搜索

[4097] 2017-07-28_CowelSnail：针对Windows系统的新后门

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-16
2017-07-28_CowelSnail：针对Windows系统的新后门 C o w e l S n a i l ： 针 对 W i n d o w s 系 统 的 新 后 门 原 创   E 安 全 编 辑 部   E 安 全   2 0 1 7 - 0 7 - 2 8 关 注 E 安 全   关 注 网 络 安 全 一 手 资 讯 E 安 全 7 月 2 8 日 讯   上 个 月 ， 网 络 犯 罪 分 子 利 用 S a m b a   漏 洞 “ 永 恒 之 红 ” （ E t e r n a l R e d ） 或 S a m b a C r y 将 虚 拟 货 币 挖 矿 软 件 传 送 至 L i n u x 服 务 器 。 安 全 研 究 人 员 发 现 ， 这 群 网 络 犯 罪 分 子 开 发 了 一 款 针 对 W i n d o w s 系 统 的 新 后 门 — — “ C o w e l S n a i l ” 。 经 卡 巴 斯 基 实 验 室 产 品 检 测 ， 这 款 新 的 恶 意 软 件 为 B a c k d o o r . W i n 3 2 . C o w e r S n a i l ） — —   C o w e r S n a i l 使 用 的 命 令 与 控 制 （ C & C ） 服 务 器 与 S a m b a C r y   L i n u x 恶 意 软 件 相 同 ： c l . e z r e a l . s p a c e : 2 0 4 8 0 。 C o w e r S n a i l 使 用 Q t （ 跨 平 台 开 发 框 架 ） 编 写 。 安 全 专 家 认 为 ， C o w e r S n a i l 开 发 人 员 使 用 Q t 是 为 了 直 接 转 移 U n i x 代 码 ， 而 非 研 究 如 何 使 用 W i n d o w s   A P I 。 另 一 方 面 ， 虽 然 在 平 台 之 间 转 移 代 码 相 对 容 易 ， 但 Q t 使 生 成 的 文 件 更 大 。 C o w e r S n a i l 是 一 个 不 寻 常 的 恶 意 软 件 ， 通 过 Q t 编 写 。 Q t 是 开 发 跨 操 作 系 统 应 用 程 序 的 编 码 框 架 。 Q t 恶 意 软 件 并 不 新 鲜 ， 但 像 C o d e w i s e 这 类 恶 意 软 件 却 很 少 见 。 卡 巴 斯 基 公 司 的 研 究 人 员 谢 尔 盖 · 尤 拉 科 夫 斯 基 表 示 ， C o w e r S n a i l 恶 意 软 件 仅 包 含 基 本 功 能 ， 目 前 只 能 作 为 后 门 感 染 主 机 。 C o w e r S n a i l 的 主 要 功 能 是 在 被 感 染 主 机 上 执 行 成 批 命 令 。 C o w e r S n a i l 从 控 制 与 命 令 （ C & C ） 服 务 器 接 收 这 些 命 令 。 C o w e r S n a i l 和 S a m b a C r y   L i n u x 恶 意 软 件 或 同 门 C o w e r S n a i l 和 S a m b a C r y L i n u x 恶 意 软 件 使 用 的 C & C 服 务 器 相 同 ： c l . e z r e a l . s p a c e : 2 0 4 8 。 尤 拉 科 夫 斯 基 解 释 称 ， S a m b a C r y 专 门 针 对 * n i x 系 统 。 C o w e r S n a i l 使 用 Q t 编 写 ， 这 说 明 开 发 人 员 并 不 希 望 探 究 W i n A P I 细 节 ， 更 愿 意 “ 照 搬 ” * n i x 代 码 。 这 名 安 全 专 家 认 为 ， 上 述 事 实 ， 再 加 上 两 款 软 件 使 用 的 C & C 服 务 器 相 同 ， 可 以 合 理 推 测 C o w e r S n a i l 和 S a m b a C r y 漏 洞 利 用 由 同 一 组 织 开 发 。 该
组 织 创 建 了 两 个 独 立 的 木 马 ： 各 自 针 对 特 定 平 台 ， 并 且 各 具 特 点 ， 该 组 织 未 来 可 能 会 开 发 更 多 恶 意 软 件 。 C o w e r S n a i l 具 体 功 能 与 S a m b a C r y 不 同 的 是 ， C o w e r S n a i l 不 会 默 认 下 载 虚 拟 货 币 挖 矿 软 件 ， 而 是 提 供 标 准 的 后 门 功 能 ： 1 .   接 收 更 新 （ L o c a l U p d a t e ） 2 .   执 行 任 何 命 令 （ B a t c h C o m m a n d ） 3 .   安 装 C o w e r S n a i l 作 为 一 种 服 务 ， 使 用 服 务 控 制 管 理 器 （ S e r v i c e   C o n t r o l   M a n a g e r ） 命 令 行 接 口 （ I n s t a l l ） 4 .   将 C o w e r S n a i l 从 服 务 列 表 卸 载 （ U n i n s t a l l ） 5 .   收 集 系 统 信 息 ： 时 间 戳 ； 安 装 的 操 作 系 统 类 型 （ 例 如 W i n d o w s ） ； 操 作 系 统 名 称 ； 主 机 名 称 ； 网 络 接 口 名 称 ； A B I ； 核 心 处 理 器 架 构 ； 物 理 内 存 信 息 。 尤 拉 科 夫 斯 基 还 在 C o w e r S n a i l   C & C 服 务 器 流 量 中 发 现 一 些 线 索 ， 表 明 开 发 人 员 正 在 研 究 添 加 I R C 协 议 支 持 。 恶 意 软 件 开 发 人 员 通 常 会 在 I R C 通 道 中 键 入 命 令 使 用 I R C 协 议 控 制 被 感 染 的 主 机 。 基 于 I R C 的 C & C 服 务 器 通 信 通 常 用 于 僵 尸 网 络 ， 而 非 后 门 木 马 。 S a m b a C r y 漏 洞 S a m b a C r y 漏 洞 （ C V E - 2 0 1 7 - 7 4 9 4 ） 能 被 用 来 将 共 享 库 上 传 至 可 写 共 享 ， 并 导 致 服 务 器 加 载 该 共 享 库 ， 这 就 允 许 远 程 攻 击 者 在 目 标 系 统 上 执 行 任 意 代 码 。 S a m b a C r y 漏 洞 已 于 5 月 修 复 ， 影 响 几 个 厂 商 的 产 品 ， 包 括 路 由 器 和 网 络 附 加 存 储 （ N A S ） 设 备 。 事 实 上 ， T r e n d   M i c r o   7 月 初 发 现 一 款 恶 意 软 件 利 用   S a m b a C r y 漏 洞 攻 击 N A S 设 备 ， 尤 其 中 小 型 企 业 使 用 的 N A S 设 备 。 2 8 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 7 月 月  
0 1 C I A   V a u l t 7 新 文 件 曝 光 ： C I A 针 对 W i n d o w 系 统 定 制 恶 意 软 件 平 台 0 2 B l a c k   H a t   2 0 1 7 : 零 日 漏 洞 的 二 次 发 现 率 远 高 于 预 期 0 3 快 来 找 漏 洞 ！ 洋 葱 （ T o r ） 网 络 启 动 漏 洞 悬 赏 计 划 0 4 g S O A P 现 缓 冲 区 溢 出 漏 洞 - 数 千 台 物 联 网 设 备 受 影 响 【 视 频 】 0 5 L i n u x 用 户 小 心 ！ “ B a d   T a s t e ” 漏 洞 利 用 M S I 文 件 运 行 任 意 代 码 0 6 N A S 设 备 面 临 新 威 胁 ： S a m b a C r y 安 全 漏 洞 引 入 后 门 0 7 小 心 ！ M Q T T 安 全 漏 洞 影 响 能 源 行 业 及 物 联 网 设 备 安 全 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理