日本超过8万台计算机感染网银病毒!

来源:互联网 发布:linux运维发展方向 编辑:程序博客网 时间:2024/05/06 07:33


 

日本东京警察局最近发现约有八万两千台计算机,感染了一种叫”VAWTRAK”新型病毒,能够非法转账网络银行存款。

为了加强网上银行安全,不少银行都会要求客户根据手机,输入只能使用一次的验证码。不过东京警察局发现有黑客利用新型计算机病毒及网络诈骗网站,成功盗取受害者的验证码,将受害者的存款暗中转账到其他账户。过去一年中类似案件多达一千八百宗,涉及金额共二十九亿日元。

去年八月份日本石川县一名女子曾举报遭黑客盗取验证码,从账户盗走九十六万日元。警方发现受害者的计算机感染VAWTRAK病毒,当登录网络银行后,画面出现要求输入验证码的假网站,只要受害人输入相关数据便中招,在受害人毫不知情的情况下非法转账。

日本大约有四万四千台计算机感染这种新型病毒,其余分布在欧美与亚洲等几十个国家,日方已经通过“国际刑警组织”,向各国提供相关信息。

    以下是趋势科技在今年年初对该病毒所做的分析:

    银行木马VAWTRAK利用恶意宏及Windows PowerShell

趋势科技在去年发现Windows的PowerShell命令行如何被恶意宏下载程序用来散播ROVNIX。虽然在11月的攻击并没有直接利用PowerShell功能,但是我们发现银行木马VAWTRAK滥用此Windows功能同时,也利用微软Word内的恶意宏。

银行木马VAWTRAK跟窃取网络银行数据有关。被针对的银行包括美国银行、巴克莱银行、花旗银行、汇丰银行、劳埃德银行和摩根大通。过去也看过一些变种针对德国、英国、瑞士和日本的银行。

    通过“联邦快递“垃圾邮件到达

感染链开始于垃圾邮件。大多数和此感染相关的邮件都伪装成来自联邦快递(FedEX)。这些假邮件通知收件人包裹寄达,还包含了收据号码。

(“联邦快递”垃圾邮件)

趋势科技发现另一封邮件来自假的美国航空(American Airlines)电子邮件地址,它通知收件人信用卡已经被用来处理交易。附上的是Word格式的电子机票,里面本应该要包含交易细节。

(“美国航空”电子邮件)

    使用宏和PowerShell

当收件人打开文件后会先看到乱码。文件要求用户启用宏,左上角的安全警告会引导用户去启用该功能。

(文件启用宏前、后)

宏一旦被启用后,会在受影响系统中植入一个批处理文件,还包括一个VBS文件和一个PowerShell文件。这个批处理文件被设计用来执行VBS文件,然后提示执行PowerShell文件。PowerShell文件最终会下载VAWTRAK变种(侦测为BKDR_VAWTRAK.DOKR)。

(连到特定网址下载VAWTRAK)

使用三个组件(批处理文件、VBScript和Windows PowerShell文件)可能是种躲避侦测的手段。VBS文件具备“-ExecutionPolicy bypass”旗标绕过受影响系统的执行政策。这些政策往往被许多管理者视为”安全“功能。它们不会允许文件执行,除非符合政策要求。当使用“-ExecutionPolicy bypass”后,“不会封锁任何事情,而且没有警告或提示”。这意味着恶意软件感染链没有任何安全性封锁就可以被进行。

   VAWTRAK恶意行为

一旦BKDR_VAWTRAK.DOKR进入计算机,它会从不同来源窃取数据。例如,它会从邮件服务(如微软Outlook和Windows Mail)窃取电子邮件登陆证书。它也会试图从不同浏览器(包括Google Chrome和Mozilla Firefox)窃取数据。它还会从文件传输软件或文件管理软件比如FileZilla窃取帐户信息。

此外,BKDR_VAWTRAK.DOKR可以绕过像一次性密码(OTP)的双因子身份认证,也具备像自动化转账系统(ATS)等功能。

VAWTRAK恶意软件的SSL绕过和ATS能力取决于它接收到的配置文件。配置文件包含了用于ATS和SSL的脚本,该脚本会被注入到浏览器。恶意文件可能根据目标网站而不同,SSL绕过和ATS脚本就像注入到客户端浏览器的自动化脚本。这将制造出受害者计算机上的交易已经完成的印象,减少对恶意软件的怀疑。

   VAWTRAK,新与旧

使用带有恶意宏Word文件,这跟之前已知的VAWTRAK抵达方式不同。 VAWTRAK变种之前是漏洞攻击带来的恶意软件;有些VAWTRAK感染是Angler漏洞攻击被感染的一部分。使用宏的行为跟其它数据窃取恶意软件类似,尤其是ROVNIX和DRIDEX。

我们看到另一个明显的变化是恶意软件所使用的路径和文件名。VAWTRAK变种之前使用以下路径和文件名:

%AllUsers Profile%\Application Data\{random file name}.dat

%ProgramData%\{random file name}.dat

它们之后改变成:

%AllUsers Profile%\Application Data\{random folder name}\{random filename}.{randomfile extension}

%ProgramData%\{random folder name}\{random filename}.{random file extension}

路径和文件名的变化也可能对安全性造成影响,如果系统依赖于行为规则来进行侦测。假如侦测VAWTRAK的规则是寻找%All Users Profile%\ApplicationData和%Program Data%目录内的DAT扩展名,就需要加以更新才能捉到这些VAWTRAK样本。

    利用宏躲避侦测

VAWTRAK是最新利用宏进行攻击的恶意软件家族。这个特定VAWTRAK变种利用密码保护宏,使分析这一恶意软件变得更加困难,因为没有密码或特殊工具就无法检测或打开宏。

    受影响国家

趋势科技从2014年11月开始就一直在监控这一波新的VAWTRAK感染。在受影响国家中,美国的感染数量最多,其次是日本。之前来自趋势科技主动式云端截毒服务Smart Protection Network的数据显示大多数VAWTRAK感染发现在日本。

(受新VAWTRAK变种影响的前十名国家)

结论

自从VAWTRAK在2013年8月第一次被发现假冒成寄件通知的附件以来,已经有过一些显著的改进。再加上连续使用了恶意宏和Windows PowerShell,网络犯罪分子已经制造出进行数据窃取的理想工具。趋势科技的主动式云端截毒技术可以保护用户免于此威胁,封锁所有相关的恶意文件、网址和垃圾邮件。也建议用户要能够分辨假冒和正常的电子邮件,比如此案例中真正的电子机票或收据跟假冒的不同。

转载请标明文章来源于趋势科技!


 

 

 

0 0