安基网 首页 资讯 安全报 查看内容

Python黑客造木马!攻陷金融科技公司

2020-9-6 09:21| 投稿: |来自:


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: 喜欢编程的朋友都会接触到python这个语言,它具有丰富的库,在众多领域都活跃着它的身影,网络安全就是其中之一。日前,一个专门攻击金融科技公司的组织『Evillum』开发了新的木马:基于python的远控木马,名为PyVil ...

喜欢编程的朋友都会接触到python这个语言,它具有丰富的库,在众多领域都活跃着它的身影,网络安全就是其中之一。

日前,一个专门攻击金融科技公司的组织『Evillum』开发了新的木马:基于python的远控木马,名为PyVil。

我们一起来具体了解一下吧。

——研究报告——

以色列安全公司『Cyberreason』的研究人员概括了PyVil的功能:分析及过滤数据、键盘记录和截图,并可以收集一些“凭证信息”,如LaZagne(一种用于检索存储在本地计算机上的密码的开源应用程序)。

LaZagne

Evillum最早出现在2018年,通过一个JavaScript恶意软件“出道”。此后,它开发了各种用JavaScript和C#编写的组件。这次改用python写木马,可以说Evillum又进一步拓展了自己的“业务”。

——PyVil——

PyVil 木马是用py2exe编译的。(py2exe是一个Python库,可以将Python脚本转换成windows的可执行文件)。这使木马能够下载新模块来扩展功能。

py2exe内部的Python代码被额外的代码层混淆,以防止工具对其进行反编译。使用内存转储,我们能够提取Python代码的第一层,第一层代码对Python代码的第二层进行解码和解压缩,第二层Python代码对主代码和导入的库进行解码并加载到内存中。”

代码第一层
代码第二层

PyVil 木马还有一个配置模块,用于保存恶意软件的版本、命令和控制(C2)域以及与C2通信时使用的浏览器的指令。据分析,C2通信通过POST-HTTP请求完成,并使用Base64编码的硬编码密钥进行RC4加密。

配置模块
rc4密钥

PyVil 木马有很多功能命令,包括:键盘记录并;运行CMD命令;删除和上传其他Python脚本和可执行文件;进行SSH连接;收集安装的防病毒软件、Chrome版本和连接的USB设备等信息。

这些功能都被申明为Global变量,可以清晰地看到。

Evillum的C2建设还在增长和扩展。

研究人员解释:“C2的ip地址每隔几周就会改变一次,但与这个IP地址相关联的域名列表却在不断增长。”

“几周前,PyVil相关的三个域被解析到同一个IP地址。此后不久,这三个域的c2ip地址都发生了变化,三个新的域名注册了相同的IP地址。几周后,这种变化再次发生。所有域的解析地址在几天内都发生了变化,并添加了三个新域。”

——木马的潜入——

在PyVil登上舞台之前,Evillum一直在部署C#木马。通过钓鱼邮件提供包含LNK文件的ZIP,这些LNK文件伪装成不同文档的照片,例如驾驶执照,信用卡和公用事业账单。这些文件是被盗的,属于真实个人。

一旦打开LNK文件,它将启动JavaScript木马,后者又将LNK文件替换为真实的图像文件,从而使整个操作看起来正常。JS木马进一步下载C#木马进行更多操作。

之后Evillum改变了攻击方式。Evillum把LNK文件伪装为PDF,启动一个JavaScript木马,该JS没有C2功能,而是触发一个定时任务,这个定时任务提取LNK文件中的“ddpp.exe”,“ddpp.exe”下载“fplayer.exe”,其承担下载python木马、提取凭证密码的作用。

可以看到,python真的很好用,写的木马都很简洁。你是否也想写个木马过过瘾呢?



小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://baijiahao.baidu.com/s?id=1676877007801563669

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

相关阅读

最新评论

 最新
返回顶部
安徽快3走势 山东11选5走势 头奖彩票计划群 极速赛车冠军3码 安徽快3走势 山东11选5 皇冠彩票计划群 GLG彩票计划群 51彩票计划群 9号棋牌