文章图片
文章图片
安全419了解到 ， 近日 ， 瑞星威胁情报平台率先捕获到一批攻击流程异常复杂的.NET恶意程序 ， 经瑞星安全研究院深入分析发现 ， 这些恶意程序实则是一整套黑产工具 ， 名为“FastDesktop” ， 该工具可以通过衍生出的病毒及变种远程控制用户主机 ， 并上传用户隐私信息 。 经溯源发现该病毒作者疑为国内黑客 ， 通过售卖这套黑产工具牟取利益 ， 定价为300块/天 。
瑞星安全专家介绍 ， 在通过对多个同类样本进行分析后发现 ， 这批恶意程序为后门病毒 ， 其中的两大版本均是通过DLL劫持进行攻击的 ， 攻击者通过调用系统进程svchost.exe ， 以服务形式加载一个正规迅雷的库文件fdsvc.dll ， 然后在该库文件执行的时候再导入伪装成迅雷的另一个恶意文件libexpat.dll ， 同时由于在攻击流程中负责执行攻击功能的文件都是DLL库 ， 需要被加载进内存才可以执行 ， 因此依靠“捕获-响应”、基于特征或哈希的传统反病毒技术很难检测出这类恶意程序 。
“FastDesktop”中两大版本的攻击流程
病毒特点：
瑞星安全专家表示 ， 近年来基于.NET开发的病毒日益增多 ， 这源于其开源代码多 ， 开发速度快 ， 开发成本低 ， 因此有不少黑客都会采用.NET编写恶意程序 。 而此次瑞星截获的“FastDesktop” ， 相较一般.NET恶意程序而言 ， 攻击流程更加复杂 ， 且初始攻击模块的恶意行为度很低 ， 结构简单 ， 因此隐匿性更强 ， 不仅可以有效对抗查杀 ， 还便于后期病毒版本的更新 。
溯源：
通过更进一步的分析 ， 瑞星威胁情报中心查询到病毒作者使用到的其中一个域名Whois信息 ， 通过点击发现这是一个购买远程控制软件的网站 。 在经过注册并登陆后显示账户已经过期 ， 需要用户进行续费 ， 并且界面中包括售前/售后、账户充值及管理端下载等主要功能 ， 且定价为300/天 。 由此可知 ， “FastDesktop”制作者为国内黑客 ， 制作这套工具 ， 就是为了进行售卖 ， 方便一些没有开发能力的不法分子直接购买 ， 对目标进行远程控制类攻击 。
“FastDesktop”制作者兜售远控恶意软件
值得一提的是 ， 此次瑞星捕获的\"FastDesktop\" system.dll ， 在VirusTotal今年3月的首次检测报告中 ， 仅瑞星一家国内厂商将其判定为“恶意” 。 这源于瑞星近年来在人工智能引擎技术方面的不断研究 ， 以及对.NET恶意软件检测能力上的两项重要创新：l 研发基于人工智能的.NET程序文件判定引擎 。 海量分析的基础上总结抽象 ， 设计一套适用于通用检测和混淆检测的向量化方案 ， 将文件转为1627维特征向量 。 特征点囊括潜在隐写、动态加载、动态编译、压缩解压缩、编码解码、加密解密、网络下载等多方面的代码意图 。
l 改进特征码检测技术 。 通过反编译将.NET程序转为结构化文本代码 ， 称之为“程序主干” 。 结合智能特征码 ， 综合主干中函数调用流、数据引用流、特殊指令流来抽象恶意代码特征 ， 规避二进制特征码易绕过的缺点 ， 但该方案需人工干预 ， 响应速度和日处理量受限人力 。
【黑客|300块一天 国内黑客售卖新型远控工具】因此 ， 瑞星在.NET恶意软件检测能力获得了较大的提升 ， 在缓解人工分析处理压力的同时 ， 也很好地获得了对未知.NET恶意软件的“预判”的能力 。
相关经验推荐
- 耳机|耳机新体验，不震不痒不压耳，挂脖一天不想摘
- 短视频|创新科技友情提示你“要质在乐享每一天”
- 智能手机|陈根：一天少玩一小时手机，生活会有什么变化？
- 软件|功能强大但不为人知的三款优质软件，建议收藏，总有一天用得上
- iOS|iOS15.5 Beta2更新一天体验：多个问题被修复，但仍存在遗憾！
- 一加科技|好评率高达98%，100倍变焦+IP68级防水，一天后开卖或将快速售空
- 华为|时隔4年，华为终于等来了这一天
- 高通骁龙|跑分突破100万，80W闪充+独立显示芯片，一天后开卖或将供不应求
- |418大促学生党的宿舍好物，华硕无畏Pro14好屏体验陪你度过每一天
- 传感器|手机是怎么记录步数的？你一天走多少步呢？