HanDs
NO.2

围观2016年最活跃的“顶级Exploit Kit” 





学习中请遵循国家相关法律法规,黑客不作恶。没有网络安全就没有国家安全

本站需要登陆后才能查看

  俗话说知己知彼百战百胜,面对与时俱进,不断升级更新的Exploit Kit,我们必须要完全的了解和分析他们,才能实现有效的防御。本文将介绍当下最活跃的流行工具包——Angler,RIG和Neutrino。

  exploit-kit.png

  什么是Exploit Kit?

  预打包了安装程序、控制面板、恶意代码以及相当数量的攻击工具、通常基于PHP的一个软件。

  Exploit Kit经济体制

  价格在成百上千美元;

  可以按日/周/月来付租金;

  提供可以躲避审查的主机托管选项;

  甚至包含了最终用户许可协议;

  可以在不同kit之间择优选择;

  提供日常升级服务;

  2016年最活跃的ExploitKit

  1.AnglerExploit Kit

  关于Angler

  Angler Exploit Kit(EK)是一个钓鱼攻击工具包,出现于2013年,具有高度混淆性、侦察特性(其包含了尝试检测杀毒软件和虚拟机的代码)、反侦察性(其对网络传输的Payload进行加密以绕过IDS/IPS的检测,使用 “Fileless infections”等技术躲避杀毒软件的检测),同时其对最新漏洞的利用代码更新迅速,甚至在其中还会出现0day漏洞的利用代码,被一些安全研究人员视为目前世界上最先进的EK。

  然而,据威胁情报显示:自6月第二周起,不知何种原因,Angler忽然停止更新,销声匿迹。

  活跃度

  Angler直至2016年春天依然保持着强势的活跃度,并不断更新了许多漏洞利用工具(含0day),以及一项名为“域名阴影(Domain Shadowing)”的新技术。 长期活跃的 EITest 恶意软件家族自2014年起呈上升趋势,Darkleech恶意软件仍然保持活跃态势。

  image03.png

  2016年4-5月 Angler攻击趋势图

  如图所示,在2016年4月—5 月中旬期间,共有 6,500个Angler会话被阻断,活跃时间与西方的工作周浏览点击量相符,在周六和周日呈明显降低趋势。

  image00.png

  Angler攻击分布图

  不出所料,大部分的Angler攻击出现在美国,同时,西欧国家也出现了大规模的Angler攻击行为。

  2016年6月中旬开始,Angler的活跃程度骤然下降。许多此前服务于Angler的EITest campaign gates现在只为Neutrino或是Sundown exploit kit登录页提供服务。同时,Angler的消失也让CryptXXX勒索软件(Trojan.Cryptolocker.AN)活跃性大减,因为Angler原本一直是CrypXXX输出的主要途经。

  pasted image 0.png

  2016年6月中旬起Angler活跃程度降低

  AnglerExploit Kit执行

  2016年4月初,研究人员发现了一个Angler陷阱网页(Landing page)新变体,它更改了原本的混淆技术来逃避检测,增加分析难度。4月和5月发现的Angler样本与这些新模式一致。在此期间,Angler域名阴影新技术(犯罪分子更新了一些合法域名的DNS记录,添加了多个指向恶意EK的子域名-这种技术叫做域名阴影)通过两个不同的JavaScript混淆技术用于服务两个单独的登录网页。

  image12.png

  同一个Angler主机服务的两个登录页

  为了更好地躲避入侵检测措施,Angler的攻击负载(Payload)在通过受害者网络时进行加密,并在最后阶段通过填充数据代码(Shellcode)进行解密。攻击负载即Bedep,它本身并不是恶意软件,但却可用于下载其他恶意软件。

  Angler主要利用Flash和Silverlight中的漏洞。四月份收集的样本中包含使用CVE-2016-1019的Flash负载,该漏洞主要影响21.0.0.182之前版本,并曾大规模攻击20.0.0.306版本。研究人员也发现了以Silverlight 4.0.50524.0版本为目标的样本。

  恶意软件传播

  4月份,TeslaCrypt仍然是主要的传播负载,但是到5月中旬,新型的Angler开始使用Bedep和CryptXXX代替TeslaCrypt。

  6月1日开始,全球最大的恶意体系结构——Necurs僵尸网络似乎消失了。另外两大重要的Exploit Kit攻击工具包,Angler和Nuclear似乎也都消失了。Angler和Nuclear的消失促成了其他Exploit Kit的成长,主要是Neutrino和RIG:

  2. RIG Exploit Kit

  关于RIG

  RIG发现于2014年,主要以Java,Flash和Silverlight漏洞为目标。2015年初, RIG源代码泄露事件将其带入安全人员的视野。泄露发生后,RIG的主要架构并没有发生很大的改变,现在它仍然是十分活跃的漏洞利用工具。

  活跃度

  RIG的登录页和负载下载使用相同的URI机制。研究人员发现4月和5月的大部分样本都使用了“topgunn”gate,其仍然是RIG EK的主要感染源。

  6月初,RIG的登录页域名开始采取新的形式,摆脱了传统的二字节子域名,并使用动态DNS提供商。

  pasted image qe0.png

  新的RIG登录页域名和动态DNS

  另外,研究人员还发现了一些exploit cycle的gate重定向流的变化。被感染的网站首先会被重定向到一个.html文档,然后重定向到具有相同文件名的.phtml(一种不常见的PHP文件格式)文档,最后才会跳转到登录页。

  image01.png

  4月到5月RIG感染情况

  如图所见,RIG感染事件在4月底明显减少,但是5月至6月中旬又呈现增长趋势。

  image07.png

  RIG热点分布图

  如图所示:大部分的RIG感染事件发生在美国。

  RIG Exploit Kit执行

  4月和5月的感染事件中大量使用了“Quad Power” gate。该“Quad Power” gate使用带有相同二级域名的.win、.top、 .party和.bid TLDs为登录页提供服务。

  image05.png

  RIG感染的网站IFrame注入实例

  image09.png

  RIG登录页实例

  恶意软件传播

  2016年早期,安全人员就发现RIG将Tofsee后门作为其漏洞利用的一部分。最近,RIG又开始使用了新的Zeus负载。

  一篇 恶意流量分析报告中对一些使用Tofsee负载的RIG样本进行了分析。这些发现与研究人员在2015年秋季监测到的恶意软件活动完全符合。

  4月初,研究人员发现了针对“Whoads”广告服务的恶意感染事件。该过程导致RIG登陆页通过一个HTTPS连接和两级gate,最后下载Qbot恶意软件成为其最终有效负载。根据BAE Systems 以及 Kaspersky Threatpost的报道显示,该事件与Qbot恶意软件的活跃度整体上升相关。

  3. Neutrino Exploit Kit

  关于Neutrino

  Neutrino结构十分简单,并且不像其他漏洞利用工具一样具备强大的混淆技术和反沙箱技术,但这并不妨碍它依然备受青睐。加之近期Angler忽然停止更新,销声匿迹,而第二大流行工具包“Nuclear”也从网络上下线。老大老二的退出,让老三成功上位。现在“Neutrino”一跃成为漏洞利用工具包的老大,由于竞争对手的死亡,其售价竟然翻了一番。

  活跃度

  Neutrino并不如RIG和Angler活跃,但是2015年秋至今其感染率一直保持稳定。几乎每周都会为恶意感染和入侵主机等活动建设新的登陆页,服务于Angler的EITest gate现在也开始为Neutrino登录页提供服务,尤其是Angler感染率下降后,EITest gate开始长期服务于Neutrino登陆页。

  研究人员发现,在2016年第一季度,绝大部分的Neutrino感染事件的登录页使用了.top TLD域名,并且主要以Adobe Flash Player为攻击目标。研究人员还发现Neutrino的登陆页可以加载多种恶意软件负载,包括Tofsee、Gamarue/Andromeda、Panda Banker以及各种勒索软件等。

  image10.png

  4月-5月Neutrino感染情况

  pasted image fec rg0.png

  Neutrino热点分布图

  如上所示:大部分Neutrino主机位于美国、意大利和罗马尼亚。

  NeutrinoExploit Kit执行

  被感染网站上的Neutrino footprint非常小,通常只是在主页面开始处的一个IFrame标签。除了EITest gate,Neutrino很少使用其他gate。

  image04.png

  网站IFrame注入

  Neutrino的登陆页不具备像Angler以及其他先进exploit kits一样复杂的JavaScript混淆技术。2016年第一季度,安全人员观察到的所有登录页都使用了比较简单的格式,和加载SWF exploit的Flash Player对象差不多。

  今年4月,Luis Rocha发表了一份“SANS白皮书 ”,其中包含对Neutrino体系结构的详细分析。

  image08.png

  Neutrino登录页

  研究人员在4月和5月恶意感染活动中观察到的Neutrino页面构造也是非常简单的,通常只包含一个重定向到登录页的IFrame,有时会包含一个加载真实广告内容的二层IFrame。

  恶意软件传播

  5月中旬,研究人员发现了一个完整的Neutrino利用过程,最终实现了一个Gamarue木马有效负载的加载。该广告服务页面中包含一个可以加载casino-themed广告内容的IFrame标签,以及从同一个主机加载中间页来隐藏利用工具的IFrame标签,中间页中可以重定向到Neutrino登录页。

  image11.png

  使用中间页的感染

  总结

  Exploit kits对用户进行网页浏览带来了严重隐患。以勒索软件为例,感染的结果可能是使用户无法访问文件。这些Exploit kits的开发者定期更新隐藏和混淆行技术,加大监测和分析难度,而安全人员则竭力分析并阻止不断出现的新威胁。

  对于普通用户而言,应该禁止加载不可信的第三方脚本和资源,避免点击恶意广告,从根本上阻断这些Exploit kits的运行。


学习中请遵守法律法规,本网站内容均来自于互联网,本网站不负担法律责任
围观
#1楼
发帖时间:2016-7-9   |   查看数:0   |   回复数:0
游客组