搜索

[3709] 2017-04-08_垃圾邮件攻击：加密Word文档安装Ursnif键盘记录器

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-16
2017-04-08_垃圾邮件攻击：加密Word文档安装Ursnif键盘记录器 垃 圾 邮 件 攻 击 ： 加 密 W o r d 文 档 安 装 U r s n i f 键 盘 记 录 器 原 创   E 安 全   E 安 全   2 0 1 7 - 0 4 - 0 8 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 4 月 8 日 讯   近 日 ， 国 外 又 一 波 垃 圾 邮 件 攻 击 活 动 来 袭 。 受 害 者 收 到 一 封 冒 充 按 要 求 提 供 发 票 的 电 子 邮 件 ， 其 中 包 含 一 个 设 置 密 码 保 护 的 加 密 W o r d 文 档 附 件 。 这 些 密 码 保 护 W o r d 文 档 包 含 嵌 入 式 V B S c r i p t 文 件 ， 而 这 份 文 件 将 下 载 并 安 装 U r s n i f 键 盘 记 录 器 。 W o r d 文 档 设 置 了 密 码 保 护 时 ， 也 就 成 为 了 加 密 文 件 。 恶 意 软 件 传 播 者 希 望 通 过 发 送 这 类 加 密 W o r d 文 档 以 躲 避 安 全 软 件 检 测 。 垃 圾 电 子 邮 件 内 容 还 提 供 了 接 收 人 需 要 用 来 打 开 附 件 的 密 码 ， 如 下 图 ： 当 打 开 附 件 时 ， 用 户 会 被 要 求 输 入 密 码 ， 如 下 图 ：
一 旦 用 户 输 入 密 码 ， 就 会 出 现 一 个 W o r d 文 档 ， 其 中 包 含 三 个 其 它 的 嵌 入 式 文 件 。
如 果 用 户 点 击 这 些 附 件 ， 但 是 并 不 是 普 通 的 打 开 方 式 ， 要 求 运 行 V B S c r i p t 文 件 ， 如 下 图 ：
如 果 用 户 继 续 点 击 打 开 按 钮 ， 文 件 将 会 启 动 脚 本 ， 将 一 个 D L L 下 载 到 % A p p D a t a % 文 件 夹 ， 并 安 装 U r s n i f 键 盘 记 录 器 。
一 旦 U r s n i f 安 装 就 绪 ， 就 会 自 动 创 建 % U s e r P r o f i l e % A p p D a t a R o a m i n g M i c r o s o f t C r y p l A P I a e e v t a l l . d l l ， 并 自 动 运 行 将 D L L 复 制 到 该 目 录 下 ， 在 登 录 时 加 载 D L L 。 自 动 运 行 如 下 ： 一 旦 启 动 ， U r s n i f 将 会 记 录 受 害 者 的 击 键 、 打 开 的 程 序 、 创 建 的 文 件 和 复 制 到 W i n d o w s 剪 贴 板 的 数 据 ， 并 将 这 些 数 据 保 存 到 % T e m p % 文 件 夹
中 的 日 志 文 件 。 这 些 日 志 文 件 将 以 . b i n 结 尾 的 扩 展 名 被 随 机 命 名 。 例 如 ， 日 志 文 件 可 能 被 命 名 为 j a 7 1 . b i n 。 这 些 文 件 实 际 上 是 可 以 提 取 的 档 案 文 档 ， 以 查 看 将 发 送 到 T O R 服 务 器 （ 恶 意 软 件 开 发 人 员 控 制 的 ） 的 数 据 。 常 规 邮 件 中 的 病 毒 特 点 是 以 破 坏 为 主 常 规 邮 件 中 的 病 毒 特 点 是 以 破 坏 为 主 1 、 感 染 速 度 快 、 感 染 速 度 快 在 单 机 环 境 下 ， 病 毒 只 能 通 过 U 盘 或 光 盘 等 介 质 ， 从 一 台 计 算 机 传 染 到 另 一 台 ， 而 在 网 络 中 、 则 可 以 通 过 诸 如 电 子 邮 件 这 样 的 网 络 通 讯 机 制 进 行 迅 速 扩 散 。 根 据 测 定 ， 针 对 一 台 典 型 的 P C 网 络 在 正 常 使 用 情 况 ， 只 要 有 一 台 工 作 站 有 病 毒 ， 就 可 在 几 十 分 钟 内 将 网 上 的 数 百 台 计 算 机 全 部 感 染 。 2 、 扩 散 面 广 、 扩 散 面 广 由 于 电 子 邮 件 不 仅 仅 在 单 个 企 业 内 部 传 播 ， 这 直 接 致 使 “ 邮 件 病 毒 ” 的 扩 散 不 仅 快 ， 而 且 扩 散 范 围 很 大 ， 不 但 能 迅 速 传 染 局 域 网 内 所 有 计 算 机 ， 还 能 通 过 将 病 毒 在 一 瞬 间 传 播 到 千 里 之 外 。 3 、 清 除 病 毒 困 难 、 清 除 病 毒 困 难 单 机 上 的 计 算 机 病 毒 有 时 可 通 过 删 除 带 毒 文 件 ， 格 式 化 硬 盘 等 措 施 将 病 毒 彻 底 清 除 。 而 企 业 中 的 计 算 机 一 旦 感 染 了 病 毒 ， 清 除 病 毒 变 得 非 常 困 难 ， 刚 刚 完 成 清 除 工 作 的 计 算 机 就 有 可 能 被 网 络 中 另 一 台 带 毒 工 作 站 所 感 染 ， 使 得 邮 件 病 毒 变 得 非 常 困 难 了 。 4 、 破 坏 性 大 、 破 坏 性 大 网 络 中 的 计 算 机 感 染 了 邮 件 病 毒 之 后 ， 将 直 接 影 响 网 络 的 工 作 ， 轻 则 降 低 速 度 ， 影 响 工 作 效 率 ， 重 则 使 网 络 及 计 算 机 崩 溃 ， 资 料 丢 失 。 5 、 隐 蔽 性 、 隐 蔽 性 邮 件 病 毒 与 其 他 病 毒 相 比 ， 更 隐 蔽 。 一 般 来 说 ， 邮 件 病 毒 通 常 是 隐 蔽 在 邮 件 的 附 件 中 ， 或 者 是 邮 件 的 信 纸 中 ， 这 一 定 程 度 上 会 加 速 病 毒 的 泛 滥 ， 也 增 加 了 查 杀 病 毒 的 难 度 。 常 规 的 邮 件 中 的 病 毒 更 偏 向 于 破 坏 用 户 数 据 或 者 正 常 秩 序 ， 随 着 黑 客 技 术 的 不 断 提 升 以 及 人 们 在 互 联 网 、 物 联 网 等 关 联 性 的 不 断 复 杂 ， 个 人 数 据 越 来 越 具 有 利 用 价 值 ， 电 子 邮 件 中 的 “ 病 毒 ” 形 式 也 在 不 断 变 化 ， U r s n i f 键 盘 记 录 器 更 倾 向 是 一 个 间 谍 ， 时 刻 监 视 着 用 户 。
E 安 全 小 编 在 此 提 醒 大 家 ， 虽 然 邮 件 安 全 小 编 在 此 提 醒 大 家 ， 虽 然 邮 件 “ 病 毒 病 毒 ” 形 式 日 新 月 异 ， 谨 慎 使 用 电 子 邮 件 仍 然 可 以 帮 您 有 效 避 免 这 类 网 络 攻 击 。 形 式 日 新 月 异 ， 谨 慎 使 用 电 子 邮 件 仍 然 可 以 帮 您 有 效 避 免 这 类 网 络 攻 击 。 常 规 电 子 邮 件 安 全 措 施 ： 1 、 电 子 邮 件 密 码 要 有 基 本 的 复 杂 度 ： 至 少 设 置 8 位 以 上 ， 包 括 数 字 、 特 殊 符 号 、 大 小 写 字 母 。 2 、 不 打 开 陌 生 人 （ 未 知 ） 发 送 的 电 子 邮 件 ： 不 要 点 击 陌 生 人 发 送 的 邮 件 中 的 附 件 ， 不 要 相 信 天 上 掉 馅 饼 的 事 情 。 3 、 借 助 杀 毒 软 件 ： 在 下 载 附 件 的 时 候 自 动 进 行 病 毒 查 杀 。 4 、 如 果 发 送 者 是 认 识 的 人 ， 若 被 要 求 启 动 宏 或 执 行 一 些 奇 怪 的 操 作 ， 最 好 与 发 送 者 确 认 邮 件 是 否 由 本 人 发 送 。 E 安 全 注 ： 本 文 系 安 全 注 ： 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理