盗版用户面临的“APT攻击”风险.pdfVIP

盗版用户面临的“APT 攻击”风险 “Bloom”病毒分析报告 BLOOM HUORONG BORUI (BEIJING) TECHNOLOGY CO., LTD. 目录 一、 概述 3 二、 样本分析 5 三、 追根溯源 9 四、 结论 21 五、 附录 22 BLOOM HUORONG BORUI (BEIJING) TECHNOLOGY CO., LTD. 一、 概述 1. 盗版软件用户和 “APT 攻击” 我国电脑用户当中，使用盗版软件是非常普遍的现象，从盗版的 Windows 系统到 各种收费软件的“破解版”等等。 互联网上也充斥着各种帮助用户使用盗版的“激活工具”、“破解工具”，投其所好地 帮助用户使用盗版软件。但是“天下没有白吃的午餐”，除了一部分破解爱好者提供的 无害的免费激活工具之外，病毒制造者也瞄准了盗版人群，他们利用提供激活工具的 机会，将恶性病毒植入用户电脑。 前段时间爆发的“小马激活病毒”为例 ，其以系统激活工具的身份为掩护 ，利用其 “入场”时间早的天然优势 ，在用户电脑上屏蔽安全软件、肆意劫持流量 ，危害极大。 同理，许多病毒制造者病毒用 PE 工具箱、系统激活工具等形式进行包装，不但加快了 病毒的传播速度，也加强了其隐蔽性 ，从而躲避安全软件的查杀。 提到 APT ，很多人会首先想到那些针对大型企业甚至政府部门的特定攻击或威胁， 以及 0day、挂马、间谍等。实际上，APT （Advanced Persistent Threat ，即高级持续 性威胁 ），所指非常宽泛，即“通过较为高级的手段这对特定群体产生的持续性威胁”， 因此针对盗版用户的病毒威胁，也在APT 攻击之列。 本报告为大家揭示的病毒，就属于这类恶意威胁。该病毒在系统安装阶段 “先人一 步”释放出恶意程序 ，并通过时间优势提前安置安全软件白名单库将病毒自身 “拉白” ， 再通过众多功能单一、目标明确的程序相互配合 ，针对 “盗版操作系统用户”这一特定 群体形成了持续性的威胁。 这种针对“盗版用户”的APT 攻击迷惑性极强，用户很难发现恶意程序。更要命的 是，即使安全软件报毒 ，用户通常也会认为是误报了“系统程序”从而选择放过。 BLOOM HUORONG BORUI (BEIJING) TECHNOLOGY CO., LTD. 2. “Bloom”病毒何以长期“幸存”？ 近期 ，火绒在一个浏览器首页遭劫持的用户现场中提取到了一组具有“锁首”功能的 恶意程序 ，该程序会通过修改用户浏览器快捷方式的手段劫持“灰色流量”。在获取样 本后 ，火绒便当即对其进行了查杀 ，因其注册的服务名将其命名为“Bloom”病毒。 随后，我们在火绒样本库中进行关联查询，发现了该病毒在互联网中流行的两个主 要版本 ，两个版本时间相差一年 ，而“第一代”病毒更是在 2014 年就已经出现。然而， 截止目前为止，国内的大部分主流安全软件仍未能有效对其进行查杀。随着我们对这 组样本的分析我们发现，这组样本中每个程序功能极为单一、独立 ，如果仅仅通过对 单个样本进行分析 ，并不能完整的获得该病毒的整个逻辑，从而无法认定其为恶意样 本。 正是因为上述原因，使得这个病毒在安全软件的眼皮底下堂而皇之地生存了至少两 年之久。 BLOOM HUORONG BORUI (BEIJING) TECHNOLOGY CO., LTD. 二、 样本分析 “Bloom”病毒是一组通过修改浏览器快捷方式的手段劫持用户流量的恶意程序。通 过火绒的“威胁情报分析系统”