前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >窥探家庭网络的恶意木马

窥探家庭网络的恶意木马

作者头像
安恒信息
发布2018-04-11 14:48:16
7330
发布2018-04-11 14:48:16
举报
文章被收录于专栏:安恒信息

近几年,我们已经看到了很多关于家庭路由器遭受攻击的报道。攻击路由器的恶意软件会将用户的上网访问重定向到各种恶意站点,其他的攻击方式还包括植入后门和DNS劫持。在这些攻击中,攻击者针对家庭网络的攻击意图和目的表现得非常明显。

本文分析了一个名为TROJ_VICEPASS.A的恶意软件。首先,它会伪装成网站上的一个Adobe Flash更新文件,并诱导访问者下载并安装。一旦被执行,它将试图连接家庭路由器,并搜索网络中所有的联网设备。然后,它会利用预先准备的账号和密码尝试登录这些联网设备,并获取敏感数据;最后,它将偷窃的数据发送至远程服务器,然后将自己从电脑上删除。

当该软件访问恶意网站时,如果这些网站已被植入假的Flash更新文件,那么用户将很可能遇到恶意软件TROJ_VICEPASS.A。通常情况下,网站会建议访问者下载并安装这个Flash更新文件。

一旦恶意软件被执行,它将试图使用一个预先准备的用户名和密码列表,通过管理控制台连接到路由器。如果连接成功,恶意软件会试图扫描整个网络来寻找所有已连接的设备。

需要指出的是,恶意软件使用HTTP协议来扫描并搜寻联网设备,扫描的IP地址范围是192.168.[0-6].0—192.168.[0-6].11,这些IP地址一般都会用作路由器IP地址。搜索路由器的打印日志如下所示:

我们注意到恶意软件会检测苹果设备,例如iPhone和iPad,而它们设备并没有开放的HTTP端口。然而,需要注意的是,从这些字符串可以看出,它更加关注路由器。我们发现恶意软件使用以下名字搜索路由器等设备:

一旦恶意软件对网络中的设备搜索结束,它会利用base64编码和一个自定义的加密算法对搜索结果加密。然后,通过HTTP协议将加密后的结果发送到一个远程C&C服务器。

恶意软件成功发送结果之后,就从受害者电脑上自我删除,并清除它的任何踪迹。攻击者使用下面的命令来实现这些操作:

相关文件哈希:

根据恶意软件的行为可猜测,它可能只是攻击者用来收集情报的先行部队,这些信息很可能会被用来发动一场大型恶意活动。收集来的信息可能会被存储并用作以后的跨站请求伪造(CSRF)等攻击,因为如果攻击者手中已经有了特定IP的登录凭证,那么以后的攻击将变得更加容易。

无论攻击者的最终目标是什么,这个恶意软件都向我们展示了设备安全的重要性,即使那些不太可能成为目标的设备也需要关注其安全。所以,用户应该经常修改路由器的登录凭证,最好设置成强密码。此外,用户还可以选择密码管理软件来帮助他们管理所有的密码。

除了良好的密码习惯,用户还应该永远记住其他的安全措施。例如,应该尽可能避免点击邮件中的不明链接。如果需要访问一个站点,最好直接输入网址或者使用一个书签。如果软件需要升级,那么可以直接访问软件的官方网站去下载。此外,也可以选择设定软件自动安装更新。最后,用户应该采取安全措施来保护设备。

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2015-03-19,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 安恒信息 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档