• 西安市:构建“五方联动”社会治理新格局 2019-06-23
  • IP定向--云南频道--人民网 2019-06-23
  • 育儿十大坎 新手妈妈快快get起来 2019-06-21
  • 吉林:让更多农村孩子参加少年宫活动 2019-06-21
  • 美国发起贸易战,我们要让世界知道美元、美债并不可靠 2019-06-05
  • 紫光阁中共中央国家机关工作委员会 2019-05-31
  • 监察体制改革后 湘西半年72名公职人员主动交代问题 2019-05-12
  • 媒体宣传报道重庆日报 王国平:扮靓重庆两江四岸” 让城市有机更新 2019-04-26
  • 我相信“交警雨中护送高考生”是真,“交警雨中护送高考生”反被该高考生家长投诉是假。 2019-04-16
  • 14名消防员日巡逻28公里 洗冷水澡 2019-04-10
  • 靶壕有了“蓝军”,百发百中的“神枪手”练起来 2019-04-10
  • 不是秀强大了,别人就会来做朋友,这逻辑不对 2019-04-01
  • 候选企业:中国石油呼和浩特石化公司 2019-03-26
  • 航天员沙漠野外生存训练完美收官!为第一天团打call 2019-03-25
  • 请问,建立市场经济后,原计划经济哪里去?改革后,我们还在实行计划经济,为何没有提及? 2019-03-25
  • 频道栏目
    神奇公式秒杀全国11选5 > 安全 > 网络安全 > 正文

    倍投技巧1.3.8.15:幽灵间谍:“TrickBot”新变种运用“无文件”技术发起攻击

    2018-10-19 10:11:15         来源:[db:作者]  
    收藏   我要投稿

    神奇公式秒杀全国11选5 www.2zfa.com 0x1 前言
    近日,360互联网安全中心捕捉到一例“TrickBot”银行木马新变种。相比较过去出现过的“TrickBot”银行木马,该新变种攻击过程中无任何文件落地,包括载荷下载、窃密、屏幕截图在内的所用功能都由一段PowerShell命令完成。
    “TrickBot”银行木马最早出现于2016年底,主要通过挂马网页、钓鱼文档传播,进入受害者计算机后窃取计算机中邮箱密码、浏览器中存储的网站凭证等敏感数据,注入浏览器窃取网银帐户密码,盗取受害者资产。
     
    0x2 新变种运用“无文件”攻击技术
    过去的“TrickBot”银行木马一般通过带有恶意宏的Office文档启动PowerShell应用程序下载载荷到本地执行,这么做会导致载荷文件落地,一旦载荷文件被杀毒软件查杀攻击即宣告失败。图1展示了过去的“TrickBot”变种攻击流程

    图1 过去的“TrickBot”变种攻击流程
    捕获的“TrickBot”新变种简化了攻击流程,去掉了载荷释放这一步骤,所用功能都由一段PowerShell命令行执行。如此一来攻击流程中无文件落地,降低了被杀毒软件查杀的风险。图二展示了捕获到的“TrickBot”新变种攻击流程。

    图2 “TrickBot”新变种攻击流程
     
    0x3 新变种所有功能由一段PowerShell命令完成
    当用户打开带有恶意宏的Office文档时,文档执行如图3所示的PowerShell命令。

    图3 恶意宏执行的PowerShell命令
    这段命令使PowerShell从hxxp://162.244.32.185/jquery.js读取另一段PowerShell命令执行。这段命令中包含两段Shellcode,第一段Shellcode是一个用C#语言编写的反射注入Dll,第二段Shellcode用于完成窃密等功能。

    图4 执行的PowerShell命令
    值得一提的是,在这段PowerShell命令中调用了[OqkZsI7.OqkZsI7]类的成员函数Ck2Ya和WETJLKk2r1而未见到[OqkZsI7.OqkZsI7]类的声明。这实际上是对PowerShell内嵌.NET Framework灵活应用。在Powershell中可以使用.NET Framework的类库,也可以使用C#语言的语法定义并执行函数。这段Powershell命令中并未直接写入.NET代码,而是通过反射注入的方式将C#语言编写的dll(第一段Shellcode)载入内存,Dll中对[OqkZsI7.OqkZsI7]类进行声明,并提供Ck2Ya、WETJLKk2r1等成员函数供PowerShell使用。

    图5 “TrickBot”新变中对.NET Framework类的调用
    这个反射注入Dll主要负责字符串的加解密工作,其中Ck2Ya函数输出的部分字符串将与hxxp://162.244.32.185拼接得到下阶段载荷地址或者窃取数据的上传地址,而iputY7e函数输出的字符串将作为Shellcode被TLybhcYk0k函数执行??上У氖?,下阶段载荷已经无法下载。

    图6 PowerShell命令执行反射注入Dll函数过程
    第二段Shellcode则是完成TrickBot的主要功能,包括获取系统信息、获取Outlook邮箱帐户和密码以及上传屏幕截图。这些功能都由PowerShell完成。

    图7 获取系统信息

    图8 窃取Outlook邮箱帐户及密码

    图9 屏幕截图并上传
     
    0x4 防护建议
    银行木马大部分通过垃圾邮件传播,一般以“Request order”、“Confirm Invoice”这类与“订单”、“付款单”相关的字样作为邮件标题,若收到这类标题的邮件时先确定发件人身份再决定是否打开邮件中的附件查看。
    “TrickBot”银行木马一般通过宏执行恶意功能,而宏是默认禁用的。当接收到未知来源的Office文档时,千万不要启用宏。

    安装360安全卫士拦截此类型的攻击。

    相关TAG标签 变种 间谍 幽灵
    上一篇:“隐匿者”病毒团伙技术升级传播病毒,暴力入侵电脑威胁全网用户
    下一篇:疑似方正集团子公司签名泄露 遭黑客利用盗取Steam账号
    相关文章
    图文推荐

    关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 神奇公式秒杀全国11选5

    版权所有: 神奇公式秒杀全国11选5--致力于做实用的IT技术学习网站

  • 西安市:构建“五方联动”社会治理新格局 2019-06-23
  • IP定向--云南频道--人民网 2019-06-23
  • 育儿十大坎 新手妈妈快快get起来 2019-06-21
  • 吉林:让更多农村孩子参加少年宫活动 2019-06-21
  • 美国发起贸易战,我们要让世界知道美元、美债并不可靠 2019-06-05
  • 紫光阁中共中央国家机关工作委员会 2019-05-31
  • 监察体制改革后 湘西半年72名公职人员主动交代问题 2019-05-12
  • 媒体宣传报道重庆日报 王国平:扮靓重庆两江四岸” 让城市有机更新 2019-04-26
  • 我相信“交警雨中护送高考生”是真,“交警雨中护送高考生”反被该高考生家长投诉是假。 2019-04-16
  • 14名消防员日巡逻28公里 洗冷水澡 2019-04-10
  • 靶壕有了“蓝军”,百发百中的“神枪手”练起来 2019-04-10
  • 不是秀强大了,别人就会来做朋友,这逻辑不对 2019-04-01
  • 候选企业:中国石油呼和浩特石化公司 2019-03-26
  • 航天员沙漠野外生存训练完美收官!为第一天团打call 2019-03-25
  • 请问,建立市场经济后,原计划经济哪里去?改革后,我们还在实行计划经济,为何没有提及? 2019-03-25
  • 广东快乐10分助手下载 竞猜足彩 四季肖9769四肖中特 黑龙江时时彩组选图表 江苏快三遗漏双彩网 云南福利彩票走势图 香港赛马会必中特码段 江西时时彩外挂群号 黑龙江p62今天开奖结果查询 福建时时彩历史开奖号码 体彩福建36选7第18058期 快乐十分助手下载 福建36选7开奖现场直播 t幸运赛车开奖结果查询 海南码开奖结果