作為有史以來最臭名昭著的網(wǎng)銀木馬之一，Zeus/Zbot衍生出了諸多的變種和仿照者。當(dāng)然，Zeus最大年夜的特點(diǎn)，就是其所扮演的“瀏覽器中間人”行動(dòng)(man-in-the-browser)?；诖耍占贯炚呖梢栽诓晦Z動(dòng)到受害人的環(huán)境下，匯集到他們的小我信息，并將之用于埋沒的在線生意。比來，一個(gè)新的變種又冒了出來，它的名字叫做ZeusVM。
ZeusVM木馬會(huì)操縱圖片作為釣餌并檢索建設(shè)文件，而這也是它可以或許順利得逞的首要前提。幾周前，法國安然研究人員Xylitol指出了一些希罕的歹意告白勾當(dāng)。而最坑人的，就是它會(huì)向統(tǒng)一臺(tái)主機(jī)上獲得所托管的JPG圖象。
后來，他奉告MalwareBytes.org，這個(gè)新變體所利用的“埋沒寫進(jìn)手藝”——即將歹意數(shù)據(jù)假裝在現(xiàn)有的文件中，而不會(huì)對宿主文件造成粉碎。
接下往的幾個(gè)禮拜，我們互換了幾封郵件，并且Xylitol發(fā)現(xiàn)了其它幾個(gè)行動(dòng)表示類似的作品。出于好奇，我們對這個(gè)小手法進(jìn)行了深進(jìn)研究。
好比：上圖是一張落日照，但你所不知道的是，它斑斕的外表下所隱躲著的“殺機(jī)”——用于盜取金錢的歹意代碼!
圖片闡發(fā)東西方面，我們有良多選擇?？墒瞧鹗?，讓我們找到這貨的“切確副本”。然后，讓我們細(xì)心做下比對。
找到匹配項(xiàng)以后，我們可以選擇一幅具有不異寬高度的圖片開端比對。然后，讓我們把兩幅圖象并排放到一路……
是不是是發(fā)覺到了一些異常？
經(jīng)由過程位圖模式下的比對，我們可以發(fā)現(xiàn)，二者之間竟然有著細(xì)微的差別。而這，極有可能就是注進(jìn)歹意代碼的成果(額外數(shù)據(jù))。
再然后，讓我們切換到16進(jìn)制查看器——隱含的數(shù)據(jù)當(dāng)即現(xiàn)身。當(dāng)然，如許的數(shù)據(jù)不是給人看的，我們再看下文本格局。
震動(dòng)的是，為了故障人們的瀏覽，這貨竟然還用Base64、RC4和XOR對代碼進(jìn)行了數(shù)據(jù)加密。當(dāng)然，想要把它逆轉(zhuǎn)過來也是可以的(好比經(jīng)由過程OllyDbg調(diào)試器、或用泄漏出來的Zeus源碼自行成立數(shù)據(jù)解緊縮模塊)。
解密后的建設(shè)文件如上，此中揭示了一些被其當(dāng)作方針的銀行和金融機(jī)構(gòu)。
在這些方針中，德意志銀行(Deutsche Bank)是比較刺眼的。上圖就是該行的登錄頁面(我們以它為例)。當(dāng)用戶在被傳染的計(jì)較機(jī)上把持的時(shí)辰，木馬就開端玩轉(zhuǎn)“中間人”的幻術(shù)了。
最可恨的是，銀行沒法辨別這些資金是不是被不法轉(zhuǎn)移，因?yàn)椤邦櫩汀北幌到y(tǒng)“準(zhǔn)確地驗(yàn)證并經(jīng)由過程了”。
當(dāng)然，這不是我們第一次見到有歹意軟件在無關(guān)痛癢的文件中嵌進(jìn)數(shù)據(jù)。不久前，網(wǎng)站安然公司Sucuri也透露過“一個(gè)看似無辜的PNG文件是如安在元數(shù)據(jù)中包含歹意指令的”。
經(jīng)由過程如許的編制，隱躲的歹意代碼乃至可以或許繞過基于簽名的進(jìn)侵檢測系統(tǒng)、乃至防病毒軟件。因?yàn)榉彩黔h(huán)境下，從一個(gè)網(wǎng)站治理員的角度來講，“一張可以或許被正常查看的圖片又有甚么標(biāo)題問題呢？”
可是，實(shí)際就是如斯殘暴、工作也就是這么簡單。不管是一個(gè)看似合法的圖片、歌曲、或片子文件，都有多是不!安!全!的!(防不堪防啊)
有趣的是，“隱寫術(shù)”是一個(gè)很是古老的做法。在古希臘的時(shí)辰，就有在木頭上刻字并用蠟封的真實(shí)應(yīng)用，良多人也是以而被愚弄。
從這方面看來，壞人們其實(shí)也沒有多大年夜的立異，他們只是用看似現(xiàn)代的編制，在故伎重演罷了。