看似图片 实则危险:Zeus/Zbot网银木马恶意代码深入解析病毒防范 -电脑资料

电脑资料 时间:2019-01-01 我要投稿
【meiwen.anslib.com - 电脑资料】

   

   

    作为有史以来最臭名昭著的网银木马之一,Zeus/Zbot衍生出了诸多的变种和模仿者,

看似图片 实则危险:Zeus/Zbot网银木马恶意代码深入解析病毒防范

。 当然,Zeus最大的特点,就是其所扮演的“浏览器中间人”行为( man-in-the-browser )。基于此,网络钓鱼者可以在不惊动到受害人的情况下,收集到他们的个人信息,并将之用于隐蔽的在线交易。 最近,一个新的变种又冒了出来,它的名字叫做ZeusVM。

   

    ZeusVM木马会利用图片作为诱饵并检索配置文件,而这也是它能够顺利得逞的重要前提。几周前,法国安全研究人员Xylitol指出了一些奇怪的恶意广告活动。而最坑人的,就是它会向同一台主机上获取所托管的JPG图像。

    后来,他告诉MalwareBytes.org,这个新变体所使用的“隐蔽写入技术”——即将恶意数据伪装在现有的文件中,而不会对宿主文件造成破坏。

    接下去的几个星期,我们交换了几封邮件,并且Xylitol发现了其它几个行为表现相似的作品。出于好奇,我们对这个小伎俩进行了深入研究。

   

    比如:上图是一张夕阳照,但你所不知道的是,它美丽的外表下所隐藏着的“杀机”——用于窃取金钱的恶意代码!

   

    图片分析工具方面,我们有许多选择。但是首先,让我们找到这货的“精确副本”。然后,让我们仔细做下比对。

   

    (感谢万能的Google和图片搜索)

    找到匹配项之后,我们可以选择一幅具有相同宽高度的图片开始比对。然后,让我们把两幅图像并排放到一起……

   

    是不是察觉到了一些异样?

    通过位图模式下的比对,我们可以发现,两者之间竟然有着细微的差异。而这,极有可能就是注入恶意代码的结果(额外数据)。

   

    再然后,让我们切换到16进制查看器——隐含的数据立即现身,

电脑资料

看似图片 实则危险:Zeus/Zbot网银木马恶意代码深入解析病毒防范》(http://meiwen.anslib.com)。当然,这样的数据不是给人看的,我们再看下文本格式。

   

    震惊的是,为了妨碍人们的阅读,这货居然还用Base64、RC4以及XOR对代码进行了数据加密。当然,想要把它逆转过来也是可以的(比如通过OllyDbg调试器、或者用泄露出来的Zeus源码自行创建数据解压缩模块)。

   

    解密后的配置文件如上,其中展示了一些被其当做目标的银行和金融机构。

   

    在这些目标中,德意志银行(Deutsche Bank)是比较扎眼的。上图就是该行的登录页面(我们以它为例)。当用户在被感染的计算机上操作的时候,木马就开始玩转“中间人”的把戏了。

    最可恨的是,银行无法区分这些资金是否被非法转移,因为“顾客”被系统“正确地验证并通过了”。

   

    当然,这不是我们第一次见到有恶意软件在无关痛痒的文件中嵌入数据。不久前,网站安全公司 Sucuri 也披露过“一个看似无辜的PNG文件是如何在元数据中包含恶意指令的”。

    通过这样的方式,隐藏的恶意代码甚至能够绕过基于签名的入侵检测系统、甚至防病毒软件。因为通常情况下,从一个网站管理员的角度来说,“一张能够被正常查看的图片又有什么问题呢?”

    但是,现实就是如此残酷、事情也就是这么简单。无论是一个看似合法的图片、歌曲、或者电影文件,都有可能是不!安!全!的!( 防不胜防啊 )


    有趣的是,“隐写术”是一个非常古老的做法。在古希腊的时候,就有在木头上刻字并用蜡封的真实运用,很多人也因此而被愚弄。

    从这方面看来,坏人们其实也没有多大的创新,他们只是用看似现代的方式,在故伎重演而已。

    [编译自: MalwareBytes.Org , via:@ jeromesegura ]

    ​

最新文章