搜索

[4157] 2017-08-10_黑客利用Windows的新后门攻击俄罗斯企业

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-16
2017-08-10_黑客利用Windows的新后门攻击俄罗斯企业 黑 客 利 用 W i n d o w s 的 新 后 门 攻 击 俄 罗 斯 企 业 原 创   E 安 全 编 辑 部   E 安 全   2 0 1 7 - 0 8 - 1 0 关 注 E 安 全   关 注 网 络 安 全 一 手 资 讯 E 安 全 8 月 1 0 日 讯   T r e n d   M i c r o （ 趋 势 科 技 ） 发 文 称 ， 一 起 针 对 俄 罗 斯 企 业 的 恶 意 电 子 邮 件 攻 击 活 动 活 跃 至 少 两 个 月 ， 恶 意 分 子 利 用 基 于 W i n d o w s 的 新 后 门 发 起 攻 击 。 这 起 攻 击 依 赖 各 种 漏 洞 利 用 和 W i n d o w s 组 件 运 行 恶 意 脚 本 ， 以 加 重 检 测 和 防 御 难 度 。 2 0 1 7 年 6 月 6 日 V i r u s T o t a l 收 到 攻 击 的 最 早 样 本 。 6 月 2 3 日 至 7 月 2 7 日 ， T r e n d   M i c r o 发 现 5 起 垃 圾 邮 件 活 动 。 专 家 认 为 ， 这 起 攻 击 活 动 将 会 持 续 。 T r e n d   M i c r o 表 示 ， 攻 击 目 标 包 括 金 融 机 构 （ 例 如 银 行 ） 和 矿 业 公 司 。 T r e n d   M i c r o 的 研 究 人 员 注 意 到 ， 攻 击 者 发 送 不 同 的 针 对 性 电 子 邮 件 将 策 略 多 样 化 。 电 子 邮 件 是 社 会 工 程 诱 饵 一 大 特 色 ， 由 于 其 散 布 范 围 受 限 ， 因 此 被 用 来 实 施 鱼 叉 式 网 络 钓 鱼 攻 击 。 恶 意 邮 件 活 动 如 何 发 起 攻 击 这 些 看 似 来 自 销 售 与 开 票 部 门 的 电 子 邮 件 实 则 包 含 恶 意 富 文 本 格 式 （ R T F ） 文 件 ， 该 文 件 正 是 利 用 了 M i c r o s o f t   O f f i c e   W i n d o w s 对 象 链 接 与 嵌 入 （ O L E ） 接 口 中 的 漏 洞 C V E - 2 0 1 7 - 0 1 9 9 ， 该 漏 洞 已 于 4 月 修 复 ， 但 C o b a l t 和 C o p y K i t t e n s 等 攻 击 者 仍 在 滥 用 该 漏 洞 ， 前 端 时 间 的 P e t y a 勒 索 病 毒 也 是 利 用 的 该 漏 洞 。 一 旦 执 行 漏 洞 利 用 代 码 ， 便 会 下 载 内 嵌 恶 意 J a v a S c r i p t   的 虚 假 X L S 文 件 。 一 旦 打 开 X L S 文 件 ，   x c e l 文 件 头 会 被 忽 略 ，   W i n d o w s 组 件 m s h t a . e x e 会 将 该 文 件 视 作 H T M L 应 用 程 序 文 件 。 J a v a S c r i p t 代 码 会 调 用 o d b c c o n f . e x e 正 常 可 执 行 文 件 ， 此 文 件 会 执 行 各 种 与 M i c r o s o f t 数 据 访 问 组 件 （ M i c r o s o f t   D a t a   A c c e s s   C o m p o n e n t s ） 有 关 的 任 务 ， 以 此 运 行 D L L 。 一 经 执 行 ， D L L 会 在 % A P P D A T A % 文 件 夹 内 丢 下 一 个 文 件 ， 并 附 加 . T X T 扩 展 名 ， 虽 然 这 是 一 个 用 来 声 明 变 量 、 定 义 表 达 式 并 在 网 页 中 添 加 功 能 代 码 的 S C T 文 件 （ W i n d o w s 脚 本 小 程 序 ） ， 但 却 带 有 恶 意 的 混 淆 J a v a S c r i p t 。 D L L 会 调 用 R e g s v r 3 2 （ M i c r o s o f t 注 册 服 务 器 ） 命 令 行 公 用 程 序 执 行 特 定 参 数 。
S q u i b l y d o o 首 次 与 首 次 与 o d b c c o n f . e x e 结 合 结 合 以 上 这 种 攻 击 方 法 也 被 称 为 “ S q u i b l y d o o ” 。 即 滥 用 R e g s v r 3 2 绕 过 运 行 脚 本 上 的 限 制 ， 躲 避 应 用 程 序 白 名 单 保 护 。 越 南 黑 客 组 织 A P T 3 2 先 前 就 曾 利 用 这 种 方 法 发 起 攻 击 。 T r e n d   M i c r o 指 出 ， 虽 然 S q u i b l y d o o 是 已 知 的 攻 击 途 径 ， 但 与 o d b c c o n f . e x e 结 合 使 用 还 是 首 次 。 接 下 来 ， 从 域 名 w e c l o u d [ . ] b i z 下 载 的 另 一 个 X M L 文 件 便 会 执 行 命 令 。 这 个 X M L 文 件 是 这 起 攻 击 使 用 的 主 要 后 门 ， 使 用 相 同 的 R e g s v r 3 2 滥 用 S q u i b l y d o o 攻 击 技 术 加 以 执 行 。 该 后 门 是 一 个 带 有 混 淆 J a v a S c r i p t 代 码 的 S C T 文 件 ， 支 持 执 行 命 令 ， 允 许 攻 击 者 接 管 被 感 染 的 系 统 。 这 个 后 门 设 法 连 接 到 h x x p s : / / w e c l o u d [ . ] b i z / m a i l / a j a x [ . ] p h p 的 命 令 与 控 制 （ C & C ） 服 务 器 ， 并 检 索 任 务 。 这 款 恶 意 软 件 可 以 根 据 接 收 的 命 令 下 载 并 执 行 P o r t a b l e   E x e c u t a b l e （ P E ） 文 件 ， 删 除 文 件 / 启 动 条 目 并 终 止 、 下 载 额 外 的 / 新 脚 本 ， 运 行 新 脚 本 并 终 止 当 前 脚 本 ， 或 运 行 S h e l l 命 令 。 T r e n d   M i c r o 指 出 ， 虽 然 感 染 链 的 后 续 步 骤 要 求 使 用 各 种 W i n d o w s 组 件 ， 但 切 入 点 仍 包 含 使 用 M i c r o s o f t   O f f i c e 漏 洞 。 用 户 可 以 通 过 打 补 丁 、 更 新 软 件 预 防 这 种 攻 击 威 胁 ， 或 使 用 防 火 墙 、 入 侵 检 测 与 防 御 系 统 、 虚 拟 补 丁 和 U R L 分 类 等 方 式 ， 此 外 还 应 实 施 强 有 力 的 补 丁 管 理 政 策 以 减 少 系 统 的 攻 击 面 。 1 0 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 8 月 月   0 1 银 行 大 盗 C a r b a n a k “ 武 器 库 ” 新 后 门 : “ B a t e l e u r ” 0 2 核 安 全 ： 核 辐 射 监 测 器 发 现 后 门 账 户 等 多 项 漏 洞 0 3 C o w e l S n a i l ： 针 对 W i n d o w s 系 统 的 新 后 门 0 4 N A S 设 备 面 临 新 威 胁 ： S a m b a C r y 安 全 漏 洞 引 入 后 门 0 5 澳 大 利 亚 政 府 ： 好 人 用 的 “ 后 门 ” 不 叫 “ 后 门 ” 0 6 网 络 间 谍 组 织 “ 海 莲 花 ” 打 造 全 新 M a c O S 后 门 程 序 0 7 五 眼 情 报 联 盟 下 月 将 商 讨 如 何 “ 合 理 合 法 开 后 门 ”
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理