近日，借助于Websense ThreatSeeker®智能云的幫忙，Websense®安然嘗試室™的研究人員成功檢測(cè)到一路歹意電子郵件報(bào)復(fù)打擊事務(wù)，在此次報(bào)復(fù)打擊事務(wù)中，報(bào)復(fù)打擊者操縱源自?？怂剐侣?dòng)蛎哪笤祀娮余]件地址，試圖將受害者引至托管BlackHole縫隙操縱東西包的網(wǎng)站。一旦報(bào)復(fù)打擊郵件成功進(jìn)侵用戶電腦，就會(huì)釋放一個(gè)與Cridex病毒家族相干的歹意代碼，用于盜取銀行憑證、泄漏小我身份信息及其它私密信息，獲得巨額犯法收益。Websense安然嘗試室于6月27日檢測(cè)到的這些歹意電子郵件以“最新新聞”為主題，仿照與“美國(guó)向敘利亞調(diào)派戎行”相干的合法新聞內(nèi)容情勢(shì)，意在誘使受害者點(diǎn)擊歹意鏈接。此次報(bào)復(fù)打擊波及了全球范圍內(nèi)的各類行業(yè)，截至6月27日下戰(zhàn)書四點(diǎn)，Websense ThreatSeeker®智能云已檢測(cè)并成功反對(duì)了60,000多個(gè)實(shí)例。下圖為電子郵件截圖：
被反對(duì)的電子郵件中包含新聞快訊，并且都是針對(duì)移平易近鼎新政策、反恐戰(zhàn)爭(zhēng)和向敘利亞調(diào)派駐軍等當(dāng)前最受歡迎和極具爭(zhēng)議的話題，很有說(shuō)服力，是以會(huì)引發(fā)收件人的歡愉愛(ài)好。Websense檢測(cè)到的電子郵件主題首要有：“美國(guó)在敘利亞的軍事勾當(dāng)——這是第三次大年夜戰(zhàn)的初步嗎？”、“美國(guó)在敘利亞駐軍19,000人”、“奧巴馬向敘利亞調(diào)派駐軍”等。
歹意電子郵件闡發(fā)
這些電子郵件中常常包含一系列可以重定向的鏈接，將用戶引至供給歹意PDF文件的BlackHole縫隙操縱東西包。一旦此歹意PDF文件被打開(kāi)，就會(huì)履行可以供給“CVE-2010-0188”縫隙的嵌進(jìn)混合JavaScript代碼。在被成功進(jìn)侵的電腦上，shellcode會(huì)從以下網(wǎng)址下載一個(gè)歹意組件：
hxxp://sartorilaw.net/news/source_fishs.php?kxdtlz=1l:1g:1i:1o:1j&mbtdi=1k:33:1f:32:2w:30:1h:1o:1h:1g&swlpwu=1i&doko=vaif&wgnrppva=xoti
下圖則是這些電子郵件中包含的可以實(shí)現(xiàn)重定向的鏈接：
shellcode所下載的歹意組件是一個(gè)木馬病毒，它可以將歹意文件下載至被進(jìn)侵的電腦上，并且可以經(jīng)由過(guò)程映照驅(qū)動(dòng)器與可移動(dòng)驅(qū)動(dòng)器進(jìn)行傳播。
歹意PDF文件闡發(fā)
報(bào)復(fù)打擊者將Java腳本說(shuō)話嵌進(jìn)到歹意PDF文件中，此類文件成功進(jìn)侵受害者的電腦后，就會(huì)生成Windows注冊(cè)表項(xiàng)HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\，可以在系統(tǒng)啟動(dòng)時(shí)主動(dòng)運(yùn)行，來(lái)保持本身的持久性。當(dāng)歹意PDF文件開(kāi)端履行時(shí)，就會(huì)打開(kāi)8080端口上的良多HTTP鏈接，以下載更多的歹意載荷。端口信息以下圖所示：
相干域名
上述的PDF縫隙可以下載托管在域名(hxxp://sartorilaw.net)上的歹意軟件，該域名于2013年6月25日初次注冊(cè)，操縱三個(gè)不合的IP地址(119.147.137.31、203.80.17.155、174.140.166.239)，用來(lái)大年夜量托管歹意軟件，Websense ThreatSeeker®智能云將其定性為歹意網(wǎng)站。以下是Websense ThreatSeeker®智能云所檢測(cè)的域名注冊(cè)信息：
歹意網(wǎng)域(hxxp://sartorilaw.net)
聯(lián)系郵箱：[email protected]
域名注冊(cè)人：Cabrieto，Debbie
別的，春聯(lián)系郵箱和注冊(cè)人的WhoIS查找顯示，就在統(tǒng)一天，統(tǒng)一注冊(cè)人統(tǒng)一郵箱注冊(cè)了第二個(gè)域名(hxxp://enterxcasino.net)。這個(gè)域名并沒(méi)有效于此次報(bào)復(fù)打擊中，可是極有可能被報(bào)復(fù)打擊者用于今后的某些歹意報(bào)復(fù)打擊中。
影響和呵護(hù)辦法
此次歹意電子郵件報(bào)復(fù)打擊的整體影響很難往評(píng)定，可是報(bào)復(fù)打擊者社會(huì)工程的高度復(fù)雜化與最新縫隙與歹意軟件的利用都將為方針系統(tǒng)帶來(lái)延續(xù)增加的風(fēng)險(xiǎn)。Websense安然專家暗示，Websense可以按照?qǐng)?bào)復(fù)打擊的不合階段供給響應(yīng)的呵護(hù)辦法，與之前在Websense***上講述的高級(jí)威脅的7個(gè)階段比擬，在此次報(bào)復(fù)打擊中，我們可以供給在以下幾個(gè)階段供給呵護(hù)辦法：
第2階段(釣餌)——以?？怂剐侣劄橹黝}的電子郵件勾當(dāng)
第3階段(重定向)——將用戶引至可以供給縫隙操縱代碼的網(wǎng)站
第4階段(縫隙操縱東西包)——及時(shí)檢測(cè)用于此次報(bào)復(fù)打擊的BlackHole縫隙操縱東西包
第6階段(主動(dòng)傳遞)——歹意PDF文件攜帶的代碼可以與托管歹意軟件的辦事器聯(lián)系，已被Websense成功反對(duì)。別的，還加進(jìn)了闡發(fā)功能，檢測(cè)并禁止用于此PDF文件的C2和談。
第7階段(數(shù)據(jù)盜取)——具有滴管式DLP、光學(xué)字符辨認(rèn)(OCR)闡發(fā)和埋沒(méi)通道檢測(cè)等高級(jí)功能組的Websense的DLP(數(shù)據(jù)泄漏防護(hù))東西可以或許檢測(cè)并禁止敏感信息的泄漏。