搜索

[3219] 2016-10-10_新型JavaScript恶意软件曝光：你关我的进程，我关你的电脑

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-16
2016-10-10_新型JavaScript恶意软件曝光：你关我的进程，我关你的电脑 新 型 J a v a S c r i p t 恶 意 软 件 曝 光 ： 你 关 我 的 进 程 ， 我 关 你 的 电 脑 原 创   E 安 全   E 安 全   2 0 1 6 - 1 0 - 1 0 新 型 新 型 J a v a S c r i p t 恶 意 软 件 会 对 用 户 浏 览 器 的 首 页 进 行 覆 盖 。 恶 意 软 件 会 对 用 户 浏 览 器 的 首 页 进 行 覆 盖 。 E 安 全 安 全 1 0 月 月 1 0 日 讯 日 讯   来 自 来 自 K a h u   S e c u r i t y 的 研 究 人 员 们 已 经 发 现 了 一 种 全 新 恶 意 软 件 变 种 ， 其 以 的 研 究 人 员 们 已 经 发 现 了 一 种 全 新 恶 意 软 件 变 种 ， 其 以 J a v a S c r i p t 开 发 而 成 ， 不 仅 能 够 劫 持 受 害 开 发 而 成 ， 不 仅 能 够 劫 持 受 害 者 的 浏 览 器 主 页 ， 甚 至 可 以 在 检 测 到 尝 试 关 闭 其 进 程 的 指 令 时 关 闭 您 的 计 算 机 。 者 的 浏 览 器 主 页 ， 甚 至 可 以 在 检 测 到 尝 试 关 闭 其 进 程 的 指 令 时 关 闭 您 的 计 算 机 。 此 恶 意 软 件 的 各 类 变 种 自 2 0 1 4 年 就 已 经 开 始 出 现 ， 但 其 攻 击 欲 望 与 咄 咄 逼 人 之 势 显 然 无 法 与 此 次 曝 光 的 最 新 版 本 相 提 并 论 。 该 恶 意 软 件 会 通 过 垃 圾 邮 件 以 恶 意 文 件 附 件 的 形 式 登 陆 用 户 P C 设 备 ， 而 且 尽 管 其 属 于 J a v a S c r i p t 文 件 ， 但 却 并 非 执 行 于 浏 览 器 之 内 ， 而 是 经 由 W i n d o w s   S c r i p t   H o s t — — 即 W i n d o w s 的 内 置 J a v a S c r i p t 执 行 器 — — 实 现 运 行 。 高 度 混 淆 之 下 掩 藏 的 恶 意 活 动 着 眼 于 该 恶 意 软 件 的 源 代 码 ， 普 通 用 户 只 会 看 到 一 大 堆 被 随 机 混 杂 起 来 的 字 符 ， 别 无 其 它 。 K a h u   S e c u r i t y 的 研 究 人 员 们 表 示 ， 该 脚 本 利 用 混 淆 机 制 对 其 真 正 的 有 效 载 荷 进 行 了 隐 藏 — — 而 这 部 分 有 效 载 荷 会 经 由 一 系 列 操 作 改 变 底 层 操 作 系 统 设 置 。 除 了 混 淆 之 外 ， 该 脚 本 还 会 运 用 到 了 编 码 字 符 、 正 则 表 达 式 搜 索 、 正 则 表 达 式 替 换 、 罕 见 的 b a s e 转 换 （ 该 脚 本 配 合 b a s e 3 3 ） 以 及 条 件 语 句 等 模 糊 处 理 手 段 。 经 过 不 懈 努 力 ， 研 究 人 员 最 终 还 是 摸 清 了 源 代 码 的 实 际 含 义 ， 即 这 套 脚 本 的 具 体 恶 意 行 为 流 程 ： 1 ) 在 A p p D a t a R o a m i n g 目 录 之 下 创 建 一 个 新 的 文 件 夹 ， 并 利 用 新 的 注 册 表 项 将 其 隐 藏 起 来 。 2 ) 将 合 法 的 W i n d o w s   w s c r i p t . e x e 应 用 复 制 到 此 文 件 夹 当 中 ， 并 为 其 赋 予 一 个 随 机 名 称 。 3 ) 将 自 身 复 制 到 此 文 件 夹 当 中 ， 而 后 为 自 身 创 建 一 条 快 捷 方 式 ， 其 名 称 为 “ S t a r t ” 并 被 放 置 在 “ S t a r t u p ” 文 件 夹 内 ， 亦 可 通 过 W i n d o w s 开 始 菜 单 进 行 访 问 。 4 ) 为 该 S t a r t 快 捷 方 式 分 配 一 个 伪 造 的 文 件 夹 图 标 ， 从 而 让 用 户 误 以 为 其 属 于 一 个 文 件 夹 而 非 文 件 。
5 ) 脚 本 代 码 的 剩 余 部 分 会 尝 试 访 问 微 软 、 谷 歌 或 者 必 应 等 网 站 ， 从 而 检 查 互 联 网 连 接 情 况 。 6 ) 将 遥 测 数 据 发 送 至 u r c h i n t e l e m e t r y [ . ] c o m ， 并 从 9 5 . 1 5 3 . 3 1 [ . ] 2 2 处 下 载 并 运 行 一 个 加 密 文 件 。 7 ) 此 加 密 文 件 属 于 另 一 个 J S 脚 本 ， 其 负 责 将 C h r o m e 、 火 狐 以 及 I E 等 浏 览 器 的 首 页 设 置 为 l o g i n . h h t x n e t [ . ] c o m 。 截 至 发 稿 之 时 ， 此 首 页 会 将 用 户 重 新 定 向 至 另 一 网 站 ： p o r t a l n e [ . ] w s 。 8 ) 这 后 一 套 脚 本 利 用 W M I （ 即 W i n d o w s 管 理 规 范 ） 以 检 查 各 与 安 全 性 相 关 的 软 件 。 9 ) 如 果 该 脚 本 发 现 与 安 全 性 相 关 的 软 件 ， 则 会 利 用 伪 造 的 错 误 信 息 终 止 其 执 行 。 1 0 ) 如 果 用 户 在 任 务 管 理 器 当 中 找 到 w s c r i p t . e x e 进 程 并 尝 试 将 其 关 闭 ， 该 脚 本 会 立 即 执 行 一 条 C L I 命 令 以 关 闭 用 户 的 计 算 机 。 1 1 ) 当 用 户 重 启 自 己 的 P C 设 备 时 ， 由 于 该 “ S t a r t ” 脚 本 仍 存 在 于 S t a r t u p 菜 单 当 中 ， 因 此 恶 意 J S 软 件 会 在 启 动 完 成 后 继 续 保 持 运 行 。 “ 如 果 大 家 希 望 在 自 己 的 计 算 机 上 关 闭 这 套 脚 本 ， 则 可 直 接 以 安 全 模 式 进 行 启 动 （ 或 者 使 用 其 它 账 户 登 录 ） ， 而 后 移 除 该 启 动 链 接 与 对 应 文 件 夹 ， ” K a h u   S e c u r i t y 安 全 专 家 D a r r y l 写 道 。 “ 如 果 大 家 希 望 在 该 脚 本 运 行 过 程 中 对 其 进 行 分 析 ， 则 可 对 您 的 安 全 工 具 重 新 命 名 ， 即 可 确 保 不 被 其 发 现 。 ”

S t a r t u p 文 件 夹 中 的 “ S t a r t ” 脚 本 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理