根據新發表的研究結果,Gootkit惡意程式家族的Loader「Gootloader」的框架日益精密,更用上Search Engine Optimization (SEO) poisoning的方式,令Google搜尋把播毒網站顯示在較高搜尋結果。
甚麼是Gootloader惡意程式工具?
Gootloader是一個以Javascript為基礎的感染框架,傳統上用於Gootkit遠端存取木馬(Remote Access Trojan, RAT),Gootkit惡意程式家族出現了超過5年,期間持續進化,發展成為成熟的木馬程式,主要目標是盜取銀行登入資料。
Gootloader過往扮演載具的角色傳遞Gootkit惡意程式,近年則致力於改良傳遞的方法,它除了是一個無檔案惡意程式傳遞(fileless malware),Gootloader透過合法的PowerShell流程逃避防毒軟件的偵測,現在再加上SEO poisoning的方法,令它比同類攻擊較為突出。
入侵合法網站
為了達到SEO poisoning荼毒Google的搜尋機制,Gootloader攻擊者首先要入侵大量合法網站,現時粗略估計有400台伺服器。研究人員表示,那些合法網站井鈈知道自己的網站被濫用,雖然無法知道網絡罪犯如何取得存取網站的方法,但一般都是傳統幾種方法:Gootkit惡意程式取得網站密碼、從黑市購買被盜的帳號登入資料或使用CMS軟件的安全漏洞等。
利用Google SEO散播惡意程式
Gootloader攻擊者入侵網站然後調整網站CMS,以使用SEO策略,目的是當搜尋某些問題時出現在搜尋結果頂端。其中一個例子是搜尋某樓宇買賣問題時,會出現一家加拿大的醫療中心網站,這就是被攻擊者入侵所造成。被入侵的網站具備留言板功能,一名「用戶」查詢樓宇買賣問題,只要發問的字完全相同,便會在Google的搜尋結果排在較高位置,即使內容與被入侵的網站本身完全無關,而在那留言板上,一個以管理員身份的貼子會作出回應,並且具備連結。
Gootloader傳遞惡意內容機制
Gootloader在傳遞惡意內容時涉及多個階段,是比較複雜的機制。開始時當用戶在被入侵的網站點擊「管理員」提供的連結,他們會收到一個ZIP檔案(檔案名因搜尋問題而異),壓縮檔內含有其他JS檔案(相同檔名),讓JS檔牽涉藏在純文字檔內的JavaScript編碼,用來執行被入侵網站的JavaScript,通常是調用Windows SCripting Host(wscript.exe)。
在第一階段也會暗中嘗試聯絡C2 server,如果成功便進入第二階段惡意程式過程,然後創建一個在系統重新啟動時自動執行的PowerShell腳本,為攻擊者製造一個隱藏自己的環境。由於這階段在下次電腦重啟前並不完全執行,所以受害者可能在數個小時甚至數日後才會發現感染事件。
當電腦重啟後,PowerShell腳本運作並開始執行一系列骨牌式的活動,直至Gootloader下載最終的惡意內容,可能是加密狀態下的Kronos、REvil、Gootkit或Cobalt Strike,餘下便是解密和在記憶體執行惡意內容。
其他惡意程式的濫用Google SEO
網絡罪犯借助SEO吸引更多人注意並非新手法,早在2011年已經出現,在2017年更令用戶成為銀行木馬程式Zeus Panda的朋害者。研究人員表示,這種手法被持續使用是因為有效用,雖然Firefox的NoScript功能可以防止這種攻擊,但並非所有人都裝有Script blocker這種功能,到用戶發現自己成為受害者卻為時已晚。
資料來源: Threat Post