两 个 微 博 账 号 很 大 可 能 都 是 通 过 这 种 方 式 添 加 的 粉 丝 。 一 分 钟 看 点 ： h x x p s : / / w e i b o . c o m / p / 1 0 0 5 0 5 6 5 8 5 3 9 1 0 1 7 看 点 新 闻 图 ： h x x p s : / / w e i b o . c o m / p / 1 0 0 5 0 5 1 7 2 9 9 7 9 6 2 2 图 6   通 过 模 拟 点 击 方 式 关 注 微 博   劫 持 京 东 网 页 二 维 码 劫 持 京 东 网 页 二 维 码 此 外 ， 木 马 还 会 将 京 东 网 页 中 原 本 用 于 扫 描 安 装 京 东 客 户 端 的 二 维 码 篡 改 为 安 装 其 推 广 软 件 的 二 维 码 ！
图 7   替 换 京 东 A P P 二 维 码 相 关 代 码 片 断 及 替 换 效 果   其 他 行 为 其 他 行 为 除 上 面 介 绍 的 两 个 恶 意 功 能 外 ， 木 马 还 能 够 ： 1 . 在 用 户 访 问 购 物 、 导 航 、 搜 索 等 网 站 时 ， 自 动 添 加 木 马 作 者 的 推 广 在 用 户 访 问 购 物 、 导 航 、 搜 索 等 网 站 时 ， 自 动 添 加 木 马 作 者 的 推 广 I D ； ； 2 . 在 用 户 访 问 的 网 站 中 插 入 浮 窗 广 告 ； 在 用 户 访 问 的 网 站 中 插 入 浮 窗 广 告 ； 3 . 替 换 掉 原 来 网 页 中 的 广 告 内 容 ； 替 换 掉 原 来 网 页 中 的 广 告 内 容 ； 4 . 在 搜 索 引 擎 的 结 果 中 插 入 广 告 。 在 搜 索 引 擎 的 结 果 中 插 入 广 告 。 另 外 ， 由 于 这 款 木 马 本 身 劫 持 功 能 做 的 不 够 精 细 ， 还 会 造 成 用 户 在 访 问 网 络 时 出 现 各 种 故 障 。 如 腾 讯 游 戏 的 相 关 网 站 被 劫 持 后 ， 验 证 码 输 入 窗 口 被 跳 转 到 东 方 头 条 网 站 ， 导 致 用 户 无 法 正 常 登 录 W e G a m e 。 如 下 图 ：
图 8   验 证 码 窗 口 被 劫 持 导 致 用 户 无 法 登 陆 W e G a m e   幕 后 作 者 幕 后 作 者 分 析 过 程 中 ， 我 们 发 现 这 又 是 一 起 公 司 形 式 制 作 恶 意 软 件 的 案 例 。 通 过 该 劫 持 木 马 所 用 到 的 两 个 主 要 云 控 域 名 的 W h o i s 信 息 ， 我 们 查 出 ： n   注 册 者 姓 名 ： l i * * q u n n   注 册 邮 箱 ： 3 0 * * * * 2 8 @ q q . c o m n   所 属 公 司 ： 深 圳 市 * * 信 息 科 技 有 限 公 司 图 9   控 制 域 名 W h o i s 相 关 信 息   而 根 据 其 I C P 备 案 信 息 也 显 示 域 名 属 于 深 圳 某 公 司 ：
图 1 0   网 站 I C P 备 案 信 息 以 及 公 司 股 权 控 制 图   通 过 支 付 宝 姓 名 验 证 也 确 认 该 邮 箱 对 应 的 真 实 姓 名 为 李 * 群 ： 图 1 1   支 付 宝 信 息   从 搜 索 引 擎 搜 索 该 Q Q ， 能 看 一 些 早 年 作 者 曾 经 发 过 网 站 备 案 相 关 的 帖 子 以 及 制 作 过 小 电 影 网 站 的 一 些 信 息 ：
图 1 2   通 过 搜 索 找 到 的 一 些 Q Q 相 关 信 息   以 上 所 有 相 关 信 息 都 指 向 同 一 主 体 ： n   姓 名 ： 李 * 群 n   公 司 1 ： 深 圳 市 * * 信 息 科 技 有 限 公 司 n   公 司 2 ： 深 圳 * * * * 国 际 文 化 传 播 有 限 公 司 n   手 机 1 ： 1 5 8 * * * * * * 6 9 n   手 机 2 ： 1 8 6 * * * * * * 4 7 n   Q Q ： 3 0 * * * * 2 8 n   邮 箱 1 ： 3 0 * * * * 2 8 # q q . c o m n   邮 箱 2 ： 4 1 * * * * * 8 4 # q q . c o m 3 6 0 互 联 网 安 全 中 心 已 将 相 关 信 息 提 交 主 管 部 门 。 结 语 结 语 H T T P S 的 普 及 ， 很 大 程 度 上 提 升 了 网 站 的 安 全 性 。 但 H T T P S 并 不 是 万 能 的 ， 也 存 在 多 种 劫 持 和 攻 击 的 手 段 。 近 期 更 是 有 多 款 木 马 开 始 讲 攻 击 目 标 锁 定 在 H T T P S 的 站 点 上 。 现 在 绝 大 部 分 登 录 认 证 、 支 付 过 程 等 涉 及 用 户 敏 感 信 息 的 操 作 均 已 使 用 H T T P S 进 行 通 讯 ， 也 正 因 如 此 ， 针 对 H T T P S 的 劫 持 攻 击 对 用 户 的 威 胁 往 往 更 大 ， 用 户 和 厂 商 也 应 格 外 注 意 此 类 型 攻 击 。 对 于 此 类 木 马 ， 3 6 0 安 全 专 家 提 醒 ： 正 常 开 启 3 6 0 安 全 卫 士 ， 遇 到 安 全 软 件 报 警 提 示 木 马 病 毒 的 情 况 ， 不 要 冒 险 添 加 信 任 运 行 ， 就 可 以 拦 截 此 类 木 马 攻 击 。
图 1 3   3 6 0 安 全 卫 士 拦 截 提 示 窗 口 * 本 文 作 者 ： 本 文 作 者 ： 3 6 0 安 全 卫 士 ， 转 载 请 注 明 来 自 安 全 卫 士 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理