搜索

[9303] 2015-09-02_师傅：攻击14家日本银行的“大师级”新型银行木马

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-17
2015-09-02_师傅：攻击14家日本银行的“大师级”新型银行木马 师 傅 ： 攻 击 1 4 家 日 本 银 行 的 “ 大 师 级 ” 新 型 银 行 木 马 F r e e B u f   2 0 1 5 - 0 9 - 0 2 一 种 新 型 高 级 的 银 行 木 马 被 一 种 新 型 高 级 的 银 行 木 马 被 I B M 安 全 团 队 安 全 团 队 X - F o r c e 发 现 并 命 名 为 发 现 并 命 名 为 “ 师 傅 师 傅 ” ( S h i f u ) 。 该 木 马 直 到 。 该 木 马 直 到 2 0 1 5 年 年 4 月 被 发 现 前 一 直 很 月 被 发 现 前 一 直 很 活 跃 。 活 跃 。 I B M 的 反 欺 诈 平 台 通 过 对 全 世 界 的 客 户 终 端 进 行 监 测 保 护 才 挖 掘 出 此 木 马 。 的 反 欺 诈 平 台 通 过 对 全 世 界 的 客 户 终 端 进 行 监 测 保 护 才 挖 掘 出 此 木 马 。 “ 师 傅 师 傅 ” 目 前 针 对 日 本 目 前 针 对 日 本 1 4 家 银 行 和 家 银 行 和 整 个 欧 洲 的 电 子 银 行 平 台 。 然 而 ， 现 在 只 有 发 现 了 针 对 日 本 的 主 动 攻 击 行 为 。 整 个 欧 洲 的 电 子 银 行 平 台 。 然 而 ， 现 在 只 有 发 现 了 针 对 日 本 的 主 动 攻 击 行 为 。 由 于 “ 师 傅 ” 展 现 了 其 能 力 ， 因 此 被 视 为 一 个 高 度 复 杂 的 银 行 木 马 。 我 们 的 分 析 表 明 ， 此 恶 意 软 件 的 功 能 和 模 块 是 从 其 他 一 些 已 经 开 源 的 银 行 木 马 ， 包 括 S h i z 、 G o z i 、 Z e u s 和 D r i d e x 借 鉴 而 来 的 ， 使 其 变 成 一 个 东 拼 西 凑 的 强 大 木 马 。 网 络 犯 罪 的 新 面 孔 网 络 犯 罪 的 新 面 孔 “ 师 傅 ” 木 马 是 一 个 新 的 怪 兽 ， 但 它 的 内 部 运 行 机 制 并 不 陌 生 ， 该 恶 意 软 件 来 自 于 其 他 臭 名 昭 著 的 犯 罪 软 件 的 代 码 和 一 些 已 经 被 使 用 的 真 实 的 木 马 运 行 机 制 。 看 来 ， “ 师 傅 ” 木 马 的 内 部 构 成 是 由 一 个 非 常 熟 悉 并 精 通 其 他 银 行 恶 意 软 件 的 人 所 编 写 的 ， 最 后 将 它 打 造 成 一 个 从 一 些 更 恶 毒 的 功 能 中 选 择 而 组 成 的 木 马 。 一 些 类 似 的 案 例 如 下 ： 一 些 类 似 的 案 例 如 下 ： 1 . 域 名 生 成 算 法 ( D G A ) ： “ 师 傅 ” 使 用 了 S h i z 木 马 的 D G A ， 已 泄 漏 的 算 法 很 容 易 在 网 上 找 到 ， “ 师 傅 ” 的 开 发 者 在 隐 藏 的 僵 尸 网 络 中 使 用 这 个 算 法 生 成 随 机 的 域 名 。 2 . 盗 取 银 行 的 应 用 程 序 ： 通 过 J a v a   a p p l e t s 程 序 盗 取 密 码 和 认 证 令 牌 文 件 ， 用 户 证 书 密 钥 以 及 敏 感 的 数 据 是 “ 师 傅 ” 的 主 要 机 制 之
一 。 这 种 作 案 手 法 在 C o r c o w 和 S h i z 木 马 中 使 用 过 。 这 两 种 木 马 利 用 这 种 机 制 瞄 准 了 俄 罗 斯 和 乌 克 兰 的 银 行 业 务 应 用 。 3 . 反 杀 软 ： “ 师 傅 ” 利 用 的 字 符 串 混 淆 和 反 调 试 技 术 取 自 Z e u s   V M ， 包 括 a n t i - V M 和 禁 用 安 全 工 具 和 s a n d b o x 。 4 . 隐 身 术 ： “ 师 傅 ” 的 隐 身 技 术 部 分 是 取 自 唯 一 采 用 过 此 技 术 的 G o i z / I S F B 木 马 。 在 W i n d o w s 文 件 系 统 中 ， 它 依 旧 使 用 了 和 G o i z 完 全 一 样 的 命 令 执 行 计 划 。 5 . 配 置 ： “ 师 傅 ” 木 马 采 用 了 类 似 于 D r i d e x 木 马 的 配 置 技 术 ， 使 用 了 X M L 格 式 的 配 置 文 件 ， 这 对 木 马 来 说 并 不 是 常 见 的 格 式 。 6 . 擦 除 系 统 还 原 ： “ 师 傅 ” 木 马 在 受 感 染 的 主 机 上 擦 除 了 本 地 系 统 的 还 原 点 ， 这 种 技 术 类 似 于 流 行 于 2 0 0 9 年 的 C o n f i c k e r 蠕 虫 。 在 更 小 的 技 术 方 面 ， “ 师 傅 ” 通 过 使 用 自 签 名 的 证 书 技 术 并 建 立 一 个 H T T P S 进 行 安 全 通 信 ， 不 过 这 个 有 点 像 D y r e 木 马 。 另 外 ， “ 师 傅 ” 还 具 备 一 些 附 加 的 模 块 ， 这 些 是 由 它 所 连 接 的 C & C 服 务 器 补 充 的 。 最 初 的 安 装 包 有 如 下 特 性 ： 最 初 的 安 装 包 有 如 下 特 性 ： a n t i - r e s e a c h ， a n t i - V M 和 a n t i - s a n d b o x ； H O O K   浏 览 器 和 w e b   注 入 解 析 器 ； 键 盘 记 录 ； 屏 幕 截 图 ； 证 书 采 集 ； 端 点 分 类 ， 监 控 感 兴 趣 的 应 用 程 序 ； 远 程 控 制 和 b o t - c o n t r o l 模 块 。 找 到 它 的 全 部 找 到 它 的 全 部 对 于 被 定 为 高 级 的 银 行 木 马 ， 通 常 需 要 具 备 各 种 实 时 监 控 和 端 点 控 制 和 感 染 的 功 能 。 包 括 R D P / V N C 来 进 行 用 户 级 别 的 控 制 。 “ 师 傅 ” 似 乎 在 这 些 方 面 也 有 不 少 花 样 。 该 木 马 盗 取 了 大 量 的 各 种 信 息 ， 受 害 者 使 用 的 身 份 验 证 ， 涵 盖 了 各 种 不 同 类 型 的 身 份 验 证 。 例 如 它 的 键 盘 记 录 ， 不 仅 记 录 密 码 还 会 截 取 用 户 提 交 H T T P 表 单 的 密 钥 ， 窃 取 私 有 证 书 ， 擦 除 一 些 银 行 应 用 程 序 使 用 的 外 部 验 证 令 牌 。 这 些 功 能 使 得 “ 师 傅 ” 的 操 纵 者 可 以 使 用 用 户 的 机 密 凭 证 ， 并 能 够 控 制 大 量 的 各 种 金 融 服 务 提 供 商 的 银 行 账 户 。 “ 师 傅 ” 也 会 在 用 户 将 智 能 卡 插 入 到 终 端 机 的 读 卡 器 时 扫 描 ， 分 析 ， 过 滤 智 能 卡 中 的 数 据 ， 并 窃 取 被 感 染 的 受 害 者 的 加 密 账 户 。 你 是 一 个 你 是 一 个 P O S 机 吗 机 吗 ? 它 除 了 对 窃 取 银 行 账 户 感 兴 趣 之 外 ， 也 会 针 对 支 付 卡 中 的 数 据 进 行 窃 取 。 该 恶 意 软 件 扫 描 终 端 机 的 字 符 串 可 能 表 明 它 已 经 感 染 到 了 P O S 机 终 端 。 如 果 那 一 类 的 字 符 串 在 终 端 机 中 被 扫 描 到 ， “ 师 傅 ” 会 部 署 一 个 擦 除 R A M 的 插 件 ( R A M - S C R A P I N G ) 去 收 集 支 付 卡 的 数 据 。 该 插 件 会 擦 除 信 用 卡 和 借 记 卡 的 磁 道 1 和 磁 道 2 的 数 据 ， 这 个 功 能 主 要 被 用 于 重 要 目 标 的 突 破 。 电 子 银 行 平 台 被 加 入 到 了 电 子 银 行 平 台 被 加 入 到 了 “ 暗 杀 名 单 暗 杀 名 单 ” 虽 然 w e b i n j e c t i o n s 是 一 种 常 见 的 木 马 功 能 ， 但 是 很 少 有 木 马 针 对 银 行 平 台 。 这 种 攻 击 技 术 类 似 于 S h i z ， S h i z 曾 被 用 于 俄 罗 斯 已 知 的 银 行 平 台 。 “ 师 傅 ” 也 有 类 似 的 目 标 ， 不 过 是 基 于 J a v a   a p p l e t 的 平 台 ， 它 会 H O O K   J a v a 进 程 并 扫 描 . t o k s 文 件 。 之 后 ， “ 师 傅 ” 会 用 作 外 部 认 证 机 制 的 短 期 认 证 令 牌 。 此 外 ， “ 师 傅 ” 会 查 找 商 业 银 行 业 务 认 证 机 构 认 证 的 用 户 ， 尤 其 是 意 大 利 的 数 字 签 名 证 书 。 通 过 重 置 证 书 上 的 P I N 码 ， 师 傅 的 操 纵 者 可 以 使 用 有 效 的 数 字 签 名 模 仿 受 害 者 欺 诈 银 行 业 务 。
瞄 准 银 行 的 应 用 ， 而 不 是 特 定 的 网 站 ， 在 攻 击 的 好 处 的 意 义 上 ， 它 将 适 用 于 更 多 的 目 标 。 如 果 恶 意 软 件 的 开 发 者 找 到 了 一 种 可 以 在 一 种 情 况 下 通 用 的 应 用 程 序 和 平 台 ， 它 很 可 能 会 在 使 用 该 平 台 的 其 他 银 行 进 行 相 同 的 攻 击 。 本 地 反 混 淆 服 务 器 隐 藏 本 地 反 混 淆 服 务 器 隐 藏 C & C 注 入 注 入 让 人 联 想 到 另 外 一 种 高 级 的 银 行 木 马 — — D y r e 。 “ 师 傅 ” 在 配 置 文 件 中 隐 藏 了 w e b i n j e c t i o n s 。 相 反 ， 它 会 从 远 程 服 务 器 中 实 时 获 取 。 为 了 在 合 适 的 时 候 使 用 注 入 ， “ 师 傅 ” 的 开 发 者 ， 已 经 想 到 了 一 个 名 为 r o u n d - r o b i n 的 办 法 ， 在 本 地 受 感 染 的 主 机 上 开 启 P H P 服 务 器 。 当 “ 师 傅 ” 感 染 了 一 个 新 的 终 端 ， 它 会 建 立 一 个 文 件 夹 ， 并 将 这 个 文 件 夹 放 到 本 地 的 H T T P 服 务 器 中 ， 本 地 的 A p a c h e 服 务 器 会 被 用 于 解 密 从 远 程 “ 师 傅 ” 服 务 器 接 收 到 的 已 经 被 感 染 的 J a v a S c r i p t 代 码 并 进 行 w e b   i n j e c t i o n s 。 为 了 实 现 实 时 的 抓 取 ， “ 师 傅 ” 会 以 隐 蔽 的 地 址 去 访 问 远 程 的 w e b i n j e c t s 服 务 器 。 因 为 它 出 现 在 配 置 服 务 器 上 的 名 称 似 乎 是 伪 造 的 。 事 实 上 ， 请 求 是 被 模 糊 处 理 的 ， 而 不 是 在 W e b 浏 览 器 中 请 求 的 。 “ 师 傅 ” 会 先 请 求 本 地 的 P H P 服 务 器 进 行 反 混 淆 。 本 地 的 服 务 器 有 一 个 H E X t o S t r i n g 函 数 来 解 释 这 个 请 求 ， 然 后 以 适 当 的 形 式 把 真 实 的 数 据 发 送 到 浏 览 器 中 。 “ 师 傅 ” 的 i n j e c t i o n s 会 根 据 目 标 进 行 有 选 择 性 的 改 变 。 在 某 些 情 况 下 ， 它 会 取 代 银 行 的 整 个 W E B 页 面 ， 并 制 作 一 个 看 起 来 和 真 的 一 样 的 假 页 面 ， “ 师 傅 ” 的 操 纵 者 之 后 就 会 获 取 到 用 户 输 入 的 数 据 。 在 其 他 情 况 下 ， 该 木 马 会 使 用 社 会 工 程 学 手 段 ， 使 用 J a v a s c r i p t 代 码 注 入 到 H T M L 页 面 ， 告 知 受 害 者 要 进 行 额 外 的 身 份 验 证 。 如 ： P I I 码 和 一 次 性 口 令 。 入 侵 者 ： 滚 开 ！ 入 侵 者 ： 滚 开 ！ “ 师 傅 ” 的 操 纵 者 似 乎 不 愿 意 与 他 们 的 团 伙 以 外 的 任 何 人 分 享 战 利 品 。 一 旦 “ 师 傅 ” 感 染 了 一 个 新 的 机 器 ， 它 就 会 启 动 反 病 毒 的 功 能 ， 通 过 禁 止 其 他 可 疑 文 件 的 安 装 来 让 其 他 所 有 的 恶 意 软 件 退 出 “ 游 戏 ” 。 “ 师 傅 ” 会 监 控 每 一 个 联 网 的 应 用 程 序 ， H O O K 掉 U R L D o w n l o a d t o F i l e 这 个 A P I 函 数 ， 并 会 密 切 关 注 传 入 的 文 件 ， 这 些 文 件 可 能 包 含 有 恶 意 软 件 的 文 件 ， 如 果 其 他 联 网 程 序 有 如 下 行 为 ： 1 . 来 自 不 安 全 的 连 接 ( H T T P ) 2 . 是 一 个 可 执 行 文 件 3 . 未 签 名 的 文 件 一 旦 这 种 文 件 是 由 浏 览 器 下 载 的 ， “ 师 傅 ” 会 将 下 载 的 文 件 复 制 到 本 地 磁 盘 并 重 命 名 为 “ i n f e c t e d . e x x ” ， 之 后 ， 会 过 滤 这 个 程 序 的 C & C 服 务 器 ， 最 后 ， 通 过 提 示 “ 内 存 不 足 ” 的 消 息 ， 来 进 行 文 件 下 载 的 答 复 。 此 功 能 用 于 保 持 “ 师 傅 ” 能 够 独 占 此 机 器 ， 此 外 ， “ 师 傅 ” 会 定 期 给 它 的 操 纵 者 发 送 恶 意 文 件 ， 这 样 可 以 让 “ 师 傅 ” 在 同 一 块 “ 地 皮 ” 中 监 视 并 找 到 竞 争 对 手 。 这 是 我 们 第 一 次 看 到 恶 意 软 件 能 够 为 可 疑 文 件 建 立 “ 规 则 ” ， 以 确 保 它 对 受 感 染 机 器 的 独 占 控 制 。 如 果 终 端 机 器 已 经 感 染 了 其 他 恶 意 软 件 ， “ 师 傅 ” 没 有 发 现 并 删 除 其 他 恶 意 软 件 ， 但 是 它 会 停 止 新 的 恶 意 文 件 的 传 入 ， 这 样 可 以 防 止 其 他 恶 意 软 件 接 受 新 的 版 本 进 行 更 新 ， 也 切 断 了 这 个 恶 意 软 件 与 它 的 主 人 的 联 系 。 “ 师 傅 师 傅 ” 的 可 能 起 源 的 可 能 起 源 那 么 是 谁 “ 拼 凑 ” 了 高 超 的 “ 师 傅 ” ? 通 过 分 析 “ 师 傅 ” 的 样 本 ， 我 们 的 研 究 人 员 发 现 它 被 写 入 了 俄 语 的 注 释 ！ “ 师 傅 ” 的 开 发 者 可 能 是 一 个 讲 俄 语 或 者 一 个 前 苏 联 的
国 家 。 这 也 有 可 能 是 开 发 者 用 来 混 淆 犯 罪 来 源 去 摆 脱 研 究 人 员 的 。 在 “ 师 傅 ” 的 分 析 中 ， 发 现 了 一 些 用 西 里 尔 字 母 写 入 的 特 殊 字 符 ， 但 是 这 些 字 符 在 俄 语 中 是 有 一 定 的 意 思 的 。 例 如 ： B U H ： 可 以 参 考 俄 语 中 的 “ 会 计 师 ” K A S S A ： 可 以 参 考 俄 语 中 的 “ 出 纳 ” F I N O T D E L ： 在 公 司 中 俗 称 “ 会 计 部 ” R O S P I L ： 俄 罗 斯 政 府 最 突 出 的 反 对 党 “ 师 傅 ” 的 服 务 器 位 于 不 同 的 国 家 ， 托 管 的 I P 地 址 C 段 有 很 多 . R u 的 域 名 ， 这 可 能 或 可 能 不 会 指 向 同 一 个 犯 罪 团 伙 。 更 多 的 惊 喜 更 多 的 惊 喜 “ 师 傅 ” 是 一 个 复 杂 而 有 趣 的 恶 意 软 件 。 此 时 ， 它 正 在 积 极 的 攻 击 日 本 的 银 行 ， 但 是 它 有 一 个 潜 在 的 传 播 位 置 目 标 列 表 。 其 主 要 的 诈 骗 方 法 是 基 于 凭 证 的 抓 取 ， w e b i n j e c t i o n s 和 证 书 窃 取 。 已 经 构 建 了 其 他 恶 意 软 件 的 代 码 库 ， “ 师 傅 ” 也 保 护 了 受 感 染 的 主 机 ， 禁 止 了 其 他 恶 意 软 件 的 竞 争 。 I B M 安 全 团 队 X - F o r c e 已 经 发 布 “ 师 傅 ” 的 完 整 报 告 ， 并 在 未 来 一 周 发 布 。 “ 师 傅 ” 的 样 本 的   M D 5 为 b 9 b c 3 f 1 b 2 a a c e 8 2 4 4 8 2 c 1 0 f f a 4 2 2 f 7 8 b ， 目 前 有 1 9 / 5 6 ( 3 4 % ) 的 杀 毒 引 擎 检 测 为 通 用 恶 意 软 件 。 *   参 考 来 源 ： s e c u r i t y i n t e l l i g e n c e ， 译 者 / 丝 绸 之 路 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理