搜索

[462] 2015-04-02_基于社交媒体传播的僵尸网络—Koobface简析

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-16
2015-04-02_基于社交媒体传播的僵尸网络—Koobface简析 基 于 社 交 媒 体 传 播 的 僵 尸 网 络 — K o o b f a c e 简 析 M u q q   A r k T e a m   2 0 1 5 - 0 4 - 0 2 0 x 0 1   K o o b f a c e 僵 尸 网 络 简 介 僵 尸 网 络 简 介 关 于 K o o b f a c e 的 分 析 报 道 最 早 出 现 于 2 0 0 8 年 8 月 ， 它 活 跃 于 2 0 0 9 - 2 0 1 0 年 期 间 ， 被 认 为 是 第 一 个 利 用 社 交 网 络 被 认 为 是 第 一 个 利 用 社 交 网 络 平 台 进 行 传 播 且 获 得 成 功 的 僵 尸 网 络 平 台 进 行 传 播 且 获 得 成 功 的 僵 尸 网 络 。 其 攻 击 目 标 是 拥 有 诸 如 F a c e b o o k 、 T w i t t e r 、 M y s p a c e 等 社 交 网 站 账 号 的 个 人 用 户 ， 目 标 系 统 为 W i n d o w s 系 列 操 作 系 统 ， 其 名 字 由 来 是 攻 击 目 标 之 一 、 著 名 社 交 网 站 F a c e b o o k 的 颠 倒 。 受 害 用 户 主 要 分 布 在 北 美 和 欧 洲 地 区 。 攻 击 者 通 过 K o o b f a c e 可 以 实 现 广 告 推 送 、 恶 意 软 件 付 费 安 装 、 用 户 信 息 窃 取 ， 进 而 牟 取 暴 利 （ 2 0 0 9 年 获 利 约 2 0 0 万 美 元 ） 。 0 x 0 2   感 染 方 式 感 染 方 式 K o o b f a c e 通 过 社 工 的 方 式 进 行 传 播 。 具 体 地 ， 通 过 社 工 的 方 式 进 行 传 播 。 具 体 地 ， K o o b f a c e 利 用 社 交 网 络 平 台 发 布 恶 意 视 频 链 接 ， 诱 骗 用 户 利 用 社 交 网 络 平 台 发 布 恶 意 视 频 链 接 ， 诱 骗 用 户 点 击 并 安 装 恶 意 插 件 从 而 感 染 成 为 僵 尸 主 机 。 点 击 并 安 装 恶 意 插 件 从 而 感 染 成 为 僵 尸 主 机 。 如 图 1 所 示 ， 首 先 ， 攻 击 者 会 事 先 注 册 若 干 b l o g s p o t   /   b i t . l y 账 号 ， 同 时 准 备 好 一 批 被 劫 持 和 篡 改 的 网 站 页 面 。 准 备 完 毕 后 ，   K o o b f a c e 会 利 用 已 感 染 用 户 的 社 交 账 号 进 行 恶 意 链 接 的 发 布 和 推 送 （ 第 一 阶 段 ） ， 该 链 接 指 向 攻 击 者 准 备 的 恶 意 b l o g s p o t   /   b i t . l y 链 接 （ 第 二 阶 段 ） ， 当 用 户 点 击 访 问 社 交 账 号 上 发 布 的 链 接 时 首 先 会 跳 转 到 b l o g s p o t   /   b i t . l y 中 的 恶 意 链 接 ， 接 着 b l o g s p o t   /   b i t . l y 的 链 接 将 会 把 请 求 重 定 向 到 被 劫 持 和 篡 改 的 网 页 （ 第 三 阶 段 ） ， 通 过 页 面 的 J S 脚 本 再 一 次 将 用 户 请 求 重 定 向 到 最 终 目 的 地 - - - - 恶 意 视 频 页 面 （ 第 四 阶 段 ） 。 图 1   K o o b f a c e 感 染 流 程 该 页 面 风 格 模 仿 Y o u t u b e 或 F a c e b o o k   v i d e o ， 如 果 用 户 点 击 观 看 视 频 时 ， 网 页 会 弹 框 提 示 用 户 缺 少 视 频 播 放 插 件 ， 需 要 下 载 安 装 （ 图 2 ） ， 该 插 件 包 含 恶 意 可 执 行 程 序 （ D o w n l o a d e r ） ， 一 旦 安 装 之 后 将 会 感 染 受 害 主 机 并 进 行 功 能 模 块 的 下 载 。
图 2   恶 意 视 频 页 面 0 x 0 3 .   功 能 特 性 功 能 特 性 感 染 之 后 ， K o o b f a c e 程 序 会 根 据 本 机 c o o k i e 判 断 用 户 所 使 用 的 社 交 网 站 类 型 （ 如 F a c e b o o k 、 T w i t t e r 、 M y S p a c e 等 ） ， 如 果 没 有 找 到 相 关 信 息 会 进 行 自 删 除 ； 否 则 K o o b f a c e 程 序 会 与 C & C 服 务 器 通 信 ， 请 求 下 载 对 应 传 播 模 块 以 及 其 他 功 能 模 块 。 K o o b f a c e 主 要 功 能 包 括 以 下 几 个 方 面 ： 利 用 社 交 网 站 传 播 利 用 社 交 网 站 传 播 K o o b f a c e 程 序 利 用 本 机 中 社 交 网 站 认 证 c o o k i e 进 行 登 录 ， 在 其 个 人 主 页 上 发 布 带 有 恶 意 链 接 的 状 态 ， 诱 骗 其 好 友 点 击 进 而 安 装 插 件 进 行 感 染 。 同 时 ， 该 模 块 也 会 通 过 私 信 的 方 式 主 动 向 该 用 户 的 好 友 推 送 恶 意 链 接 （ 图 3 ） 。 图 3   被 感 染 的 账 户 发 布 带 有 恶 意 链 接 的 状 态 本 机 本 机 D N S 劫 持 劫 持 K o o b f a c e 将 用 户 访 问 的 正 常 网 站 解 析 到 钓 鱼 网 站 ， 同 时 屏 蔽 杀 毒 软 件 公 司 的 域 名 。 信 息 窃 取 信 息 窃 取
收 集 受 害 主 机 的 系 统 信 息 、 用 户 登 录 证 书 （ F T P 、 E m a i l 、 I M 等 ） 、 受 害 者 社 交 账 号 信 息 （ 地 理 位 置 、 生 日 、 爱 好 等 ） 以 及 信 用 卡 卡 号 ， B a s e 6 4 编 码 后 回 传 至 C & C 服 务 器 （ 图 4 ） 。 图 4   信 息 回 传 数 据 劫 持 用 户 搜 索 劫 持 用 户 搜 索 当 用 户 点 击 搜 索 引 擎 返 回 的 查 询 结 果 时 ， 对 原 合 法 网 站 的 请 求 将 会 被 重 定 向 到 恶 意 网 站 ， 同 时 ， 如 图 5 所 示 ， 这 些 恶 意 网 站 将 会 向 用 户 推 送 安 装 虚 假 杀 毒 软 件 （ 假 装 警 告 用 户 机 器 中 毒 ， 需 要 安 装 杀 毒 软 件 ） 。 图 5   诱 骗 用 户 安 装 虚 假 杀 毒 软 件 W e b   S e r v e r 受 害 主 机 充 当 K o o b f a c e 的 C & C 服 务 器 ， 也 可 能 用 于 搭 建 传 播 所 需 的 恶 意 视 频 网 站 。 C A P T C H A B R E A K E R 为 了 实 现 b l o g s p o t   /   b i t . l y 账 号 的 自 动 化 注 册 （ 服 务 于 感 染 ） ， K o o b f a c e 需 要 识 别 C A P T C H A 验 证 码 ， 因 此 ， 控 制 者 设 计 该 功 能 模 块 让 用 户 “ 帮 忙 ” 识 别 验 证 码 。 如 下 图 所 示 ， 当 受 害 主 机 接 受 到 破 解 C A P T C H A 任 务 后 将 会 弹
出 倒 计 时 对 话 框 ， 提 示 用 户 在 剩 余 时 间 内 输 入 图 片 中 的 验 证 码 ， 否 则 将 自 动 关 机 。 然 而 ， 即 使 是 时 间 结 束 ， 受 害 主 机 也 不 会 执 行 重 启 ， 而 且 K o o b f a c e 程 序 并 不 会 对 验 证 码 的 正 确 性 进 行 校 验 ， 只 是 对 字 符 个 数 进 行 简 单 判 别 后 便 回 传 给 了 C & C 服 务 器 。 图 6   C A P T C H A   B R E A K E R 界 面 除 了 以 上 功 能 之 外 ， K o o b f a c e 还 具 备 P P I （ p a y - p e r - i n s t a l l ） 模 式 安 装 恶 意 软 件 、 点 击 欺 诈 、 广 告 推 送 、 更 新 等 功 能 。 0 x 0 4   小 结 小 结 尽 管 多 家 安 全 公 司 、 社 交 网 站 都 在 极 力 封 杀 K o o b f a c e ， 但 幕 后 的 操 纵 者 们 仍 在 通 过 通 信 内 容 加 密 、 添 加 I P 黑 名 单 、 添 加 中 间 代 理 、 变 换 社 交 账 号 及 域 名 等 手 段 与 安 全 研 究 人 员 展 开 着 持 久 的 对 抗 ， 继 续 利 用 K o o b f a c e 疯 狂 牟 取 不 义 之 财 。 也 许 有 一 天 K o o b f a c e 终 将 会 消 亡 ， 但 在 当 今 W e b 2 . 0 发 展 的 背 景 下 ， 它 利 用 社 交 媒 体 传 播 、 通 过 P P I 、 P P C （ p a y - p e r - c l i c k ） 业 务 盈 利 的 特 性 注 定 会 成 为 僵 尸 网 络 发 展 史 上 的 一 个 烙 印 。 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m 2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理