Arbor安全工程與響應(yīng)小組(ASERT)最近發(fā)布了一篇報(bào)告，揭示了復(fù)雜的銀行惡意軟件Neverquest或稱Vawtrak進(jìn)行逃避檢測的技術(shù)細(xì)節(jié)，其中包括加密、匿名路由，甚至圖片隱寫技術(shù)。

[[132151]]

ASERT的威脅情報(bào)及響應(yīng)部門的負(fù)責(zé)人表示，他們關(guān)注Neverquest的最初原因是它對金融行業(yè)的沖擊，檢測結(jié)果表明，該惡意軟件的結(jié)構(gòu)極端復(fù)雜，并采取了很多防止研究人員進(jìn)行檢測分析的手段。該軟件沖擊了25個(gè)國家的超過100家大型金融機(jī)構(gòu)。

它通過第三方惡意軟件安裝器將自己安裝在用戶的終端機(jī)上，然后使用多種方式盜取銀行賬戶信息，包括開戶人的社交網(wǎng)絡(luò)和Email信息。Neverquest的主要目的應(yīng)該是盜取銀行客戶的證書信息。

一旦黑客獲得了這些證書信息，就可以通過用戶的PC端實(shí)際登錄到銀行頁面，而并不是通過某個(gè)可疑地址進(jìn)行登錄，因此銀行很難察覺有東西出了差錯(cuò)。Neverquest一旦獲得了用戶的系統(tǒng)控制權(quán)，就會試圖操縱進(jìn)行銀行轉(zhuǎn)賬。它還能繞過用戶采取的大多數(shù)安全措施，而用戶自身往往相信這些安全措施能夠保護(hù)他們。

然而該惡意軟件并不僅僅能繞過銀行的安全系統(tǒng)和用戶的殺毒軟件。惡意軟件的編寫者使用了混淆技術(shù)，這使得安全研究人員很難搞懂它是如何工作的，也很難找到應(yīng)對策略。

研究人員表示，Neverquest遠(yuǎn)遠(yuǎn)超出了傳統(tǒng)檢測的范疇，比如殺毒軟件。殺毒軟件從來就難以跟上惡意軟件的發(fā)展步伐，惡意軟件只需要改變自身的幾個(gè)比特就可以繞過檢測，哪怕用戶運(yùn)行的是最新版殺毒軟件。

Neverquest在代碼中使用了加密技術(shù)，因此很難研究它究竟在做什么。而且，它在與幕后服務(wù)器進(jìn)行通信時(shí)同樣使用了加密技術(shù)。它還使用了TOR匿名網(wǎng)絡(luò)和圖片隱寫，這是一種將信息隱藏在圖片中的技術(shù)。通過下載看上去完全無害的圖片，該惡意軟件可以從幕后服務(wù)器上獲得升級版本。

Arbor公司正在抽絲剝繭對此軟件進(jìn)行分析，首先是檢查硬編碼命令和控制域，然后會研究一些.Onion域。研究人員表示，已經(jīng)分離出了609個(gè)幕后服務(wù)器的位置，主要分布在東歐和西歐。

讓研究人員感到震撼的是該軟件中所包含的工作量極大。黑客的攻擊目標(biāo)是100~200個(gè)不同的金融機(jī)構(gòu)，這些機(jī)構(gòu)的相關(guān)網(wǎng)站有數(shù)百個(gè)。每個(gè)網(wǎng)站都有多個(gè)頁面，可以進(jìn)行網(wǎng)站注入，而每個(gè)頁面本身又可能含有多個(gè)可注入點(diǎn)。軟件編寫者得以投入如此大的精力，可能是由于人們對惡意軟件行業(yè)的關(guān)注度正在上升。

Sophos公司之前對該軟件的研究表明，Neverquest是惡意軟件代編寫服務(wù)(Malware-as-a-service)的產(chǎn)品。

原文地址：http://www.aqniu.com/tools/7369.html