Flashpoint安全研究人員警告：最近觀測(cè)到的Dridex投放行動(dòng)利用了新的UAC(用戶賬戶控制)規(guī)避方法。
Dridex最先于2014年被發(fā)現(xiàn)，因其使用了 GameOver ZeuS (GoZ) 惡意軟件點(diǎn)對(duì)點(diǎn)架構(gòu)改進(jìn)版來(lái)保護(hù)其命令與控制(C&C)服務(wù)器，而被認(rèn)為是GoZ的繼任者。Dridex作為最流行的銀行木馬家族冒頭，但其最近的活動(dòng)相比2014和2015年時(shí)的還是有所平緩。
最近觀察到的Dridex活動(dòng)比較小型，針對(duì)英國(guó)金融機(jī)構(gòu)，采用了前所未見的UAC規(guī)避方法——利用Windows默認(rèn)恢復(fù)光盤程序recdisc.exe。該惡意軟件還被觀測(cè)到通過(guò)偽裝的SPP.dll來(lái)加載惡意代碼，利用svchost和spoolsrv來(lái)與第一級(jí)C&C服務(wù)器和其他節(jié)點(diǎn)進(jìn)行通信。
與其他惡意軟件類似，Dridex通過(guò)帶Word文檔附件的垃圾郵件進(jìn)行投送，附件中就隱藏有可下載并執(zhí)行惡意軟件的惡意宏。最先釋放的模塊用于下載主Dridex負(fù)載。感染后，該木馬會(huì)從當(dāng)前位置移動(dòng)到%TEMP%文件夾。
惡意軟件感染后，Dridex令牌搶奪和Web注入模塊能使欺詐操作者快速獲得搞定身份驗(yàn)證和授權(quán)問(wèn)題所需的額外信息，讓這些反欺詐系統(tǒng)和金融機(jī)構(gòu)的安全措施毫無(wú)用武之地。黑客還能創(chuàng)建自定義的對(duì)話窗口，偽裝成來(lái)自銀行的調(diào)查，誘使受害者自己填入所需信息。
在被感染的機(jī)器上，Dridex利用Windows默認(rèn)恢復(fù)光盤程序recdisc.exe，來(lái)加載偽造的SPP.dll，并繞過(guò) Windows 7 的UAC防護(hù)。之所以能做到這一點(diǎn)，是因?yàn)樵撈脚_(tái)會(huì)自動(dòng)提升該程序的權(quán)限，其他進(jìn)入自動(dòng)提升權(quán)限白名單的應(yīng)用也有此待遇。Dridex利用了該特性來(lái)執(zhí)行兩條指令。
為繞過(guò)UAC，Dridex在WindowsSystem32886下創(chuàng)建目錄，然后將合法的程序從WindowsSystem32 ecdisc.exe拷貝過(guò)來(lái)。接下來(lái)，將自身拷貝到%APPDATA%LocalTemp，以臨時(shí)文件的形式存在，再拷貝成為WindowsSystem32886SPP.dll。然后，刪除 WindowsSystem32下的 wu*.exe和po*.dll，執(zhí)行recdisc.exe，以管理員權(quán)限將自身加載成 SPP.dll。
該銀行木馬會(huì)在4431-4433端口與其他節(jié)點(diǎn)通信。該案例中，其他對(duì)等節(jié)點(diǎn)就是Dridex已經(jīng)控制了的其他計(jì)算機(jī)。
京公網(wǎng)安備 11010502049343號(hào)