搜索

[16930] 2021-06-20_恶意软件分析：基于PHP的skimmer表明Magecart活动仍在继续

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2021-06-20_恶意软件分析：基于PHP的skimmer表明Magecart活动仍在继续 恶 意 软 件 分 析 ： 基 于 P H P 的 s k i m m e r 表 明 M a g e c a r t 活 动 仍 在 继 续 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 6 - 2 0 概 述 概 述 W e b   s k i m m i n g 对 于 在 线 商 城 和 网 购 用 户 来 说 ， 仍 然 是 一 种 非 常 严 重 的 安 全 威 胁 。 在 这 一 领 域 ， 从 普 通 业 余 爱 好 者 ， 到 国 家 级 别 的 黑 客 组 织 （ 比 如 说 L a z a r u s ） ， 网 络 犯 罪 分 子 的 复 杂 程 度 各 不 相 同 。 在 安 全 方 面 ， 许 多 电 子 商 务 网 站 仍 然 容 易 受 到 攻 击 ， 因 为 它 们 多 年 来 都 没 有 升 级 过 他 们 的 内 容 管 理 软 件 （ C M S ） 。 我 们 今 天 看 到 的 活 动 是 关 于 一 些 M a g e n t o 1 网 站 的 ， 而 这 些 网 站 已 经 被 一 个 非 常 活 跃 的 s k i m m e r 组 织 所 入 侵 了 。 通 过 分 析 后 我 们 发 现 ， 去 年 秋 天 被 发 现 的 M a g e c a r t   G r o u p   1 2 就 是 M a g e n t o   1 攻 击 事 件 背 后 的 始 作 俑 者 ， 而 这 个 组 织 现 在 仍 在 继 续 传 播 新 的 恶 意 软 件 。 网 络 犯 罪 分 子 会 利 用 这 些 被 称 为 S m i l o d o n 或 M e g a l o d o n 的 W e n   S h e l l 并 通 过 服 务 器 端 请 求 将 J a v a S c r i p t   s k i m m i n g 代 码 加 动 态 加 载 进 在 线 商 城 站 点 中 。 这 种 技 术 非 常 有 意 思 ， 因 为 大 多 数 客 户 端 安 全 工 具 都 无 法 检 测 或 阻 止 s k i m m e r 。 W e b   S h e l l 以 以 f a v i c o n 的 形 式 隐 藏 的 形 式 隐 藏 在 对 M a g e n t o   1 网 站 使 用 网 络 爬 虫 进 行 分 析 时 ， 我 们 检 测 到 了 一 个 伪 装 成 f a v i c o n 图 标 的 新 型 恶 意 软 件 。 其 中 ， 文 件 名 为 M a g e n t o . p n g 的 文 件 会 尝 试 将 其 以 “ i m a g e / p n g ” 传 递 ， 但 该 文 件 并 没 有 正 确 的 合 法 图 像 文 件 P N G 格 式 内 容 。
恶 意 软 件 可 以 将 合 法 图 标 快 捷 方 式 标 签 图 换 成 伪 造 P N G 文 件 的 路 径 ， 来 实 现 针 对 目 标 站 点 的 入 侵 。 跟 使 用 伪 造 f a v i c o n 图 标 文 件 来 隐 藏 恶 意 J a v a S c r i p t 代 码 的 攻 击 事 件 不 同 ， 这 种 攻 击 方 式 最 终 将 实 现 一 个 P H P   W e b   S h e l l 。 但 是 ， 当 前 网 络 犯 罪 分 子 所 实 现 的 这 个 P H P 脚 本 并 不 能 被 正 确 加 载 。
W e b   S h e l l 是 一 种 非 常 流 行 的 恶 意 软 件 类 型 ， 它 允 许 攻 击 者 实 现 针 对 目 标 主 机 的 远 程 访 问 和 管 理 ， 它 们 通 常 会 在 攻 击 者 利 用 漏 洞 实 现 针 对 目 标 主 机 的 入 侵 之 后 加 载 进 一 台 W e b 服 务 器 中 。 为 了 对 这 个 W e b   S h e l l 进 行 深 入 分 析 ， 我 们 将 其 进 行 了 反 向 解 码 。 我 们 看 到 ， 它 会 从 一 台 域 名 为 z o l o [ . ] o w 的 外 部 主 机 获 取 数 据 。
在 对 m 1 _ 2 0 2 1 _ f o r c e 目 录 进 行 深 入 分 析 之 后 ， 我 们 发 现 了 专 门 针 对 信 用 卡 数 据 窃 取 的 专 用 代 码 。
其 中 的 数 据 提 取 部 分 与 D e n i s @ U n m a s k P a r i s t e s 研 究 员 在 今 年 三 月 份 于 W o r d P r e s s 网 站 （ S m i l o d o n 恶 意 软 件 ） 上 发 现 的 内 容 相 符 ， 后 者 还 可 以 窃 取 用 户 凭 证 数 据 ：
下 面 给 出 的 是 S a n S e c 报 告 的 类 似 的 P H P 文 件 （ M a g e . p h p ） ：
在 针 对 M a g e t o   1 E O L 攻 击 事 件 进 行 分 析 时 ， S a m S e c 之 前 还 报 告 过 类 似 的 路 径 / 文 件 名 ： 这 意 味 着 ， 我 们 当 时 和 现 在 可 能 正 在 研 究 相 同 的 威 胁 因 素 ， 我 们 可 以 通 过 研 究 正 在 使 用 的 基 础 设 施 来 确 认 这 一 点 。 M a g e c a r t   G r o u p   1 2 因 为 我 们 在 M a g e n t o   1 . x 网 站 上 发 现 了 f a v i c o n   W e b s h e l l ， 所 以 我 们 认 为 可 能 与 去 年 发 现 的 M a g e n t o   1 分 支 （ 不 再 维 护 ） 漏 洞 攻 击 事 件 有 关 。 R i s k I Q 记 录 了 这 些 攻 击 事 件 ， 并 将 其 与 当 时 的 M a g e c a r t   G r o u p   1 2 联 系 起 来 。 我 们 发 现 的 最 新 域 名 （ z o l o [ . ] p w ） 恰 好 与 先 前 M a g e c a r t   G r o u p   1 2 关 联 的 域 r e c a p t c h a - i n [ . ] p w 和 g o o g l e   s t a t i k [ . ] p w 托 管 在 相 同 的 I P 地 址 （ 2 1 7 . 1 2 . 2 0 4 [ . ] 1 8 5 ） 上 。
动 态 加 载 的 动 态 加 载 的 s k i m m e r 现 在 有 很 多 方 法 可 以 加 载 s k i m m i n g 代 码 ， 但 最 常 见 的 就 是 通 过 调 用 外 部 J a v a S c r i p t 资 源 来 实 现 。 当 一 个 客 户 访 问 一 个 在 线 商 店 时 ， 他 们 的 浏 览 器 会 向 一 个 托 管 s k i m m e r 的 域 发 出 请 求 。 尽 管 犯 罪 分 子 会 不 断 扩 展 他 们 的 基 础 设 施 ， 但 对 于 那 些 使 用 域 / I P 数 据 库 的 s k i m m e r 来 说 ， 阻 止 和 屏 蔽 还 是 相 对 容 易 的 。 相 比 之 下 ， 本 文 所 介 绍 的 s k i m m e r 会 将 代 码 动 态 地 注 入 到 商 家 网 站 中 。 向 托 管 s k i m m i n g 代 码 的 恶 意 域 发 送 请 求 的 是 服 务 器 端 ， 而 不 是 客 户 端 。 这 样 一 来 ， 除 非 所 有 被 入 侵 的 在 线 商 城 都 被 加 入 黑 名 单 ， 否 则 这 将 导 致 基 于 数 据 库 的 屏 蔽 方 法 将 行 不 通 。 一 种 更 有 效 、 但 也 更 复 杂 且 容 易 出 现 误 报 的 方 法 是 实 时 检 查 D O M ， 并 检 测 何 时 加 载 了 恶 意 代 码 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C f a c e d o o k [ . ] h o s t p a t h c [ . ] s p a c e p r e d a t o r [ . ] h o s t g o o g l e - s t a t i k [ . ] p w
r e c a p t c h a - i n [ . ] p w s e x r u r a [ . ] p w z o l o [ . ] p w k e r m o [ . ] p w p s a s [ . ] p w p a t h c [ . ] s p a c e p r e d a t o r [ . ] h o s t g o o o g l e t a g m a n a g e r [ . ] o n l i n e i m a g s [ . ] p w y 5 [ . ] m s a u t o c a p i t a l [ . ] p w m y i c o n s [ . ] n e t q r 2 0 2 7 5 4 [ . ] p w t h e s u n [ . ] p w r e d o r n [ . ] s p a c e z e b o r n [ . ] p w g o o g l e t a g m a n a g r [ . ] c o m a u t o c a p i t a l [ . ] p w h t t p [ . ] p s x x x - c l u b [ . ] p w y 5 [ . ] m s 1 9 5 [ . ] 1 2 3 [ . ] 2 1 7 [ . ] 1 8 2 1 7 [ . ] 1 2 [ . ] 2 0 4 [ . ] 1 8 5 8 3 [ . ] 1 6 6 [ . ] 2 4 1 [ . ] 2 0 5 8 3 [ . ] 1 6 6 [ . ] 2 4 2 [ . ] 1 0 5
精 彩 推 荐 精 彩 推 荐 8 3 [ . ] 1 6 6 [ . ] 2 4 4 [ . ] 1 1 3 8 3 [ . ] 1 6 6 [ . ] 2 4 4 [ . ] 1 5 2 8 3 [ . ] 1 6 6 [ . ] 2 4 4 [ . ] 1 8 9 8 3 [ . ] 1 6 6 [ . ] 2 4 4 [ . ] 7 6 8 3 [ . ] 1 6 6 [ . ] 2 4 5 [ . ] 1 3 1 8 3 [ . ] 1 6 6 [ . ] 2 4 6 [ . ] 3 4 8 3 [ . ] 1 6 6 [ . ] 2 4 6 [ . ] 8 1 8 3 [ . ] 1 6 6 [ . ] 2 4 8 [ . ] 6 7 j a m a l . b u d u n o f f @ y a n d e x [ . ] r u m u h t a r p a s h a t a s h a n o v @ y a n d e x [ . ] r u n i k o l a - a z @ r a m b l e r [ . ] r u
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理