CDN藏毒!Facebook内容分发网络CDN携带银行木马Banker.ADYV-阿里云开发者社区

开发者社区> 安全> 正文

CDN藏毒!Facebook内容分发网络CDN携带银行木马Banker.ADYV

简介:

恶意软件 团伙利用Facebook内容交付网络(CDN)服务器存储恶意文件,并用银行木马病毒感染用户。近期利用可信域名进行恶意软件分发的例子多起来了,比如9月5日的 攻击者利用美国政府网站高信誉度用于投放Cerber勒索软件

过去两周内,研究人员观察到多个利用Facebook CDN服务器存储恶意payload的攻击活动。该攻击团伙之前还曾利用Dropbox和谷歌云存储服务存储恶意payload。利用谷歌和Dropbox URL发起攻击发生在7月,是由位于帕洛阿尔托的Brad Duncan记录的。它们与上周MalwareHunter安全研究人员检测到攻击几乎一模一样。

该团伙之所以利用Facebook CDN,是因为与业务网络中不活跃的域上的托管恶意软件相比,该域名受到大多数安全解决方案的信任,而且被阻止的几率很小。

垃圾邮件攻击在Facebook CDN上隐藏恶意文件

感染始于用户收到来自攻击者的虚假邮件。邮件伪装成地方当局的官方通信,并包含一个链接。这些链接可定向至Facebook CDN。攻击者在Facebook团伙或其他公共领域中上传文件,获取文件URL,并将其添加至垃圾邮件中。其中一个恶意链接如下:

facebook-mallink.pngfacebook-mail.png

攻击者所用的垃圾邮件示例

利用RAR/ZIP文件进行Squiblydoo攻击

一旦用户点击链接,就会下载RAR或ZIP文件。这些压缩文件包含一个 恶意链接文件 (快捷方式)。若用户点击链接文件,快捷路径就会调用Windows计算机上安装的合法应用程序(如命令提示符或PowerShell)运行编码的PowerShell脚本。利用本地应用隐藏恶意操作的技术被称之为“Squiblydoo”,其目的是绕过低端安全软件。

在这一点上,编码的PowerShell脚本下载并运行另一个PowerShell脚本,该脚本启动了一场操作风暴。第二个PowerShell脚本下载DLL文件,继而下载合法EXE文件和另一个DLL文件。

扭曲的操作迷宫继续创建指向另一个VBS脚本的链接(快捷方式)文件。PowerShell脚本调用快捷方式文件快捷方式文件调用VBS脚本,VBS脚本执行合法EXE文件合法EXE文件安装第二个DLL文件。

攻击团伙只针对巴西用户

据MalwareHunter表示,这些扭曲的过程中,攻击团伙还根据IP地址检查用户的地理位置。若受害者不是来自目标国家,感染操作将中止,感染例程将下载(并最终加载)空的最后阶段的DLL文件。若受害者来自目标国家(巴西),合法EXE文件就会下载恶意DLL文件。

然后,该DLL文件就会下载并安装Banload。Banload是一个恶意软件下载器,后来被用于仅针对巴西用户提供 银行木马 ,ESET的检测结果为:Win32/Spy.Banker.ADYV。

今年早些时候(2017年7月)在ESET巴西分部感染中曾出现过Win32/Spy.Banker.ADYV。此次攻击活动被称为DownAndExec,也是由同一个攻击团伙发起。

研究人员认为,这和2016年针对巴西发起Banload攻击的是同一攻击团伙,并且他们在2015年发起Escelar银行木马攻击,主要针对的也是巴西用户。

数万人收到 垃圾邮件

MalwareHunter的研究人员检测到该威胁源起方近期发起的攻击活动。他们认为这些威胁源起方的手段非常高明,甚至超过最近一些国家级网络间谍团伙。

攻击者还能够进行大规模的垃圾邮件活动,推出恶意邮件。该团伙借鉴了在线营销人员的技术,并使用1px的1px追踪嵌入垃圾邮件的图片,查看哪些用户打开了邮件。这些小图像可通过goo.gl短链接加载,MalwareHunter可检测到攻击活动范围。例如,9月2日,MalwareHunter发现20万巴西用户查看了垃圾邮件。另外两次攻击活动中,也有七八万用户查看了垃圾邮件。

spam-mailink.png

垃圾邮件中 goo.gl 短链接点击数

目前,攻击活动持续了近一周才平息下来,但专家们预计会再次发生,虽然会有些许变化。Facebook已接到相关通知并正在调查此事。

facebook.png



原文发布时间:2017年9月11日

本文由:bleepingcomputer发布,版权归属于原作者

原文链接:http://toutiao.secjia.com/facebook-cdn-banking-trojan

本文来自云栖社区合作伙伴安全加,了解相关信息可以关注安全加网站

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
+ 订阅

云安全开发者的大本营

其他文章