首页 > 人物/事迹, 恶意软件, 终端安全 > 也来黑记者:写个恶意软件玩玩(一)

也来黑记者:写个恶意软件玩玩(一)

2014年5月14日 发表评论 阅读评论 3,850次浏览    

原文:http://blog.spiderlabs.com/2013/10/hacking-a-reporter-writing-malware-for-fun-and-profit-part-1-of-3.html

翻译:徐文博

Mattew Jakubowski(@jaku) 对此文的编写做出了贡献。

潘多省日报(Pando Daily)的编辑Adam Penenberg最近发表了一篇文章“我让黑客来调查我,他们的发现让我不寒而栗”,讲述了我和我的小伙伴“骚扰”他生活的事情。 如果你还没读过, 那我强烈建议你去瞅瞅。

本周该日报上又发布了一篇后续文章,“一个记者让我们黑他,我们是怎么做到的呢”,从我们的角度进行了阐述。

我想有些读者朋友可能比较好奇更详细的渗透技术细节。所以我们决定对此发表3篇的系列文章以示阐述。

第一部分和第二部分将详细介绍我们自身团队( Matt Jakubowski, Daniel Chechik,和我)所做的用于本次渗透的恶意软件和钓鱼邮件。下周,我们的同事Garret Picchioni将会展示更多的关于现场和无线入侵的技术细节。

我在蜘蛛实验室(SpiderLabs)的恶意软件分析小组(Malware Analysis Team)作为一名安全研究员的日常工作主要包括逆向恶意软件(通常是取证分析期间遇到的一些东西)。 当被要求加入这次行动时,很自然的我会帮着写些定制的恶意软件以获取Adam电脑的权限。 通过编写一个恶意文件就能证明我的“黑帽”身份,这样的机会真的很难得哦。这让我可以站在双方的角度去看待问题,也转而有助于我的日常逆向工作。总之,我对此很兴奋。

我们要去黑个记者, 写些定制的恶意软件,来玩玩吧。

第1步:侦查/准备工作

在对Adam进行攻击之前,我们尽量收集了很多信息。 也找到了很多——公寓的照片, 信用记录报告,姓名,生日,电子邮件,电话号码等等。还有很多没有列举,但仍然有个问题。 即使有了这些,我们也没能知道他和妻子所用的操作系统(Windows, OSX, Linux等等)。 在针对特定的目标设计恶意软件时,所用的负载是平台相关的。为此,我们需要一个与平台无关的攻击包,能够识别出操作系统,并能根据操作系统下载执行相应的恶意软件。在这一步,我求助了我的同事Daniel Chechik(@danielchechik)。Daniel专攻web的攻击利用,能用他的专业知识给予团队帮助。 我向他描述了需求,以及所面临的困境。 几天之后, 他给我带来了很棒的解决方案。

Daniel 创建了一个恶意的Java小程序来检测运行在目标主机上运行的Java版本,以及主机的操作系统。有了这些信息,该程序将利用已知的Java漏洞(CVE-2013-2423或者CVE-2012-0503),根据操作系统下载一个特定的负载,并予以执行。我对该小程序进行了稍微的修改,保证即使漏洞利用失败的情况下也能够下载、执行特定的负载, 以防用户更新了Java版本。最后看起来是这样的:

Java Malware Execution Flow

图1:Java恶意软件执行流图

不管Adam或者其妻子的电脑上运行的是Mac还windows操作系统,我们的方案都能将其感染,同时也提供了多个攻击包,根据所实际所安装的Java版本进行利用。

现在你可能会问,“等等,如果没有安装Java呢?”, “如果他们是在智能手机上打开文件呢?”。 “如果安装了杀毒软件怎么办?”。 这些都是可能的问题。 杀软对Daniel所创建的文件,以及我所编写的OSX/Windows上的恶意软件, 有很低的检测率。 即使Adam的电脑上运行了杀软, 它们也很难拦截到这些文件。 至于受害者电脑的Java版本, 以及可能通过移动设备访问文件这些问题,要记住,这只是我们众多计划方案中的很小一部分。我们没有期望这是一个完美的方案。 我们把鸡蛋放到了不同的篮子里,总希望有一个能成功。 这就是作为攻击者的优势所在。我们无需每一个计划都成功——只要有一个能搞定就行了。攻击的目标却需要应对我们的每一次尝试。

有了这个可以攻击多个平台的恶意文件,轮到我着手编写运行在Windows和OSX上的恶意软件了。这是我第一次写OSX上的恶意软件,是个非常有趣的学习经历。我的计划很简单——如果恶意软件加载到Adam的电脑上,要完成下面两件事:

1. 确保恶意软件能持久地存在,除非我手动的将其卸载。

2. 下载执行其他的恶意软件或者命令, 赋予我们对电脑的完全控制权。

Snippet of Code From OSX Malware

    图2:OSX上恶意软件的代码片段

这就是我所做的。编写Windows上的恶意软件非常简单了,因为之前已为其他事件写过类似的程序。 实际上,编写OSX的恶意软件同样也很简单。 比我原来所想的要简单的多,大概花费了一到两天的时间来完成(主要因为所做的测试,确保其正常运行)。 虽然不同平台下的二进制文件不同,但它们所执行的逻辑是相同的, 如下所示:

1. 将自身拷贝到文件系统的一个隐藏目录

2. 通过一些常用的手段来确保持久存在

3. 每10分钟向远程服务器请求一次,查看是否有要执行的指令。如果有,就执行指令。

准备好了恶意软件,是时候“攻击”Adam和他的妻子了。

第2步:攻击

Adam已经在文章里提到了很多的细节, 所以我会尽量不重复那么多。我们决定对Adam和妻子进行钓鱼邮件攻击。我们知道Adam的妻子有个普拉提(Pilates)工作室,我们可以扮成找工作的。我写了一封看上去很正常的寻找普拉提教练的邮件,附加上Daniel的恶意Java小程序发了出去。

几天后,我们命中了。我们紧紧抓住机会,十分钟之内就获得了对Adam妻子电脑的完全控制权。似乎是她打开了Java文件导致OSX恶意软件安装到了她的电脑上。在这十到十五分钟里,我们沉浸在获得权限的喜悦之中,无比幸福。

然后呢?然后,突然就沉默了。

我们失去了连接,再也没有重新获取到。我们静静的坐着,想象着可能发生的情况。或许她只是完成了今天的工作,然后关上了电脑。 我们再等了36个小时,希望再次获取连接。在此期间, Jaku和Garret (在纽约现场)通过其他的手段进行着攻击。

此时,我开始怀疑我的恶意软件。 我担心因为我的一个愚蠢的错误使得我们丧失了唯一的机会。对代码审查之后,很确定,是我犯了错。没有做太多的技术处理,我逻辑处理中的一个错误导致恶意软件在Adam妻子关上电脑(将其休眠而不是重启)之后无法运行。 意识到这一点,25分钟之后,我搞好了OSX恶意软件的2.0版本。 可问题是,我需要让她再次打开该文件。

第2.5步:再次攻击

payload即便我准备好了新版本的OSX恶意软件,我们也很难消除Adam妻子的疑虑,让其再打开一个Java文件。 因为我们没跟Adam有任何联系,也不确定她妻子是否怀疑了。我们猜测可能他妻子已经告诉他所收到的怪异邮件,以及附件如何打不开。Adam可能已经让她恢复了电脑备份,不要再打开类似文件。总之,我们想再次获取权限的希望渺茫。

我们决定用不同的发送机制来推进。这次,Jaku给我提供了帮助。我们将恶意的OSX程序打包进一个ZIP文件。当文件打开时, 程序不仅会执行我改进后的恶意软件,同时还会打开一个合法的视频文件。这是符合我们上次的处理场景的。也更改了默认的图标,让其看起来是个正常的视频文件。 我们猜测如果Adam妻子这次再打开文件,看到一个视频文件打开,会认为文件是正常的。

The Phishing Email

图4.钓鱼邮件(取自潘多省日报的原文章)

第二天,焦灼的等待中,终于有了新的连接。Adam的妻子打开了第二封邮件。我们再次获得了20分钟的权限。

然后,突然又再次失去了连接。

我们屏住呼吸,希望她只是简单的再次关上了电脑。 我们的新版恶意软件会在其再次打开电脑时恢复操作。我们一直等待着,吃完了晚饭,继续等待着。

敬请期待该系列的下篇文章,我们将会介绍恶意软件攻击的第3步,以及我们如何获取到财务记录,W-2信息,以及更多的来自Adam妻子受感染电脑的信息。

(未完待续)

版权声明:自由转载-非商用-非衍生-保持署名 | Creative Commons BY-NC-ND 3.0
  1. 本文目前尚无任何评论.