搜索

[4358] 2017-09-23_迄今最严重的国家监控行为可能出现了：ISP也是帮凶

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-09-23_迄今最严重的国家监控行为可能出现了：ISP也是帮凶 迄 今 最 严 重 的 国 家 监 控 行 为 可 能 出 现 了 ： I S P 也 是 帮 凶 原 创   E 小 编   E 安 全   2 0 1 7 - 0 9 - 2 3 E 安 全 9 月 2 3 日 讯   目 前 ， 全 球 多 国 政 府 及 相 关 机 构 已 经 开 始 利 用 臭 名 昭 著 的 间 谍 软 件 F i n i F i s h e r （ 又 称 F i n S p y ） 掀 起 新 一 波 监 控 浪 潮 。 除 了 在 技 术 层 面 有 所 改 进 之 外 ， 其 部 分 变 种 还 开 始 采 用 一 种 更 为 狡 猾 且 此 前 从 未 出 现 过 的 感 染 载 体 — — 已 经 有 诸 多 线 索 表 明 ， 各 大 主 要 互 联 网 服 务 供 应 商 （ 简 称 I S P ） 有 可 能 参 与 其 中 。 F i n F i s h e r   具 备 一 系 列 间 谍 功 能 ， 包 括 通 过 网 络 摄 像 头 与 麦 克 风 实 施 实 时 监 控 、 记 录 键 盘 输 入 内 容 以 及 文 件 提 取 等 。 但 F i n F i s h e r 与 其 它 监 控 工 具 之 间 最 大 的 区 别 仍 然 在 于 其 部 署 方 式 。 F i n F i s h e r 实 际 上 是 作 为 一 款 执 法 工 具 进 行 宣 传 的 ， 而 且 行 业 人 士 认 为 相 当 一 部 分 专 制 政 权 都 在 利 用 其 巩 固 自 身 统 治 。 维 基 解 密 曝 光 用 F i n f i s h e r 恶 意 软 件 来 窥 探 其 公 民 的 国 家 目 前 已 经 在 使 用 F i n f i s h e r 恶 意 软 件 的 其 中 七 个 国 家 发 现 了 F i n F i s h e r 的 最 新 变 种 。 F i n f i s h e r 感 染 目 标 方 式 多 样 感 染 目 标 方 式 多 样 已 知 F i n F i s h e r 利 用 到 多 种 感 染 机 制 ， 其 中 包 括 鱼 叉 式 钓 鱼 、 以 物 理 方 式 访 问 设 备 并 进 行 手 动 安 装 、 零 日 漏 洞 利 用 以 及 水 坑 攻 击 （ 预 先 感 染 目 标 可 能 访 问 的 网 站 ） ， 目 前 已 经 发 现 有 攻 击 者 利 用 这 种 方 式 传 播 F i n F i s h e r 移 动 版 。
而 作 为 一 类 更 令 人 头 痛 的 新 问 题 ， 本 轮 攻 击 浪 潮 中 攻 击 者 开 始 使 用 中 间 人 攻 击 方 式 — — 其 中 的 中 间 “ 人 ” 很 可 能 身 处 互 联 网 服 务 供 应 商 的 运 营 层 级 。 研 究 人 员 已 经 通 过 E S E T 系 统 检 测 到 有 两 个 国 家 利 用 这 种 方 式 传 播 F i n F i s h e r 间 谍 软 件 ， 但 在 其 它 的 五 个 国 家 中 ， F i n F i s h e r 仍 然 依 赖 于 传 统 感 染 载 体 。 多 款 应 用 在 传 播 多 款 应 用 在 传 播 F i n F i s h e r 目 前 ， 在 用 户 （ 被 监 控 目 标 ） 下 载 几 款 热 门 的 合 法 应 用 时 ， 会 被 重 新 定 向 至 感 染 有 F i n F i s h e r 的 应 用 版 本 处 。 被 用 于 传 播 F i n F i s h e r 的 具 体 应 用 包 括 W h a t s A p p 、 S k y p e 、 A v a s t 、 W i n R A R 以 及 V L C   P l a y e r 等 等 。 更 值 得 一 提 的 是 ， 几 乎 任 何 一 种 应 用 程 序 都 可 以 通 过 这 种 方 式 进 行 滥 用 。 当 用 户 在 合 法 网 站 上 搜 索 某 一 款 应 用 程 序 （ 已 被 感 染 ） 并 点 击 对 应 下 载 链 接 时 ， 其 浏 览 器 会 遭 到 链 接 修 改 ， 并 将 用 户 请 求 重 定 向 至 攻 击 者 在 服 务 器 上 托 管 的 “ 有 马 ” 安 装 包 处 ， F i n F I s h e r 间 谍 软 件 将 与 合 法 应 用 绑 定 在 一 起 一 并 下 载 和 执 行 。 图 一 ： 最 新 F i n F i s h e r 变 种 的 感 染 机 制 为 了 实 现 重 定 向 ， 攻 击 者 需 要 利 用 恶 意 链 接 替 换 原 本 的 合 法 下 载 链 接 。 该 恶 意 链 接 会 通 过 H T T P   3 0 7 （ 服 务 器 响 应 文 档 的 状 态 码 ） 临 时 重 定 向 状 态 响 应 代 码 影 响 用 户 的 浏 览 器 ， 不 过 整 个 重 新 定 向 流 程 会 在 用 户 不 知 情 的 状 态 下 发 生 。
图 二 ： 最 新 F i n F i s h e r 变 种 的 具 体 感 染 机 制 F i n F i s h e r ： 尽 一 切 可 能 回 避 检 测 机 制 ： 尽 一 切 可 能 回 避 检 测 机 制 F i n F i s h e r 的 这 套 最 新 版 本 在 技 术 层 面 亦 有 所 提 升 ， 其 作 者 也 更 为 关 注 隐 匿 能 力 。 这 款 间 谍 软 件 利 用 定 制 化 代 码 虚 拟 化 机 制 保 护 自 身 大 部 分 组 件 ， 包 括 其 中 的 内 核 模 式 驱 动 程 序 。 另 外 ， 整 体 代 码 皆 拥 有 反 解 析 技 术 。 我 们 还 在 这 款 间 谍 软 件 中 发 现 了 大 量 反 沙 箱 、 反 调 试 、 反 虚 拟 化 以 及 反 仿 真 等 技 术 手 段 。 这 一 切 都 令 分 析 工 作 变 得 更 为 复 杂 。 研 究 人 员 在 克 服 了 首 层 保 护 机 制 （ 防 反 汇 编 ） 后 ， 接 下 来 还 有 代 码 虚 拟 化 层 等 着 。 其 虚 拟 机 调 度 器 拥 有 3 4 款 处 理 程 序 ， 且 该 间 谍 软 件 几 乎 完 全 立 足 解 释 器 执 行 ， 这 进 一 步 增 加 了 分 析 工 作 的 处 理 难 度 。
图 三 ： 大 量 虚 拟 机 处 理 程 序 令 代 码 分 析 变 得 更 加 复 杂 研 究 人 员 表 示 将 在 之 后 的 白 皮 书 当 中 对 这 款 F i n F i s h e r 的 最 新 变 种 作 出 更 为 详 细 的 技 术 分 析 。 有 隐 私 保 护 意 识 的 用 户 更 易 被 盯 上 有 隐 私 保 护 意 识 的 用 户 更 易 被 盯 上 在 对 最 新 的 攻 击 活 动 进 行 分 析 时 ， 研 究 人 员 发 现 了 一 种 有 趣 的 现 象 ： F i n F i s h e r 间 谍 软 件 会 被 伪 装 成 一 个 名 为 “ T h r e e m a ” 的 可 执 行 文 件 。 此 类 文 件 常 见 于 关 注 隐 私 的 用 户 群 体 当 中 ， 因 为 合 法 的 T h r e e m a 应 用 程 序 负 责 通 过 端 到 端 加 密 机 制 提 供 即 时 消 息 安 全 保 护 。 但 讽 刺 的 是 ， 被 诈 骗 下 载 并 运 行 该 受 感 染 文 件 的 隐 私 用 户 反 而 会 因 此 受 到 攻 击 者 的 窥 探 。 除 了 这 种 端 到 端 通 信 工 具 ， 攻 击 者 还 为 那 些 打 算 搜 索 加 密 软 件 的 用 户 准 备 了 其 它 “ 特 别 惊 喜 ” 。 在 研 究 当 中 ， 我 们 亦 发 现 一 个 T r u e C r y p t 安 装 文 件 ， 这 款 曾 经 红 极 一 时 的 磁 盘 加 密 软 件 同 样 被 植 入 了 F i n F i s h e r 木 马 。 I S P 或 在 支 持 或 在 支 持 F i n F i s h e r 传 播 传 播 前 文 提 到 ， 攻 击 者 开 始 使 用 中 间 人 攻 击 方 式 — — 其 中 的 中 间 “ 人 ” 很 可 能 身 处 互 联 网 服 务 供 应 商 的 运 营 层 级 。 从 技 术 角 度 来 看 ， 此 类 中 间 人 攻 击 活 动 里 的 中 间 “ 人 ” 很 可 能 位 于 从 目 标 计 算 机 到 合 法 服 务 器 线 路 当 中 的 任 意 位 置 （ 例 如 被 入 侵 的 W i - F i 热 点 ） 。 然 而 根 据 E S E T 系 统 的 最 新 检 测 结 果 ， F i n F i s h e r 变 种 的 地 理 分 布 情 况 表 明 ， 相 关 中 间 人 攻 击 发 生 在 更 高 层 级 — — 这 意 味 着 其 很 可 能 得 到 了 互 联 网 服 务 供 应 商 的 支 持 。 多 个 证 据 支 持 研 究 人 员 的 这 一 观 点 多 个 证 据 支 持 研 究 人 员 的 这 一 观 点 这 样 的 假 设 也 得 到 了 其 它 一 些 事 实 的 支 持 ： 首 先 ， 根 据 维 基 解 密 发 布 的 内 部 泄 露 情 报 ， F i n F i s h e r 开 发 者 提 供 了 一 款 名 为 “ F i n F l y   I S P ” 的 解 决 方 案 ， 其 能 够 部 署 在 互 联 网 服 务 供 应 商 网 络 上 ， 从 而 执 行 以 上 提 到 的 中 间 人 攻 击 行 为 。 第 二 ， 两 个 受 影 响 国 家 都 遭 遇 到 同 样 的 感 染 技 术 （ 即 利 用 H T T P   3 0 7 进 行 重 定 向 ） — — 除 非 由 相 同 来 源 所 开 发 及 / 或 提 供 ， 否 则 不 可 能 使 用 完 全 相 同 的 技 术 手 段 。 第 三 ， 单 一 国 家 内 全 部 受 感 染 目 标 都 使 用 同 一 家 互 联 网 服 务 供 应 商 。
最 后 ， 至 少 已 经 有 一 个 受 影 响 国 家 的 互 联 网 服 务 供 应 商 使 用 同 样 的 重 定 向 方 法 与 格 式 进 行 互 联 网 内 容 过 滤 。 此 前 流 出 文 件 内 关 于 互 联 网 服 务 供 应 商 及 中 间 人 攻 击 的 部 署 事 宜 从 未 得 到 披 露 ， 但 如 今 我 们 终 于 得 以 一 窥 真 相 。 如 果 消 息 最 终 得 到 确 认 ， 那 么 F i n F I s h e r 攻 击 活 动 将 代 表 着 一 个 在 复 杂 度 与 隐 蔽 性 层 面 达 到 全 新 历 史 高 度 的 监 控 项 目 ， 其 监 控 手 段 、 监 控 范 围 都 让 人 “ 震 惊 ” 。 如 何 自 查 ？ 如 何 自 查 ？ 所 有 E S E T 产 品 都 能 够 检 测 并 阻 止 W i n 3 2 / F i n S p y . A A 以 及 W i n 3 2 / F i n S p y . A B 威 胁 。 用 户 可 以 利 用 E S E T 的 免 费 在 线 扫 描 工 具 检 查 计 算 机 是 否 受 到 感 染 。 如 果 已 经 受 到 感 染 ， 请 及 时 进 行 清 除 。 另 外 ， 已 经 安 装 了 E S E T 产 品 的 用 户 将 自 动 受 到 保 护 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 6 5 2 2 9 5 5 1 . s h t m l 相 关 阅 读 ： 监 控 摄 像 头 的 红 外 L E D 灯 可 泄 露 隔 离 网 络 数 据 维 基 解 密 曝 光 ： C I A 借 助 “ 沙 发 土 豆 ” 实 时 远 程 监 控 视 频 流 印 度 军 方 计 划 培 养 5 0 0 0 名 网 络 士 兵 ， 负 责 电 子 、 情 报 与 无 人 机 监 控 如 何 监 控 美 国 政 府 官 员 上 网 在 干 什 么 军 工 巨 头 B A E 将 尖 端 监 控 技 术 卖 到 中 东 监 控 软 件 厂 商 R e t i n a - X 和 F l e x i S p y 服 务 器 数 据 被 黑 客 删 除   客 户 数 据 丢 失
数 据 之 王 ： D a t a m i n r 如 何 利 用 数 十 亿 条 公 共 推 文 监 控 整 个 世 界 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理