搜索

[4673] 2017-12-25_新型攻击：利用Excel表格启动恶意软件LokiBot

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2017-12-25_新型攻击：利用Excel表格启动恶意软件LokiBot 新 型 攻 击 ： 利 用 E x c e l 表 格 启 动 恶 意 软 件 L o k i B o t 原 创   E 安 全   E 安 全   2 0 1 7 - 1 2 - 2 5 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 2 月 2 5 日 讯   网 络 安 全 公 司 L a s t l i n e 2 0 1 7 年 1 2 月 初 发 现 一 种 利 用 O f f i c e   E x c e l 表 格 的 新 型 攻 击 技 术 ， 该 技 术 最 近 刚 扩 展 到 其 它 O f f i c e 应 用 程 序 。 研 究 人 员 发 现 一 种 新 型 恶 意 O f f i c e   E x c e l 文 件 ， 该 文 件 可 以 下 载 并 执 行 恶 意 软 件 ， 但 该 文 件 中 并 无 宏 、 s h e l l c o d e 或 者 D D E 代 码 的 蛛 丝 马 迹 ， 且 当 研 究 人 员 提 交 文 件 到 V i r u s t o t a l （ 提 供 免 费 的 可 疑 文 件 分 析 服 务 的 网 站 ） 上 扫 描 后 ， 只 有 三 款 反 病 毒 软 件 将 其 定 义 为 恶 意 ， 因 此 这 是 一 种 针 对 E x c e l 表 格 的 新 型 攻 击 技 术 。 攻 击 与 攻 击 与 P a y l o a d 当 用 户 打 开 这 个 E x c e l 文 件 时 ， 会 弹 出 一 个 对 话 框 ， 提 示 “ 需 要 更 新 工 作 簿 （ w o r k b o o k ） 中 的 外 部 链 接 ” 。 外 部 链 接 （ 外 部 链 接 （ e x t e r n a l   l i n k s ） ） 是 微 软 O f f i c e 的 一 个 功 能 ， 作 者 可 以 通 过 外 部 资 源 链 接 来 共 享 O f f i c e 文 档 ， 无 需 将 这 些 资 源 直 接 嵌 入 文 档 中 ， 这 样 可 以 使 整 个 文 档 的 体 积 更 小 ， 更 新 起 来 也 更 加 灵 活 。 从 这 个 角 度 来 看 ， 这 种 攻 击 看 起 来 与 D D E 攻 击 方 法 非 常 类 似 ， D D E 攻 击 是 最 近 比 较 流 行 的 O f f i c e 文 件 利 用 技 术 ， 通 过 微 软 的 动 态 数 据 交 换 （ D y n a m i c   D a t a   E x c h a n g e ） 功 能 来 执 行 外 部 代 码 。 一 旦 用 户 同 意 更 新 链 接 ， 该 文 档 就 会 立 即 创 建 c m d / P o w e r S h e l l 进 程 ， 该 进 程 会 下 载 并 执 行 下 一 阶 段 载 荷 （ e x e 文 件 ） ： 执 行 恶 意 软 件 。 鉴 于 只 有 三 款 软 件 检 测 到 此 类 攻 击 ， 因 此 哪 怕 扫 描 到 E x c e l 感 染 也 被 认 为 是 误 报 ， 可 能 不 会 进 一 步 调 查 或 予 以 补 救 。 研 究 人 员 确 认 后 发 现 ， E x c e l 脚 本 程 序 传 送 的 P a y l o a d 为 L o k i （ 一 款 臭 名 昭 著 的 “ 凭 证 窃 取 ” 恶 意 软 件 ） 。 ） 。
对 于 大 多 数 安 全 响 应 团 队 而 言 ， 这 是 双 重 打 击 。 首 先 ， 低 检 测 率 会 让 安 全 团 队 以 为 是 误 报 。 其 次 ， 即 使 他 们 发 现 了 L o k i ， 缓 解 方 式 常 常 被 错 误 执 行 。 当 后 续 的 威 胁 攻 击 者 使 用 泄 露 的 凭 证 取 得 未 经 授 权 的 访 问 权 并 试 图 横 向 移 动 时 ， 受 害 者 容 易 遭 遇 二 次 “ 无 恶 意 软 件 ” 攻 击 。

研 究 人 员   1 2 月 1 0 日 将 该 恶 意 E x c e l 脚 本 程 序 提 交 到 V i r u s t o t a l 扫 描 ， 1 2 天 之 后 ， 6 0 款 反 病 毒 工 具 中 有 1 2 款 软 件 将 其 检 测 为 威 胁 。 日 志 追 踪 后 发 现 名 为 “ _ o u t p u t 2 3 4 7 6 8 2 3 7 8 4 . e x e ” 的 文 件 ， 约 5 0 % 的 检 测 引 擎 将 该 文 件 识 别 为 恶 意 文 件 。 绝 大 多 数 反 病 毒 软 件 将 _ o u t p u t 2 3 4 7 6 8 2 3 7 8 4 . e x e   P a y l o a d 标 记 为 木 马 ， 这 表 明 它 是 一 个 T r o j a n . G e n e r i c   P a y l o a d 。 此 此 P a y l o a d 的 真 身 ： 的 真 身 ： L o k i B o t   行 为 智 能 （ B e h a v i o r a l   I n t e l l i g e n c e ） 进 一 步 将 存 疑 的 P a y l o a d 识 别 为 L o k i   b o t 。 图 ： L o k i 在 黑 市 的 广 告 宣 传 L o k i 的 宣 传 广 告 显 示 ， 它 能 捕 获 各 种 应 用 程 序 的 凭 证 ， 尤 其 F i r e F o x （ 4 7 % 的 被 盗 凭 证 ） 和 C h r o m e （ 4 1 % ） ， W i n d o w s 和 电 子 邮 件 凭 证 仅 占 1 % - 3 % 。
一 旦 窃 取 了 受 害 者 的 凭 证 ， L o k i 会 显 示 易 遭 遇 身 份 盗 窃 攻 击 的 网 站 ， 包 括 社 交 媒 体 网 站 、 支 付 门 户 网 站 、 比 特 币 钱 包 ， 甚 至 一 个 摩 洛 哥 政 府 登 录 页 面 。 恶 意 软 件 恶 意 软 件 L o k i B o t 由 “ B a n k B o t ” 演 变 而 来 的 恶 意 软 件 “ L o k i B o t ” ， 被 称 为 是 首 个 “ 变 形 金 刚 ” 式 的 A n d r o i d   恶 意 软 件 ， 因 为 与 其 他 银 行 劫 持 木 马 相 比 “ L o k i B o t ” 具 备 其 独 特 功 能 ， 可 以 根 据 不 同 目 标 环 境 发 起 相 应 攻 击 ， 比 如 主 动 向 用 户 设 备 发 起 界 面 劫 持 、 加 密 用 户 设 备 数 据 ， 勒 索 欺 诈 用 户 钱 财 、 建 立 s o c k s 5 代 理 和 S S H 隧 道 ， 进 行 企 业 内 网 数 据 渗 透 。   L o k i B o t 正 在 转 变 为 勒 索 软 件 ， 破 译 用 户 数 据 、 盗 取 用 户 联 系 人 、 读 取 和 发 送 手 机 短 信 ， 甚 至 还 会 导 致 用 户 无 法 正 常 使 用 手 机 。 “ L o k i B o t ” 传 播 途 径 通 过 恶 意 网 站 推 送 虚 假 的 “ A d o b e   F l a s h   P l a y e ” 、 “ A P K   I n s t a l l e r ” 、 “ S y s t e m   U p d a t e ” 、 “ A d b l o c k ” 、 “ S e c u r i t y C e r t i f i c a t e ” 等 应 用 更 新 ， 诱 导 用 户 安 装 。 目 前 ， 恶 意 软 件 L o k i B o t 正 以 2 0 0 0 比 特 币 的 价 格 在 暗 网 上 销 售 ， 其 背 后 的 网 络 犯 罪 已 获 取 超 过 1 5 0 万 比 特 币 收 入 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 7 3 7 0 0 6 6 0 7 . s h t m l 推 荐 阅 读 ： 俄 黑 客 组 织 A P T 2 8 利 用 “ 新 闻 事 件 ” 频 繁 发 起 D D E 攻 击 O f f i c e   D D E 攻 击 对 O u t l o o k 同 样 有 效
网 络 战 ？ 工 控 恶 意 软 件 “ T R I T O N ” 袭 击 、 工 厂 停 运 安 卓 手 机 小 心 ！ 恶 意 软 件 G n a t S p y 盯 上 了 你 的 数 据 国 内 安 卓 用 户 小 心 ！ 恶 意 软 件 Z N I U 用 “ 脏 牛 漏 洞 ” R o o t 安 卓 设 备 ， 植 入 后 门 世 界 上 影 响 最 广 的 恶 意 软 件 N e c u r s 又 更 新 了 恶 意 软 件 “ E X P E N S I V E W A L L ” 感 染 数 百 万 台 安 卓 设 备 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理