建站
咨詢
售后
建站咨詢
新聞中心
ZeuS/ZBOT Trojans木馬的標(biāo)準(zhǔn)行為之一是會(huì)下載設(shè)定文件。設(shè)定文件中含有其僵尸網(wǎng)絡(luò)/傀儡網(wǎng)絡(luò)Botnet的程序細(xì)節(jié)，如目標(biāo)是哪個(gè)網(wǎng)站，要接觸哪些URL來下載本身的更新或進(jìn)行復(fù)制，要將偷到手的資料傳到哪些URL，以及要到哪些URL去下載額外/備份的設(shè)定文件。
創(chuàng)新互聯(lián)建站專注于企業(yè)全網(wǎng)整合營(yíng)銷推廣、網(wǎng)站重做改版、海林網(wǎng)站定制設(shè)計(jì)、自適應(yīng)品牌網(wǎng)站建設(shè)、成都h5網(wǎng)站建設(shè)、商城網(wǎng)站建設(shè)、集團(tuán)公司官網(wǎng)建設(shè)、外貿(mào)營(yíng)銷網(wǎng)站建設(shè)、高端網(wǎng)站制作、響應(yīng)式網(wǎng)頁設(shè)計(jì)等建站業(yè)務(wù)，價(jià)格優(yōu)惠性價(jià)比高，為海林等各大城市提供網(wǎng)站開發(fā)制作服務(wù)。
不過最近我看到ZeuS變種的原始設(shè)定文件參考了一式可疑的URL列表，供此變種下載備份設(shè)定文件。
圖1 下載設(shè)定文件用的URL
這式來自ZeuS變種的列表經(jīng)趨勢(shì)科技偵測(cè)出為TSPY_ZBOT.BVQ。設(shè)定文件比多數(shù)的ZeuS變種長(zhǎng)了許多，而其網(wǎng)域名看來也不太尋常。當(dāng)我想要檢查時(shí)，列表中所有的URL皆已無法進(jìn)入，而多數(shù)的網(wǎng)域皆未經(jīng)登記。
除此之外，URL列表中也未包括用來當(dāng)做產(chǎn)生與更新復(fù)制的{已攔截}ikal.com。這個(gè)網(wǎng)站是ZeuS用來更新版本及設(shè)定文件的所在，通常都會(huì)被包含在相同的網(wǎng)域中。
在檢查惡意軟件本身的程序代碼時(shí)發(fā)現(xiàn)，惡意軟件的確會(huì)自http://{已攔截}ikal.com/eu5.bin下載主要的設(shè)定文件。
圖2 TSPY_ZBOT.BVQ程序碼樣本
就我的看法認(rèn)為，使用ZeuS的網(wǎng)絡(luò)犯罪份子刻意使用這個(gè)手法，來避免安全研究人員輕易地從他們的活動(dòng)中取得資料。這些額外的URL可被用來當(dāng)做備份更新位置，以防主要位置遭破獲。
我更進(jìn)一步發(fā)現(xiàn)，最近愈來愈多的ZeuS變種不再利用虛擬環(huán)境來運(yùn)作，這表示安全研究人員需要更努力地在實(shí)體的Windows視窗環(huán)境中測(cè)試ZeuS樣本。顯然防毒公司的努力已對(duì)網(wǎng)絡(luò)犯罪份子的運(yùn)營(yíng)造成傷害，逼迫犯罪份子們需要讓分析工作變得更加困難。
在將所有要素加入考量之下，這的結(jié)果并非出乎意料之外。ZeuS仍是個(gè)進(jìn)行中的威脅，而其也將持續(xù)演化得更加危險(xiǎn)和難以躲避。
名稱欄目：剖析ZeuS木馬如何安全躲避僵尸網(wǎng)絡(luò)嗅偵
分享鏈接：http://m.5511xx.com/article/dpdppsp.html
