看完這十一集的血色星期一之後, 相信許多人對藤丸同學的 USB 開機碟印像深刻... 藤丸用它那支印有獵鷹圖案的 USB 插入電腦之後, 用它開完機, 進入 Linux 系統, 然後就開始執行它的駭客任務。而事實上, 不管是一個資安專家, 或是 "駭客", 一個可開機光碟是必備的工具, 而現今 USB 這麼方便使用, 當然大家也就開始使用 USB 開機碟, 而且攜帶更方便, 預先把相關的駭客工具都放到 USB 裡了, 只要用它開機, 就可以開始使用相關的駭客工具 (或稱安全工具)。 所以, 如果你想學藤丸同學, 那很簡單, 像這樣預先裝好"安全工具" 的 USB 可開機碟, 大家常用的, 首推 BackTrack, 目前已經到第三版, 可以從它的官網直接下載。 BackTrack 3: 若是你更入迷了, 一定要用跟藤丸同學一樣的, 那請到血色的購物網, 購買藤丸同學的 USB, 然後再到血色的官網, 下載獵鷹圖案的桌面, 把 BackTrack 3 放進去, 那你就已經準備好武器了, 接下來的, 你就需要像藤丸同學有一樣的好運氣, 每次都能找到漏洞, 讓你完成駭客任務了。 血色星期一官網: 血色星期一購物:
作者: Thomas Chuang / 莊添發
|
最近郵件病毒又在擴散了... 而且標題都是想利用大家熱心助人的好心好意來讓人掉入陷井。
拜託啦,幫幫忙~!
拜託啦,幫幫忙~!麻煩你,謝謝你哦~!
邱意婷
242
台北縣新莊市建國一路49號之311室
老大.zip
這一個 zip 檔, 解壓之後為 老大.cmd, 但其實是一個 rar 自解檔。所以改副檔名為 老大.rar 後, 可以解壓出數張美女圖片及二個 exe 檔。一個是 inst.exe 另一個是 setup.exe, inst.exe 又是 rar 自解檔, 所以裡面有設定解壓時, 會執行 setup.exe 這個實際的惡意程式。至於惡意程式的分析, 就請參考 norman sanbox 的結果:
norman sandbox: [ General information ]
* **IMPORTANT: PLEASE SEND THE SCANNED FILE TO: ANALYSIS@NORMAN.NO - REMEMBER TO ENCRYPT IT (E.G. ZIP WITH PASSWORD)**.
* Accesses executable file from resource section.
* File length: 75364 bytes.
[ Changes to filesystem ]
* Creates file C:\WINDOWS\2.bat.
* Creates file C:\WINDOWS\HELP\F3C74E3FA248.dll.
[ Changes to registry ]
* Creates key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\".
* Sets value \"\"=\"SSUUDL\" in key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\".
* Creates key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\InProcServer32\".
* Sets value \"\"=\"C:\WINDOWS\HELP\F3C74E3FA248.dll\" in key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\InProcServer32\".
* Sets value \"ThreadingModel\"=\"Apartment\" in key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\InProcServer32\".
[ Network ]
* Hooks into Shell explorer.
[ Process/window information ]
* Creates a mutex WSXIHUDS.
緊急的問題!!希望高手可以幫幫忙~
又是利用手機的話題, 來跟大家裝熟, 不過寄件者還是認識的朋友, 只是不小心已經中毒了。一個簡單的 .jpg 連結, 大家以為是張圖片, 但仔細看喔, 它可不是真的是圖片的連結, 它是 index.asp 的一個參數, 所以當你點下去之後, "聽說" 會下載一個 movie.scr 的檔案, 為什麼是聽說呢? 因為阿湯奮不顧身的替大家點下去時已經太晚了, 檔案已經不在了。
今天晚上運動完回到電腦前, 看到了漏接的 MSN 訊息...
「安 我想買只諾基亞N92手機 我覺得好漂亮~~你也幫我看看.看完了要和我說說感覺怎麼樣哦 hxxp://www.blogo.tw」
剛好朋友也是位女生, 這樣的一句話, 語氣跟用詞也都蠻符合女生的用語。差點就熱心的想要幫她看一下。
『會不會是MSN 病毒的釣魚聯結?』
腦海裡念頭一閃, 才覺得這應該是惡意聯結, 雖然病毒作者已經很用心的想要融入台灣的文化, 不過『買支』跟『買只』還是不同, 諾基亞大家也少用, 都是打 Nokia 比較多。不過, 這都只是非技術的分析, 當然我還是要來追根究底。
在測試環境裡輸入了聯結 wxx.blogo.tw, 彈出了這樣的視窗:
很明顯的, 這是病毒很常使用的檔案格式 .scr (塋幕保護程式), 而且病毒作者很細心的取了 jpg 為檔名, 企圖讓人真以為是 N92 手機的照片。
阿湯把檔案下載下來, 傳到 VirusTotal 去掃掃看!
VirusTotal 掃描的時間是 2007.10.22 19:13:40 (CET), 掃描結果: 17/32 (53.13%), 也就是說到目前為止, 還有一半以的的防毒軟體還沒有病毒定義檔, 再換句話說, 雖然你裝了防毒軟體, 但你使用到目前還掃不到這隻病毒的防毒軟體的機會, 是 1/2。
接下來再向 Google 查詢這個網站的資訊, 使用 site:www.blogo.tw 的語法查詢, 得到了以下的結果:
從 Google 的結果, 可以看到這個網站, 已經被 Google 列為有安全風險的網站, 阿湯研判很可能是被入侵, 然後當做是散播惡意程式的網站。
總結:
從這隻惡意程式的攻擊手法來看, 可以總結以下的幾點心得:
(1) MSN 釣魚攻擊, 已經愈來愈細緻:
釣魚的訊息, 不是大家會有戒心的英文或是簡體中文, 而是精心巧思, 結合最新的手機資訊, 吸引大家去點選。
(2) 防毒軟體真的是不夠用了:
單純的靠病毒定義碼的更新速度跟網路上無數的病毒作者 (犯罪集團) 比賽, 你能保證自已使用的防毒軟體是已經有病毒定義檔的那一半? 企業應該思考, 如何過濾掉這些惡意聯結, 或是防止使用者點擊, 或是教育使用者看到 MSN 的聯結就像是接到詐騙電話一樣, 不要輕信!!
所以企業內部閘道上應有過濾的機制, 集中過濾這些惡意聯結; 在用戶端, 除了防毒軟體, 也應有進階的端點防護方案, 加強公司內部愈來愈多的筆電在公司外上網的安全防護。
(3) 社交工程 (Social Engineering) 是目前用戶端攻擊常見的模式
目前的攻擊己經是組織化, 犯罪集團利用這些攻擊, 植入木馬或鍵盤側錄器, 竊取使用者的帳號密碼資訊, 企圖獲得不法的利益。而這樣的用戶端攻擊, 大量的使用社交工程的方式, 利用大家的好奇心、熱心, 來進行攻擊, 一不小心, 很容易就誤入這樣的陷井。
最後, 給大家一條安全守則.....
若是 MSN 視窗第一個訊息是一個聯結? STOP!! 先問清楚再按吧!!!
後記:
為了這隻病毒, 還特地去看了一下 Nokia N92 手機, 真的蠻酷的, 具有行動電視的功能, 造型也不錯, 但台灣目前尚未發行。
不過, 這算不算是一種另類行銷, 不知道 Nokia 需不需要付給病毒作者廣告費 :)
作者: Thomas Chuang
