转载

围观2016年最活跃的“顶级Exploit Kit”

Exploit Kit作为传播犯罪软件的重要工具,一直深受网络犯罪分子喜爱。俗话说知己知彼百战百胜,面对与时俱进,不断升级更新的 Exploit Kit 我们必须要完全的了解和分析他们,才能实现有效的防御。本文将介绍当下最活跃的流行工具包——Angler,RIG和Neutrino。

围观2016年最活跃的“顶级Exploit Kit”

什么是Exploit Kit?

预打包了安装程序、控制面板、恶意代码以及相当数量的攻击工具、通常基于PHP的一个软件。

Exploit Kit经济体制

价格在成百上千美元;

可以按日 / / 月来付租金;

提供可以躲避审查的主机托管选项;

甚至包含了最终用户许可协议;

可以在不同 kit 之间择优选择;

提供日常升级服务;

2016年最活跃的ExploitKit

1.AnglerExploit Kit

关于 Angler

Angler Exploit Kit (EK)是一个钓鱼攻击工具包,出现于2013年,具有高度混淆性、侦察特性(其包含了尝试检测杀毒软件和虚拟机的代码)、反侦察性(其对网络传输的Payload进行加密以绕过IDS/IPS的检测,使用 “Fileless infections”等技术躲避杀毒软件的检测),同时其对最新漏洞的利用代码更新迅速,甚至在其中还会出现0day漏洞的利用代码,被一些安全研究人员视为目前世界上最先进的EK。

然而,据威胁情报显示:自6月第二周起,不知何种原因,Angler忽然停止更新,销声匿迹。

活跃度

Angler 直至2016年春天依然保持着强势的活跃度,并不断更新了许多漏洞利用工具(含0day),以及一项名为“域名阴影(Domain Shadowing)”的新技术。   长期活跃的 EITest  恶意软件家族自2014年起呈上升趋势, Darkleech 恶意软件仍然保持活跃态势。

围观2016年最活跃的“顶级Exploit Kit”

2016 年4-5月 Angler攻击趋势图

如图所示,在 2016 4 月— 5 月中旬期间,共有 6,500 Angler 会话被阻断,活跃时间与西方的工作周浏览点击量相符,在周六和周日呈明显降低趋势。

围观2016年最活跃的“顶级Exploit Kit”

Angler攻击分布图

不出所料,大部分的Angler攻击出现在美国,同时,西欧国家也出现了大规模的Angler攻击行为。

2016年6月中旬开始,Angler的活跃程度骤然下降。许多此前服务于Angler的EITest campaign gates现在只为Neutrino或是Sundown exploit kit登录页提供服务。同时,Angler的消失也让CryptXXX勒索软件(Trojan.Cryptolocker.AN)活跃性大减,因为Angler原本一直是CrypXXX输出的主要途经。

围观2016年最活跃的“顶级Exploit Kit”

2016年6月中旬起Angler活跃程度降低

AnglerExploit Kit执行

2016年4月初,研究人员发现了一个Angler陷阱网页(Landing page)新变体,它更改了原本的混淆技术来逃避检测,增加分析难度。4月和5月发现的Angler样本与这些新模式一致。在此期间,Angler域名阴影新技术(犯罪分子更新了一些合法域名的DNS记录,添加了多个指向恶意EK的子域名-这种技术叫做 域名阴影 ) 通过两个不同的JavaScript混淆技术 用于服务两个单独的登录网页。

围观2016年最活跃的“顶级Exploit Kit”

同一个Angler主机服务的两个登录页   

为了更好地躲避入侵检测措施, Angler 的攻击负载(Payload)在通过受害者网络时进行加密,并在最后阶段通过填充数据代码(Shellcode)进行解密。攻击负载即Bedep,它本身并不是恶意软件,但却可用于下载其他恶意软件。

Angler主要利用Flash和Silverlight中的漏洞。四月份收集的样本中包含使用CVE-2016-1019的Flash负载,该漏洞主要影响21.0.0.182之前版本,并曾大规模攻击20.0.0.306版本。研究人员也发现了以Silverlight 4.0.50524.0版本为目标的样本。

恶意软件传播

4月份,TeslaCrypt仍然是主要的传播负载,但是到5月中旬,新型的Angler开始使用Bedep和CryptXXX代替TeslaCrypt。

6 月1日开始,全球最大的恶意体系结构——Necurs僵尸网络似乎消失了。另外两大重要的Exploit Kit攻击工具包,Angler和Nuclear似乎也都消失了 Angler和Nuclear的消失促成了其他Exploit Kit的成长,主要是Neutrino和RIG:

2. RIG Exploit Kit

关于 RIG

RIG 发现于2014年,主要以Java,Flash和Silverlight漏洞为目标。2015年初, RIG源代码泄露事件将其带入安全人员的视野。泄露发生后,RIG的主要架构并没有发生很大的改变,现在它仍然是十分活跃的漏洞利用工具。

活跃度

RIG的登录页和负载下载使用相同的URI机制。研究人员发现4月和5月的大部分样本都使用了“topgunn”gate,其仍然是RIG EK的主要感染源。

6月初,RIG的登录页域名开始采取新的形式,摆脱了传统的二字节子域名,并使用动态DNS提供商。

围观2016年最活跃的“顶级Exploit Kit”

新的RIG登录页域名和动态DNS

另外,研究人员还发现了一些exploit cycle的gate重定向流的变化。被感染的网站首先会被重定向到一个.html文档,然后重定向到具有相同文件名的.phtml(一种不常见的PHP文件格式)文档,最后才会跳转到登录页。

围观2016年最活跃的“顶级Exploit Kit”

4月到5月RIG感染情况

如图所见,RIG感染事件在4月底明显减少,但是5月至6月中旬又呈现增长趋势。

围观2016年最活跃的“顶级Exploit Kit”

RIG热点分布图

如图所示:大部分的RIG感染事件发生在美国。

RIG Exploit Kit执行

4月和5月的感染事件中大量使用了“Quad Power” gate。该“Quad Power” gate使用带有相同二级域名的.win、.top、 .party和.bid TLDs为登录页提供服务。

围观2016年最活跃的“顶级Exploit Kit”

RIG感染的网站IFrame注入实例

围观2016年最活跃的“顶级Exploit Kit”

RIG登录页实例

恶意软件传播

2016年早期,安全人员就发现RIG将Tofsee后门作为其漏洞利用的一部分。最近,RIG又开始使用了新的Zeus负载。

一篇 恶意流量分析报告 中对一些使用Tofsee负载的RIG样本进行了分析。这些发现与研究人员在2015年秋季监测到的恶意软件活动完全符合。

4月初,研究人员发现了针对“Whoads”广告服务的恶意感染事件。该过程导致RIG登陆页通过一个HTTPS连接和两级gate,最后下载Qbot恶意软件成为其最终有效负载。根据BAE Systems 以及 Kaspersky Threatpost的报道显示,该事件与Qbot恶意软件的活跃度整体上升相关。

3. Neutrino Exploit Kit

关于Neutrino

Neutrino结构十分简单,并且不像其他漏洞利用工具一样具备强大的混淆技术和反沙箱技术,但这并不妨碍它依然备受青睐。加之近期Angler忽然停止更新,销声匿迹,而第二大流行工具包“Nuclear”也从网络上下线。老大老二的退出,让老三成功上位。现在“Neutrino”一跃成为漏洞利用工具包的老大,由于竞争对手的死亡,其售价竟然翻了一番。

活跃度

Neutrino并不如RIG和Angler活跃,但是2015年秋至今其感染率一直保持稳定。几乎每周都会为恶意感染和入侵主机等活动建设新的登陆页,服务于Angler的EITest gate现在也开始为Neutrino登录页提供服务,尤其是Angler感染率下降后,EITest gate开始长期服务于Neutrino登陆页。

研究人员发现,在2016年第一季度,绝大部分的Neutrino感染事件的登录页使用了.top TLD域名,并且主要以Adobe Flash Player为攻击目标。研究人员还发现Neutrino的登陆页可以加载多种恶意软件负载,包括Tofsee、Gamarue/Andromeda、Panda Banker以及各种勒索软件等。

围观2016年最活跃的“顶级Exploit Kit”

4月-5月Neutrino感染情况

围观2016年最活跃的“顶级Exploit Kit”

Neutrino热点分布图

如上所示:大部分Neutrino主机位于美国、意大利和罗马尼亚。

NeutrinoExploit Kit执行

被感染网站上的Neutrino footprint非常小,通常只是在主页面开始处的一个IFrame标签。除了EITest gate,Neutrino很少使用其他gate。

围观2016年最活跃的“顶级Exploit Kit”

网站IFrame注入

Neutrino的登陆页不具备像Angler以及其他先进exploit kits一样复杂的JavaScript混淆技术。2016年第一季度,安全人员观察到的所有登录页都使用了比较简单的格式,和加载SWF exploit的Flash Player对象差不多。

今年4月,Luis Rocha发表了一份“ SANS白皮书 ”,其中包含对Neutrino体系结构的详细分析。

围观2016年最活跃的“顶级Exploit Kit”

Neutrino登录页

研究人员在4月和5月恶意感染活动中观察到的Neutrino页面构造也是非常简单的,通常只包含一个重定向到登录页的IFrame,有时会包含一个加载真实广告内容的二层IFrame。

恶意软件传播

5月中旬,研究人员发现了一个完整的Neutrino利用过程,最终实现了一个Gamarue木马有效负载的 加载 。该广告服务页面中包含一个可以加载casino-themed广告内容的IFrame标签,以及从同一个主机加载中间页来隐藏利用工具的IFrame标签,中间页中可以重定向到Neutrino登录页。

围观2016年最活跃的“顶级Exploit Kit”

使用中间页的感染

总结

Exploit kits对用户进行网页浏览带来了严重隐患。以勒索软件为例,感染的结果可能是使用户无法访问文件。这些 Exploit kits 的开发者定期更新隐藏和混淆行技术,加大监测和分析难度,而安全人员则竭力分析并阻止不断出现的新威胁。

对于普通用户而言,应该禁止加载不可信的第三方脚本和资源,避免点击恶意广告,从根本上阻断这些 Exploit kits 的运行。

  * 原文链接: zscaler ,FB小编米雪儿编译, 转载请注明来自FreeBuf黑客与极客(FreeBuf.COM) 

原文  http://www.freebuf.com/news/108512.html
正文到此结束
Loading...