回到首页| 网络安全 名人故事 申请书 | 名人名言 财富榜 关于我们

当前位置:名人故事传 > 互联网 > 黑科技 > > 正文

围观2021年最活跃的“顶级Exploit Kit

07-23  黑科技     来源: 未知  
什么是Exploit Kit?

预打包了安装程序、控制面板、恶意代码以及相当数量的攻击工具、通常基于PHP的一个软件。

Exploit Kit经济体制

价格在成百上千美元;

可以按日/周/月来付租金;

提供可以躲避审查的主机托管选项;

甚至包含了最终用户许可协议;

可以在不同kit之间择优选择;

提供日常升级服务;

2016年最活跃的ExploitKit1.AnglerExploit Kit关于Angler

Angler Exploit Kit(EK)是一个钓鱼攻击工具包,出现于2013年,具有高度混淆性、侦察特性(其包含了尝试检测杀毒软件和虚拟机的代码)、反侦察性(其对网络传输的Payload进行加密以绕过IDS/IPS的检测,使用 “Fileless infections”等技术躲避杀毒软件的检测),同时其对最新漏洞的利用代码更新迅速,甚至在其中还会出现0day漏洞的利用代码,被一些安全研究人员视为目前世界上最先进的EK。

然而,据威胁情报显示:自6月第二周起,不知何种原因,Angler忽然停止更新,销声匿迹。

活跃度

Angler直至2016年春天依然保持着强势的活跃度,并不断更新了许多漏洞利用工具(含0day),以及一项名为“域名阴影(Domain Shadowing)”的新技术。 长期活跃的 EITest 恶意软件家族自2014年起呈上升趋势,Darkleech恶意软件仍然保持活跃态势。

2016年4-5月 Angler攻击趋势图

如图所示,在2016年4月—5 月中旬期间,共有 6,500个Angler会话被阻断,活跃时间与西方的工作周浏览点击量相符,在周六和周日呈明显降低趋势。

Angler攻击分布图

不出所料,大部分的Angler攻击出现在美国,同时,西欧国家也出现了大规模的Angler攻击行为。

2016年6月中旬开始,Angler的活跃程度骤然下降。许多此前服务于Angler的EITest campaign gates现在只为Neutrino或是Sundown exploit kit登录页提供服务。同时,Angler的消失也让CryptXXX勒索软件(Trojan.Cryptolocker.AN)活跃性大减,因为Angler原本一直是CrypXXX输出的主要途经。

2016年6月中旬起Angler活跃程度降低

AnglerExploit Kit执行

2016年4月初,研究人员发现了一个Angler陷阱网页(Landing page)新变体,它更改了原本的混淆技术来逃避检测,增加分析难度。4月和5月发现的Angler样本与这些新模式一致。在此期间,Angler域名阴影新技术(犯罪分子更新了一些合法域名的DNS记录,添加了多个指向恶意EK的子域名-这种技术叫做域名阴影)通过两个不同的JavaScript混淆技术用于服务两个单独的登录网页。

同一个Angler主机服务的两个登录页

为了更好地躲避入侵检测措施,Angler的攻击负载(Payload)在通过受害者网络时进行加密,并在最后阶段通过填充数据代码(Shellcode)进行解密。攻击负载即Bedep,它本身并不是恶意软件,但却可用于下载其他恶意软件。

Angler主要利用Flash和Silverlight中的漏洞。四月份收集的样本中包含使用CVE-2016-1019的Flash负载,该漏洞主要影响21.0.0.182之前版本,并曾大规模攻击20.0.0.306版本。研究人员也发现了以Silverlight 4.0.50524.0版本为目标的样本。

恶意软件传播

4月份,TeslaCrypt仍然是主要的传播负载,但是到5月中旬,新型的Angler开始使用Bedep和CryptXXX代替TeslaCrypt。

6月1日开始,全球最大的恶意体系结构——Necurs僵尸网络似乎消失了。另外两大重要的Exploit Kit攻击工具包,Angler和Nuclear似乎也都消失了。Angler和Nuclear的消失促成了其他Exploit Kit的成长,主要是Neutrino和RIG:

2. RIG Exploit Kit

关于RIG

RIG发现于2014年,主要以Java,Flash和Silverlight漏洞为目标。2015年初, RIG源代码泄露事件将其带入安全人员的视野。泄露发生后,RIG的主要架构并没有发生很大的改变,现在它仍然是十分活跃的漏洞利用工具。

活跃度

RIG的登录页和负载下载使用相同的URI机制。研究人员发现4月和5月的大部分样本都使用了“topgunn”gate,其仍然是RIG EK的主要感染源。

6月初,RIG的登录页域名开始采取新的形式,摆脱了传统的二字节子域名,并使用动态DNS提供商。

新的RIG登录页域名和动态DNS

另外,研究人员还发现了一些exploit cycle的gate重定向流的变化。被感染的网站首先会被重定向到一个.html文档,然后重定向到具有相同文件名的.phtml(一种不常见的PHP文件格式)文档,最后才会跳转到登录页。

4月到5月RIG感染情况

如图所见,RIG感染事件在4月底明显减少,但是5月至6月中旬又呈现增长趋势。

RIG热点分布图

如图所示:大部分的RIG感染事件发生在美国。

RIG Exploit Kit执行

4月和5月的感染事件中大量使用了“Quad Power” gate。该“Quad Power” gate使用带有相同二级域名的.win、.top、 .party和.bid TLDs为登录页提供服务。

RIG感染的网站IFrame注入实例

RIG登录页实例

恶意软件传播

2016年早期,安全人员就发现RIG将Tofsee后门作为其漏洞利用的一部分。最近,RIG又开始使用了新的Zeus负载。

一篇 恶意流量分析报告中对一些使用Tofsee负载的RIG样本进行了分析。这些发现与研究人员在2015年秋季监测到的恶意软件活动完全符合。

4月初,研究人员发现了针对“Whoads”广告服务的恶意感染事件。该过程导致RIG登陆页通过一个HTTPS连接和两级gate,最后下载Qbot恶意软件成为其最终有效负载。根据BAE Systems 以及 Kaspersky Threatpost的报道显示,该事件与Qbot恶意软件的活跃度整体上升相关。

3. Neutrino Exploit Kit

关于Neutrino

Neutrino结构十分简单,并且不像其他漏洞利用工具一样具备强大的混淆技术和反沙箱技术,但这并不妨碍它依然备受青睐。加之近期Angler忽然停止更新,销声匿迹,而第二大流行工具包“Nuclear”也从网络上下线。老大老二的退出,让老三成功上位。现在“Neutrino”一跃成为漏洞利用工具包的老大,由于竞争对手的死亡,其售价竟然翻了一番。

活跃度

Neutrino并不如RIG和Angler活跃,但是2015年秋至今其感染率一直保持稳定。几乎每周都会为恶意感染和入侵主机等活动建设新的登陆页,服务于Angler的EITest gate现在也开始为Neutrino登录页提供服务,尤其是Angler感染率下降后,EITest gate开始长期服务于Neutrino登陆页。

研究人员发现,在2016年第一季度,绝大部分的Neutrino感染事件的登录页使用了.top TLD域名,并且主要以Adobe Flash Player为攻击目标。研究人员还发现Neutrino的登陆页可以加载多种恶意软件负载,包括Tofsee、Gamarue/Andromeda、Panda Banker以及各种勒索软件等。

4月-5月Neutrino感染情况

互联网 网络安全 申请书 创业资讯 创业故事明朝十六帝故事
© 2012-2022 名人故事传网版权所有 关于我们 | 版权声明 | 网站协议 | 友情申请 | 免责声明 | 网站地图 | 联系我们 | 广告服务