搜索

[3398] 2016-12-22_银行要小心了，全新AliceATM恶意软件出现

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-16
2016-12-22_银行要小心了，全新AliceATM恶意软件出现 银 行 要 小 心 了 ， 全 新 A l i c e   A T M 恶 意 软 件 出 现 原 创   E 安 全   E 安 全   2 0 1 6 - 1 2 - 2 2 E 安 全 1 2 月 2 2 日 讯   作 为 与 E u r o p o l   E C 3 合 作 建 立 的 研 究 项 目 的 一 部 分 ， T r e n d M i c r o 研 究 人 员 发 现 一 种 针 对 A T M 设 备 的 新 型 威 胁 因 素 — — A l i c e A T M 恶 意 软 件 。 来 自 T r e n d   M i c r o 公 司 的 安 全 专 家 们 已 经 发 现 了 一 种 新 型 A T M 恶 意 软 件 ， 这 种 被 称 为 A l i c e 的 攻 击 机 制 旨 在 针 对 各 类 自 助 式 服 务 A T M 设 备 中 的 安 全 保 护 功 能 。 此 恶 意 软 件 非 常 值 得 关 注 ， 它 最 大 的 特 点 就 是 不 同 于 其 它 A T M 恶 意 软 件 , 因 为 其 无 法 实 现 数 据 窃 取 功 能 ， 同 时 亦 不 可 通 过 A T M 数 字 键 盘 进 行 控 制 ， A l i c e 利 用 的 是 原 有 安 全 机 制 清 空 和 实 机 操 作 取 现 。 研 究 人 员 们 最 初 于 研 究 人 员 们 最 初 于 2 0 1 6 年 年 1 1 月 首 次 发 现 月 首 次 发 现 A l i c e   A T M 恶 意 软 件 ， 而 这 项 工 作 为 恶 意 软 件 ， 而 这 项 工 作 为 T r e n d   M i c r o 与 与 E u r o p o l   E C 3 建 立 的 联 合 研 究 项 目 的 一 部 建 立 的 联 合 研 究 项 目 的 一 部 分 ， 不 过 他 们 推 测 此 恶 意 软 件 的 诞 生 时 间 应 该 在 分 ， 不 过 他 们 推 测 此 恶 意 软 件 的 诞 生 时 间 应 该 在 2 0 1 4 年 。 年 。 在 初 次 发 现 A l i c e 时 ， 研 究 人 员 们 曾 经 怀 疑 其 属 于 已 知 A T M 恶 意 软 件 P a d p i n 的 新 型 变 种 。 但 经 过 进 一 步 调 查 后 ， 他 们 发 现 了 A l i c e 属 于 一 种 全 新 恶 意 软 件 家 族 。 “ T r e n d   M i c r o 公 司 发 现 了 一 个 名 为 A l i c e 的 新 型 A T M 恶 意 软 件 家 族 ， 这 是 我 们 遇 到 过 的 最 具 定 制 化 特 性 的 A T M 恶 意 软 件 家 族 。 ” T r e n d   M i c r o 方 面 在 发 布 的 分 析 报 告 中 指 出 ， “ 与 其 它 A T M 恶 意 软 件 家 族 不 同 ， A l i c e 无 法 通 过 A T M 的 数 字 键 盘 进 行 控 制 ， 亦 不 包 含 任 何 信 息 窃 取 功 能 。 其 作 用 单 纯 只 是 清 空 A T M 的 现 有 安 全 保 护 功 能 。 ” 根 据 研 究 人 员 的 说 法 ， 诈 骗 分 子 需 要 以 物 理 方 式 访 问 A T M 以 清 空 其 分 配 器 ， 这 一 迹 象 表 明 A l i c e 的 设 计 目 标 在 于 实 现 “ 钱 骡 ” — — 即 非 法 财 产 转
移 。 研 究 人 员 们 解 释 称 ， “ 由 于 在 进 行 资 金 转 账 前 需 要 输 入 P I N 码 ， 因 此 可 以 认 定 A l i c e 仅 被 用 于 进 行 现 场 攻 击 。 A l i c e 并 不 具 备 精 心 设 计 的 安 装 或 者 卸 载 机 制 — — 其 只 能 在 适 当 环 境 中 通 过 运 行 可 执 行 文 件 实 现 功 能 。 ” A l i c e   A T M 恶 意 软 件 还 可 通 过 远 程 桌 面 协 议 （ 简 称 R D P ） 实 现 运 行 ， 但 研 究 人 员 们 还 没 有 发 现 任 何 存 在 此 种 使 用 方 式 的 证 据 。 在 A l i c e 处 于 执 行 状 态 时 ， 其 会 在 根 目 录 下 创 建 一 个 名 为 x f s _ s u p p . s y s 的 5   M B + 大 小 空 文 件 ， 外 加 一 个 名 为 T R C E R R . L O G 的 错 误 日 志 文 件 。 前 一 个 文 件 的 内 容 全 部 为 0 且 不 包 含 任 何 数 据 ， 后 一 个 文 件 （ T R C E R R . L O G ） 则 为 A l i c e 恶 意 软 件 使 用 的 错 误 日 志 文 件 。 此 日 志 文 件 会 追 踪 一 切 X F S   A P I 调 用 及 其 相 关 信 息 / 错 误 。 该 文 件 即 使 在 恶 意 软 件 被 移 除 后 仍 将 继 续 存 在 于 设 备 中 ， 这 可 能 是 为 了 执 行 后 续 故 障 排 查 或 者 单 纯 只 是 恶 意 软 件 开 发 者 忘 记 将 其 正 确 移 除 。 研 究 人 员 们 注 意 到 ， 该 恶 意 软 件 只 会 接 入 C u r r e n c y D i s p e n s e r 1 外 设 且 并 不 包 含 任 何 负 责 使 用 P I N 数 字 键 盘 的 代 码 ， 这 可 能 是 因 为 其 设 计 目 标 在 于 帮 助 诈 骗 分 子 以 物 理 方 式 使 用 A T M 并 利 用 U S B 或 者 光 盘 对 其 进 行 感 染 。 分 析 报 告 进 一 步 补 充 称 ， “ 其 只 会 接 入 C u r r e n c y D i s p e n s e r 1 外 设 ， 且 不 会 尝 试 使 用 设 备 上 的 P I N 数 字 键 盘 。 这 在 逻 辑 层 面 给 出 了 结 论 ， 即 A l i c e 恶 意 软 件 的 开 发 者 需 要 利 用 U S B 或 者 光 盘 以 物 理 方 式 接 触 并 感 染 A T M 设 备 ， 而 后 向 设 备 主 板 接 入 键 盘 并 借 此 操 作 恶 意 软 件 。 ” A l i c e   A T M 恶 意 软 件 被 包 装 成 名 为 V M P r o t e c t 的 商 用 现 成 打 包 器 / 混 淆 器 。 该 恶 意 软 件 能 够 利 用 一 系 列 功 能 避 免 研 究 人 员 对 其 进 行 分 析 ， 即 防 止 在 非 A T M 及 调 试 器 环 境 下 执 行 。 A l i c e 支 持 通 过 特 定 P I N 码 执 行 以 下 三 条 命 令 ： · 删 除 一 个 文 件 以 进 行 卸 载 。 · 退 出 该 程 序 并 运 行 卸 载 / 清 理 程 序 。 · 打 开 “ 操 作 面 板 ” 以 查 看 A T M 中 的 可 用 现 金 量 。 在 攻 击 场 景 下 ， 该 钱 骡 会 输 入 目 标 A T M 用 于 资 金 分 检 的 钞 匣 I D ， 而 出 钞 命 令 则 通 过 W F S E x e c u t e   A P I 发 送 至 C u r r e n c y D i s p e n s e r 1 外 设 处 。 A T M 设 备 通 常 设 有 最 多 5 0 张 出 钞 量 上 限 ， 这 意 味 着 诈 骗 分 子 需 要 多 次 重 复 操 作 才 能 取 空 钞 匣 中 的 全 部 现 金 。 A l i c e 不 具 备 长 期 运 行 的 能 力 ， 因 此 攻 击 者 需 要 手 动 将 W i n d o w s 任 务 管 理 器 （ t a s k m g r . e x e ） 替 换 为 A l i c e ， 意 味 着 任 何 调 用 任 务 管 理 器 的 命 令 都 会 转 而 调 用 A l i c e 。 这 份 报 告 当 中 还 包 含 有 对 应 危 害 指 标 ， 以 下 为 该 恶 意 软 件 的 S H A 2 5 6 哈 希 值 ： 0 4 F 2 5 0 1 3 E B 0 8 8 D 5 E 8 A 6 E 5 5 B D B 0 0 5 C 4 6 4 1 2 3 E 6 6 0 5 8 9 7 B D 8 0 A C 2 4 5 C E 7 C A 1 2 A 7 A 7 0 B 8 0 6 3 F 1 3 2 3 A 4 A E 8 8 4 6 1 6 3 C C 6 E 8 4 A 3 B 8 A 8 0 4 6 3 B 2 5 B 9 F F 3 5 D 7 0 A 1 C 4 9 7 5 0 9 D 4 8 5 3 9 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」
（ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理