銀狐木馬技術(shù)分析

2023-08-16 17:58:07
我要分享


微信掃碼分享

?“銀狐”木馬概述

“銀狐”木馬是一類針對企事業(yè)單位管理人員、財務(wù)人員、銷售人員及電商賣家進行釣魚攻擊的木馬。攻擊團伙通過投遞遠控木馬，在獲得受害者的計算機控制權(quán)限后會在其系統(tǒng)內(nèi)長期駐留，并監(jiān)控用戶日常操作。待時機成熟時，攻擊者會利用受感染設(shè)備中已登錄的聊天工具軟件（如微信等）發(fā)起詐騙。此外，該家族也經(jīng)常使用高仿微信號進行詐騙。

木馬傳播

“銀狐”木馬常見的傳播路徑有以下三種。

一、 IM傳播

通過此類方式進行傳播的木馬，通常利用QQ、微信等即時通信（IM）軟件發(fā)送釣魚文件或網(wǎng)站鏈接，誘導(dǎo)受害者點擊并進行釣魚傳播。而其發(fā)送的文件或內(nèi)容往往會命名為“成績單”、“轉(zhuǎn)賬通知單”等具有誘導(dǎo)性的名稱，方便擴散。

此類方式傳播的木馬的技術(shù)特點為：擅長使用白利用、內(nèi)存loader等技術(shù)手段。

二、 釣魚網(wǎng)站傳播

通過此類方式傳播的木馬，一般會偽裝成稅務(wù)機關(guān)的釣魚網(wǎng)站，使用微信釣魚進行傳播。其在傳播過程中常用的名稱有：發(fā)票、單據(jù)、報稅、稅務(wù)軟件等。

此類方式傳播的木馬的技術(shù)特點為：擅長使用白利用，木馬呈現(xiàn)多階段的投遞方式，并使用某云筆記存儲其payload數(shù)據(jù)。

三、 虛假軟件傳播

此類木馬往往偽裝成常用軟件，常見的就有：微信、WPS、釘釘?shù)葦?shù)十款軟件，通過在主流搜索引擎上購買流量進行釣魚傳播。近期的數(shù)據(jù)顯示，此傳播方式是上述三種常見傳播形式中傳播量最大的一種。

此類木馬的技術(shù)特點為：使用廣告軟件進行捆綁式推廣，利用復(fù)雜形式的白利用，并呈現(xiàn)多階段的投遞方式。?

技術(shù)詳解

下面的技術(shù)分析，會以前文提到的傳播最廣泛的第三類木馬為例，進行介紹：

銀狐家族通過以WPS、MS Office、PDF等安裝包的名義進行釣魚攻擊。下載的文件名稱常見的有“wpsSetup.exe”、“抖音小店.exe”、“釘釘一鍵安裝.exe”等，且受害者眾多。此外，該家族還常使用一些其他方式用于對抗：例如研究人員捕獲到的木馬樣本通常都加了VMP等強殼，并且傳播者會根據(jù)不同IP或時間段，分地分時地發(fā)布針對性樣本，進行針對性攻擊或?qū)拱踩珳y試分析。根據(jù)后臺大數(shù)據(jù)顯示，每天有超過1000+終端用戶被該類木馬釣魚攻擊。

常見釣魚頁面

一、偽官網(wǎng)釣魚頁面