搜索

[3428] 2017-01-04_2017年最牛安卓木马Switcher来袭伪装成百度客户端和WIFI万能钥匙

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-01-04_2017年最牛安卓木马Switcher来袭伪装成百度客户端和WIFI万能钥匙 2 0 1 7 年 最 牛 安 卓 木 马 S w i t c h e r 来 袭   伪 装 成 百 度 客 户 端 和 W I F I 万 能 钥 匙 原 创   E 安 全   E 安 全   2 0 1 7 - 0 1 - 0 4 E 安 全 1 月 4 日 讯   卡 巴 斯 基 安 全 研 究 人 员 发 现 一 种 专 门 面 向 A n d r o i d 手 机 的 新 型 恶 意 软 件 包 ， 并 将 其 定 名 为 S w i t c h e r 。 这 种 恶 意 软 件 可 对 受 感 染 手 机 接 入 的 任 何 W i - F i 网 络 进 行 攻 击 ， 并 尝 试 获 取 其 所 使 用 之 域 名 服 务 器 的 控 制 权 。 根 据 卡 巴 斯 基 威 胁 研 究 人 员 N i k i t a   B u h k a 发 布 的 博 文 描 述 ， 通 过 将 路 由 器 设 备 的 D N S 替 换 为 受 攻 击 者 控 制 的 恶 意 D N S — — 即 D N S 劫 持 行 为 ， 这 种 名 为 S w i t c h e r 的 恶 意 软 件 能 够 启 用 各 类 针 对 网 络 的 恶 意 攻 击 手 段 ， 或 者 阻 止 任 何 设 备 对 网 络 加 以 使 用 。 B u c h k a 称 该 恶 意 软 件 “ 非 常 特 别 。 相 较 于 攻 击 A n d r o i d 用 户 ， 其 转 而 选 择 攻 击 用 户 进 行 接 入 的 W i - F i 网 络 ， 或 者 更 确 切 地 说 ， 攻 击 用 于 提 供 网 络 服 务 的 无 线 路 由 器 。 ” 研 究 人 员 指 出 ， 他 们 已 经 发 现 了 两 款 用 于 托 管 S w i t c h e r 恶 意 软 件 的 应 用 ： 其 一 被 伪 装 成 中 文 搜 索 引 擎 百 度 的 移 动 客 户 端 其 一 被 伪 装 成 中 文 搜 索 引 擎 百 度 的 移 动 客 户 端 ;
其 二 则 是 一 款 经 过 精 心 伪 装 的 高 人 气 其 二 则 是 一 款 经 过 精 心 伪 装 的 高 人 气 W i F i 万 能 钥 匙 （ 万 能 钥 匙 （ W i F i M a s t e r ） 应 用 ， 可 用 于 在 用 户 之 间 共 享 ） 应 用 ， 可 用 于 在 用 户 之 间 共 享 W i - F i 网 络 信 息 。 网 络 信 息 。

S w i t c h e r 的 感 染 流 程 的 感 染 流 程 一 旦 攻 击 者 利 用 手 机 接 入 W i - F i 网 络 ， 该 恶 意 软 件 （ B u c h k a 将 其 称 为 一 种 木 马 ） 即 会 利 用 一 份 预 编 程 且 包 含 2 5 种 默 认 登 录 名 与 密 码 的 列 表 ‘ 在 路 由 器 的 管 理 员 W e b 界 面 中 执 行 密 码 暴 力 破 解 “ 。 该 木 马 会 执 行 以 下 具 体 操 作 ： 1 .   获 取 网 络 的 B S S I D ， 并 通 知 C & C 服 务 器 该 木 马 已 经 在 具 备 此 B S S I D 的 网 络 中 得 到 激 活 。 2 .   尝 试 获 取 I S P （ 即 互 联 网 服 务 供 应 商 ） 名 称 并 利 用 此 名 称 确 定 可 利 用 哪 台 流 氓 D N S 服 务 器 实 现 D N S 劫 持 。 其 可 利 用 三 台 潜 在 D N S 服 务 器 ， 分 别 为 1 0 1 . 2 0 0 . 1 4 7 . 1 5 3 、 1 1 2 . 3 3 . 1 3 . 1 1 与 1 2 0 . 7 6 . 2 4 9 . 5 9 。 1 0 1 . 2 0 0 . 1 4 7 . 1 5 3 作 为 默 认 选 项 ， 另 外 两 台 则 用 于 匹 配 特 定 I S P 。 3 .   利 用 以 下 预 定 义 登 录 与 密 码 词 典 进 行 暴 力 破 解 ： a d m i n ： 0 0 0 0 0 0 0 0 a d m i n ： a d m i n a d m i n ： 1 2 3 4 5 6 a d m i n ： 1 2 3 4 5 6 7 8 a d m i n ： 1 2 3 4 5 6 7 8 9 a d m i n ： 1 2 3 4 5 6 7 8 9 0 a d m i n ： 6 6 6 6 8 8 8 8 a d m i n ： 1 1 1 1 1 1 1 a d m i n ： 8 8 8 8 8 8 8 8 a d m i n ： 6 6 6 6 6 6 a d m i n ： 8 7 6 5 4 3 2 1 a d m i n ： 1 4 7 2 5 8 3 6 9 a d m i n ： 9 8 7 6 5 4 3 2 1 a d m i n ： 6 6 6 6 6 6 6 6 a d m i n ： 1 1 2 2 3 3 a d m i n ： 8 8 8 8 8 8 a d m i n ： 0 0 0 0 0 0 a d m i n ： 5 2 0 1 3 1 4 a d m i n ： 7 8 9 4 5 6 1 2 3 a d m i n ： 1 2 3 1 2 3 a d m i n ： 7 8 9 4 5 6 1 2 3 a d m i n ： 0 1 2 3 4 5 6 7 8 9 a d m i n ： 1 2 3 4 5 6 7 8 9 a a d m i n ： 1 1 2 2 3 3 4 4 a d m i n ： 1 2 3 1 2 3 1 2 3
该 木 马 会 获 取 默 认 网 关 地 址 ， 而 后 尝 试 在 内 置 浏 览 器 中 对 其 进 行 访 问 。 在 J a v a S c r i p t 的 帮 助 下 ， 其 将 尝 试 利 用 不 同 登 录 名 与 密 码 组 合 进 行 登 入 。 根 据 该 木 马 尝 试 访 问 的 硬 编 码 输 入 字 段 名 称 与 H T M L 文 件 结 构 ， 相 关 J a v a S c r i p t 代 码 仅 适 用 于 操 作 T P - L I N K   W i - F i 路 由 器 的 W e b 界 面 。 4 . 如 果 访 问 管 理 员 界 面 的 尝 试 成 功 实 现 ， 则 该 木 马 会 导 航 至 W A M 设 置 选 项 并 利 用 网 络 犯 罪 分 子 控 制 的 流 氓 D N S 作 为 主 D N S 服 务 器 ， 而 8 . 8 . 8 . 8 则 作 为 辅 助 D N S （ 即 谷 歌 D N S ， 用 以 确 保 流 氓 D N S 停 止 运 行 时 的 稳 定 性 ） 。 执 行 这 些 操 作 的 代 码 内 容 非 常 混 乱 ， 因 为 其 设 计 目 标 在 于 适 用 于 广 泛 的 路 由 器 机 型 并 以 异 步 模 式 工 作 。 不 过 研 究 院 将 通 过 W e b 界 面 中 的 屏 幕 截 图 演 示 其 代 码 执 行 过 程 与 工 作 原 理 。 5 .     如 果 D N S 地 址 被 成 功 篡 改 ， 那 么 该 木 马 会 向 C & C 服 务 器 报 告 成 功 消 息 。 “ 如 果 攻 击 成 功 ， 该 恶 意 软 件 会 在 路 由 器 设 置 中 变 更 D N S 服 务 器 地 址 ， 从 而 将 受 攻 击 W i - F i 网 络 中 来 自 各 设 备 的 全 部 D N S 查 询 路 由 至 网 络 犯 罪 分 子 的 服 务 器 处 。 ” D N S 是 一 套 能 够 使 用 户 更 方 便 的 访 问 互 联 网 ， 而 不 用 去 记 住 能 够 被 机 器 直 接 读 取 的 I P 数 串 的 系 统 ， 其 能 够 将 g o o g l e . c o m 等 直 观 网 址 翻 译 为 由 数 字 组 成 的 实 际 地 址 ， 从 而 帮 助 计 算 机 抵 达 互 联 网 上 的 正 确 位 置 。 一 般 来 讲 ， 其 工 作 原 理 如 下 所 示 ：
D N S 系 统 工 作 原 理 示 意 图 （ 来 源 ： 卡 巴 斯 基 实 验 室 ） 但 在 S w i t c h e r 清 空 路 由 器 内 用 于 查 找 D N S 的 代 码 时 ， 其 会 将 各 查 询 请 求 转 发 至 由 攻 击 方 控 制 的 恶 意 服 务 器 处 ， 这 一 流 程 的 具 体 实 施 方 式 如 下 ：
D N S 支 持 原 理 示 意 图 （ 来 源 ： 卡 巴 斯 基 实 验 室 ） 受 害 路 由 器 将 被 引 导 至 另 一 完 全 不 同 的 互 联 网 地 址 ， 并 被 迫 将 接 入 该 网 络 的 全 部 设 备 一 并 路 由 至 该 地 址 。 该 目 标 地 址 可 能 是 欲 访 问 网 站 的 假 冒 版 本 ， 其 会 保 存 用 户 输 入 的 所 有 密 码 / 登 录 名 并 将 其 发 送 给 攻 击 者 ， “ 或 者 其 只 是 一 个 随 机 网 站 ， 其 中 包 含 大 量 弹 窗 广 告 与 恶 意 软 件 等 ， ” B u c h k a 在 博 文 中 写 道 。 “ 攻 击 者 几 乎 能 够 完 全 控 制 … … 所 有 网 络 流 量 。 ” D N S 劫 持 并 非 什 么 新 鲜 事 物 ， 但 以 这 样 的 方 式 实 现 D N S 劫 持 却 非 常 少 见 。 根 据 B u c h k a 提 供 的 统 计 数 据 显 示 ， 粗 心 的 黑 客 在 其 命 令 与 控 制 服 务 器 的 开 放 区 域 留 下 了 感 染 计 数 器 ， 根 据 结 果 来 看 其 截 至 去 年 根 据 结 果 来 看 其 截 至 去 年 1 2 月 月 2 8 号 已 号 已 经 感 染 了 经 感 染 了 1 2 8 0 套 套 W i - F i 网 络 。 网 络 。 B u c h k a 在 博 文 中 写 道 ， “ 此 类 路 由 器 篡 改 行 为 带 来 的 主 要 威 胁 在 于 ， 即 使 重 新 启 动 路 由 器 ， 恶 意 设 置 仍 将 继 续 存 在 ， 且 很 难 发 现 D N S 已 经 遭 到 劫 持 。 ” 应 对 建 议 应 对 建 议 T r o j a n . A n d r o i d O S . S w i t c h e r 恶 意 软 件 并 不 会 直 接 攻 击 用 户 。 相 反 ， 其 将 矛 头 指 向 用 户 使 用 的 整 体 网 络 ， 意 味 着 该 网 络 环 境 下 的 全 部 用 户 都 交 面 临 威 胁 — — 从 网 络 钓 鱼 到 二 次 感 染 皆 可 能 发 生 。 这 种 路 由 器 设 置 篡 改 活 动 的 最 大 风 险 在 于 ， 即 使 重 新 启 动 路 由 器 ， 恶 意 设 置 也 仍 然 存 在 ， 因 此 用 户 很 难 发 现 D N S 被 劫 持 的 状 况 。 另 外 即 使 恶 意 D N S 服 务 器 被 阶 段 性 禁 用 ， 由 于 设 置 了 8 . 8 . 8 . 8 作 为 辅 助 D N S ， 用 户 及 / 或 I T 部 门 往 往 仍 然 意 识 不 到 问 题 的 存 在 。 我 们 建 议 每 一 位 用 户 检 查 自 己 的 D N S 设 置 并 与 以 下 流 氓 D N S 服 务 器 进 行 比 对 ： 1 0 1 . 2 0 0 . 1 4 7 . 1 5 3
1 1 2 . 3 3 . 1 3 . 1 1 1 2 0 . 7 6 . 2 4 9 . 5 9 如 果 您 的 D N S 设 置 中 包 含 其 中 某 一 或 某 些 服 务 器 ， 请 与 您 的 I S P 运 营 商 联 系 或 警 告 W i - F i 网 络 拥 有 者 。 卡 巴 斯 基 实 验 室 还 强 烈 建 议 用 户 对 路 由 器 管 理 员 W e b 界 面 中 的 登 录 名 及 密 码 进 行 变 更 ， 从 而 预 防 可 能 发 生 的 此 类 攻 击 行 为 。 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理