攻击模式的动态下载为网络犯罪提供了新的可能性

　　当今云技术盛行——无论数据存储、租用计算资源还是作为防护技术的一部分。也使虚拟犯罪发现了可乘之机。G Data安全实验室专家发现了一种新的趋势：信息窃贼的攻击采用的某一种包含了银行木马的恶意软件或许采用了云技术。

　　传统上的银行木马采用存储在计算机上的配置文件发起攻击。这些配置文件包含了遭入侵的网站地址，网页注入代码，虚拟犯罪者就是通过网银木马将代码添加进这些网站中。这个代码负责窃取账户信息和个人信息，例如：
http://www.gdata-china.com/images/news/201309/news_pic_001.jpg 　　幸运的是，这一技术给虚拟罪犯带来两个严重劣势：易于分析员提取存储的配置文件，并确定哪一网站以此途径进行攻击。众所周知，分析员可以此研究攻击，侦测其所在位置，并最终可对涉及的网站进行反制。

　　另一劣势是，必需事先知道作为网页注入攻击目标的网站。这意味着攻击者需在配置文件中列出其想要窃取数据的每一网站，并在配置数据中加入每一网站的注入代码。因此，升级网页注入或改变涉及的网站需升级整个配置文件。

　　现在，虚拟罪犯采用云技术避免这些劣势。
http://www.gdata-china.com/images/news/201309/news_pic_002.jpg 　　第一步：宙斯的特殊配置

　　以著名的宙斯银行木马为例。不久前，G Data分析员发现了这一特殊配置。
http://www.gdata-china.com/images/news/201309/news_pic_003.jpg 　　该情形下，配置文件如通常一样，包含攻击URL列表和注入代码。注入代码特殊而有趣，如此处展开所示：
http://www.gdata-china.com/images/news/201309/news_pic_004.jpg 　　不同于通常直接加入整段恶意代码的作法，此处只采用了Java脚本形式的一小段恶意脚本。这一段代码专用于加载注入函数功能，以便从攻击者操控的网站动态下载更多Java脚本。这一特殊案例中，该脚本针对目标为贝宝（PayPal），它以安全原因为由，要求用户重新输入信用卡数据。
http://www.gdata-china.com/images/news/201309/news_pic_005.jpg 　　当然，任何输入数据都立刻被告传送给攻击者，与贝宝（PayPal）官方流程毫无关系。

　　此处采用的从云端动态下载的技术带来几大优势：例如，涉及的网站设计升级时，攻击者可改变其自身设计来适应，而不必向每一中马计算机机发送新的配置文件。任何涉及HTML代码的变化都适用于此。每当攻击目标网站被唤醒，当前的恶意软件可以Java脚本方式，由攻击者服务器实时下载。这意味着可随时调整，匹配恶意软件返回的服务器。

　　这也可以激活使用所谓的“逻辑炸弹”，以确保恶意软件只在特定情况下被下载。如，可应用基于时间或地点筛选。许多已知地点的安全企业，以此可设定排除方式，为分析和反制增加难度。

　　不断完善的动态机制：Ciavax

　　名为Ciavax的木马从8月起生效，并完善了这一机制。在此案例中，被攻击的站点清单也进行了保密。以下通用的Java脚本代码注入了被唤醒的每一网站：
http://www.gdata-china.com/images/news/201309/news_pic_006.jpg 　　这种相对较短的代码在第二步通过一个攻击者控制的PHP站点动态下载实质上的恶意软件。在此阶段，以用户ID为查询条件，发送全部的链接（document.URL）和引用（document.referer）。

　　这一技术自负拥有上述ZeuS变种的全部优点，并有过之。分析员不再可能侦测出哪一站点被用于攻击。最终可能的做法是冒着影响其主题业务的风险，以暴力手法检测URL列表，确定相关站点。但除了纯粹的工作量外，这一做法还有另一缺陷：大最的查询可能引起攻击者的注意，将分析员关心的站点从分发的代码中排除掉。

另外，攻击者能实时看到每一站点受害者的操作，可决定采用另外的恶意软件来攻击谁。

　　攻击者可实时累积受害者的“数据活动曲线”，为其提供何时开发新的网页注入目标的重要信息。这样便可以追踪到当前未被定为目标的网站，了解它是否经常被受害者使用，以及它是否是有吸引力的目标

　　综上所述，这些攻击能限制对目标网站的分析，使分析员在未来更难于找到显著特征。除此之外，在实际攻击前窥探潜在目标的发生，明显证明的职业化攻击者的增加。同样值得注意的是在一定程度上有目标的采用网页注入方式实时攻击受害可能性。

　　G Data保护

　　G Data采用行为监控和BankGand检测出上述和其他木马。

　　文中提到的样本的校验码如下：

　　ZeuS 54f731c4aabf23ed637259218946a438869b93fe454d45b154515bda914fe4ac
　　Ciavax 14f6f19356c35834efaca6eb95d00f02de3fcb255d7555a098ed2904c265f7c2

　　扩展阅读：

　　G Data （http://www.gdata-china.com ）于1985年成立于波鸿（德国）, 在20多年前开发了第一款杀毒软件。G Data采用双引擎扫描技术及爆发护盾技术，病毒侦测率高达99.9%，拥有独步天下的病毒查杀能力。G Data获得德国国内及国际上的众多荣誉奖项，产品已经在全世界90多个国家销售，是全世界最著名的杀毒软件和安全产品服务商之一。

　　G Data杀毒软件免费试用下载地址：http://www.gdata-china.com/down.html