色情網站引誘用戶安裝Zloader惡意程式

色情網站經常會成為網絡罪犯散播惡意程式的平台,今年就有一輪大型的惡意廣告活動,近日更被發現轉換策略,借偽冒 Java 更新,藉此散播知名的 Zloader 惡意程式。

轉換傳播策略
這次散播 Zloader 的活動其實是被稱為 Malsmoke 的惡意廣告活動的一部份,這個活動在今年十分活躍,一直以來的策略是推動受害者到有安全漏洞的網站,而近日就被發現策略改變,現在借彈出式的 Java 更新通知,誘騙安裝惡意程式,這種技倆出現在部份知名的色情網站,同樣會把受害者帶到載有惡意程式的網站。

過往的策略是把訪客到傳送漏洞工具的網站,而自 10 月中開始攻擊者對這套工具作出修改,加入了偽裝 Java 更新的通知,當受害者點擊「更新」便會下載 Zloader,其實是銀行惡意程式,專門盜取針對金融基構的憑證和其他個人資料。表面上看來活動平靜下來,其實是轉換策略去改良活動的成果,與瞄準少部份仍在使用 IE 瀏覽器的色情網站訪客相比,現在把魔爪伸向所有瀏覽器。

妨礙播放色情影響引誘訪客安裝惡意程式
當訪客點擊播放色情影片時,一個新視窗會彈出並看起來是模糊的影片,而背後其實是點點擊播放後會被帶到惡意的網頁,該影片播放數秒後便會彈出「Java Plug-in 8.0 was not found」的訊息。研究人員表示該影片其實是 28 秒的 MPEG-4 含有模糊畫面的片段,讓用戶以為需要下載軟件才能看到清晰的影片。

實實上,網絡罪犯可以設計不同的假插件更新,選擇 Java 反而有點奇怪,因為 Java 並非影片串流相關的插件。然而所有人點擊所謂的「更新」者應該都沒有留意到這個不自然的地方。

由 Microsoft 簽發的安裝工具
感染用戶裝置的工具由攻擊者自行開發,這個假的 Java 更新名為 JavaPlug-in.msi 的檔案是一個有 Microsoft 數碼簽發的安裝工具,內裡含有數個文庫和執行檔,當中不乏合法的內容。當案裝執行檔 Lic_service.exe 後便會讀取 HelperDll.dll,是部署最終惡意內容的最重要模組,模組會使用 msi 檔案內的文庫,然後下載加密了的惡意內容,其最後的內容自然是知名的 Zloader,會把自己加入到新的 msiexec.exe 去與 C&C 伺服器取得聯繫,之後便開始下載額外的模組。

進化中的 Malsmoke
Malsmoke 最初是在 9 月時被研究人員發現,有 Smoke Loader 的別名,是最常用 Fallout 漏洞工具的惡意程式,而較早前也曾利用色情網站散播 Raccoon Stealer,也有報告有些攻擊使用 RIG 漏洞工具。研究人員形容 Malsmoke 以高流量的色情網站作為渠道,以達到最多人被感染的目的,其中一個涉事的色情網站單月就有 9.74 億次訪問,並不排隊往後會再進化使用不同手段讓更多人變成受害者。

資料來源: ThreatPost

Comments are closed