搜索

[9449] 2015-10-18_HackingTeam漏洞大范围挂马，上百万电脑中招

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-17
2015-10-18_HackingTeam漏洞大范围挂马，上百万电脑中招 H a c k i n g   T e a m 漏 洞 大 范 围 挂 马 ， 上 百 万 电 脑 中 招 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 5 - 1 0 - 1 8 一 、 概 况 一 、 概 况 近 日 ， 腾 讯 反 病 毒 实 验 室 拦 截 到 一 个 恶 意 推 广 木 马 大 范 围 传 播 ， 总 传 播 量 上 百 万 ， 经 分 析 和 排 查 发 现 该 木 马 具 有 以 近 日 ， 腾 讯 反 病 毒 实 验 室 拦 截 到 一 个 恶 意 推 广 木 马 大 范 围 传 播 ， 总 传 播 量 上 百 万 ， 经 分 析 和 排 查 发 现 该 木 马 具 有 以 下 特 征 ： 下 特 征 ： 1 ） 该 木 马 是 通 过 网 页 挂 马 的 方 式 传 播 的 ， 经 分 析 黑 客 用 来 挂 马 的 漏 洞 是 前 段 时 间 H a c k i n g   T e a m 事 件 爆 出 的 f l a s h 漏 洞 C V E - 2 0 1 5 - 5 1 2 2 。 新 版 本 的 F l a s h   P l a y e r 已 经 修 复 了 该 漏 洞 ， 但 是 国 内 仍 有 大 量 的 电 脑 未 进 行 更 新 ， 给 该 木 马 的 传 播 创 造 了 条 件 。 2 ） 经 分 析 和 追 踪 ， 发 现 挂 马 的 主 体 是 一 个 广 告 f l a s h ， 大 量 存 在 于 博 彩 类 网 站 、 色 情 类 网 站 、 外 挂 私 服 类 网 站 、 中 小 型 下 载 站 等 ， 以 及 部 分 流 氓 软 件 的 弹 窗 中 ， 影 响 广 泛 。 3 ） 挂 马 的 漏 洞 影 响 W i n d o w s 、 M a c O S X 和 L i n u x 平 台 上 的 I E 、 C h r o m e 浏 览 器 等 主 流 浏 览 器 。 经 测 试 ， 在 未 打 补 丁 电 脑 上 均 可 触 发 挂 马 行 为 ， 国 内 主 流 浏 览 器 均 未 能 对 其 进 行 有 效 拦 截 和 提 醒 。 4 ） 木 马 更 新 变 种 速 度 快 ， 平 均 2 - 3 小 时 更 换 一 个 新 变 种 ， 以 此 逃 避 安 全 软 件 的 检 测 ， 同 时 可 降 低 单 个 文 件 的 广 度 ， 逃 过 安 全 软 件 的 广 度 监 控 。 5 ） 该 木 马 主 要 功 能 是 静 默 安 装 多 款 流 氓 软 件 ， 部 分 被 安 装 的 流 氓 软 件 具 有 向 安 卓 手 机 静 默 安 装 应 用 的 功 能 ， 危 害 严 重 。 同 时 该 木 马 还 玩 起 “ 黑 吃 黑 ” — — 能 够 清 除 已 在 本 机 安 装 的 常 见 的 其 它 流 氓 软 件 ， 达 到 独 占 电 脑 的 目 的 。 图 1 .   F l a s h   漏 洞 挂 马 示 意 图 二 、 挂 马 网 站 分 析 二 、 挂 马 网 站 分 析 经 分 析 和 追 踪 ， 发 现 挂 马 的 主 体 是 一 个 广 告 f l a s h ， 当 访 问 到 挂 马 网 站 时 ， 该 f l a s h 文 件 会 被 自 动 下 载 并 播 放 ， 从 而 触 发 漏 洞 导 致 感 染 木 马 。 如 图 2 所 示 。
图 2 .   被 挂 马 的 网 站 之 一 图 3 所 示 为 带 木 马 的 F l a s h 文 件 ， 有 趣 的 是 如 果 当 前 电 脑 f l a s h 已 经 打 补 丁 ， 则 显 示 正 常 的 广 告 ， 如 果 f l a s h 未 打 相 应 补 丁 则 会 触 发 漏 洞 ， 在 浏 览 器 进 程 内 执 行 S h e l l C o d e 。 图 3 .   挂 马 的 f l a s h 文 件 通 过 反 编 译 f l a s h 文 件 可 以 发 现 ， 该 f l a s h 是 在 H a c k i n g   T e a m 泄 漏 代 码 的 基 础 上 修 改 而 来 的 ， 该 f l a s h 使 用 d o s w f 做 了 加 密 和 混 淆 ， 以 增 加 安 全 人 员 分 析 难 度 。 如 图 4 所 示 为 挂 马 f l a s h 代 码 。
图 4 .   挂 马 的 f l a s h 文 件 反 编 译 代 码 漏 洞 触 发 后 ， 直 接 在 浏 览 器 进 程 中 执 行 S h e l l C o d e 代 码 ， 该 S h e l l C o d e 的 功 能 是 下 载 h x x p : / / 2 2 2 . 1 8 6 . 1 0 . 2 1 0 : 8 8 6 1 / c a l c . e x e 到 本 地 ， 存 放 到 浏 览 器 当 前 目 录 下 ， 文 件 名 为 e x p l o r e r . e x e 并 执 行 。 图 5 .   S h e l l C o d e 经 混 淆 加 密 ， 其 主 要 功 能 是 下 载 执 行 E x p l o r e r . e x e 为 了 逃 避 杀 软 的 查 杀 ， 其 更 新 速 度 非 常 块 ， 平 均 2 - 3 小 时 更 新 变 种 一 次 ， 其 变 种 除 了 修 改 代 码 以 逃 避 特 征 外 ， 其 图 标 也 经 常 变 动 ， 以 下 是 收 集 到 的 e x p l o r e r . e x e 文 件 的 部 分 图 标 ， 可 以 发 现 主 要 是 使 用 一 些 知 名 软 件 的 图 标 进 行 伪 装 。
图 6 .   木 马 使 用 的 伪 装 图 标 列 表 该 木 马 传 播 量 巨 大 ， 为 了 防 止 样 本 广 度 过 高 被 安 全 厂 商 发 现 ， 变 种 速 度 飞 快 ， 该 木 马 1 0 月 中 旬 开 始 传 播 ， 截 至 目 前 总 传 播 量 上 万 的 变 种 M D 5 统 计 如 下 ： 图 7 .   截 至 目 前 总 传 播 量 上 万 的 变 种 M D 5 列 表 三 、 木 马 行 为 分 析 三 、 木 马 行 为 分 析 木 马 运 行 后 会 通 过 检 测 判 断 是 否 存 在 c : o k o k k k . t x t 文 件 ， 如 果 存 在 则 表 示 已 经 感 染 过 不 再 感 染 ， 木 马 退 出 ， 如 果 不 存 在 则 创 建 该 文 件 ， 然 后 创 建 两 个 线 程 ， 分 别 用 于 安 装 推 广 流 氓 软 件 和 清 理 非 自 己 推 广 的 流 氓 软 件 等 。 图 8 .   通 过 判 断 “ C : o k o k k k . t x t ” 文 件 来 防 止 重 复 感 染
“ 黑 吃 黑 ” 是 此 木 马 的 一 大 特 色 ， 木 马 运 行 后 专 门 创 建 了 一 个 线 程 ， 用 于 检 测 和 删 除 其 它 软 件 的 桌 面 快 捷 方 式 、 开 始 菜 单 项 中 的 目 录 等 ， 删 除 的 项 目 大 部 分 为 流 氓 软 件 ， 其 内 置 的 列 表 堪 称 流 氓 软 件 大 全 ， 涵 盖 大 量 的 流 氓 软 件 ， 以 下 只 是 列 表 的 一 部 分 。 图 9 .   部 分 被 删 除 的 桌 面 快 捷 方 式 图 1 0 .   木 马 要 删 除 的 部 分 菜 单 项 列 表 循 环 结 束 指 定 进 程 ， 包 括 t a s k m g r （ 任 务 管 理 器 ） 、 Q Q P C D o w n l o a d （ 管 家 在 线 安 装 ） 等 多 款 软 件 的 安 装 程 序 。
图 1 1 .   循 环 结 束 指 定 进 程 向 统 计 页 面 发 送 信 息 ， 统 计 安 装 量 ， 随 后 下 载 并 静 默 安 装 以 下 软 件 （ 共 1 1 款 ） ， 其 中 h b s e t u p 6 4 . e x e 是 一 款 流 氓 软 件 ， 能 够 静 默 向 连 接 电 脑 的 安 卓 手 机 安 装 手 机 应 用 ， 危 害 严 重 。 图   1 2 . 该 木 马 静 默 推 广 的 软 件 列 表 及 安 装 统 计 地 址 四 、 后 记 四 、 后 记 被 称 作 “ 黑 客 核 武 库 ” 的 H a c k i n g   T e a m 泄 漏 数 据 大 大 降 低 了 黑 客 攻 击 的 门 槛 ， 把 整 个 黑 色 产 业 链 的 技 术 水 平 提 高 一 个 档 次 ， 攻 击 者 仅 需 要 对 线 程 的 代 码 做 少 量 的 修 改 便 可 生 成 强 大 的 攻 击 “ 武 器 ” ， 对 整 个 互 联 网 安 全 构 成 了 严 重 的 威 胁 。 电 脑 管 家 第 一 时 间 发 现 并 查 杀 该 木 马 ， 能 够 对 网 络 挂 马 行 为 进 行 拦 截 。 同 时 ， 腾 讯 反 病 毒 实 验 室 提 醒 用 户 ， 及 时 安 装 软 件 厂 商 提 供 的 安 全 补 丁 能 够 有 效 降 低 电 脑 被 攻 击 的 风 险 。 * 本 文 作 者 ： 腾 讯 电 脑 管 家 （ 企 业 账 户 ） ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理