基于社交媒体传播的僵尸网络—Koobface简析

0x01 Koobface僵尸网络简介

  关于Koobface的分析报道最早出现于2008年8月,它活跃于2009-2010年期间,被认为是第一个利用社交网络平台进行传播且获得成功的僵尸网络。其攻击目标是拥有诸如Facebook、Twitter、Myspace等社交网站账号的个人用户,目标系统为Windows系列操作系统,其名字由来是攻击目标之一、著名社交网站Facebook的颠倒。受害用户主要分布在北美和欧洲地区。攻击者通过Koobface可以实现广告推送、恶意软件付费安装、用户信息窃取,进而牟取暴利(2009年获利约200万美元)。

0x02 感染方式

  Koobface通过社工的方式进行传播。具体地,Koobface利用社交网络平台发布恶意视频链接,诱骗用户点击并安装恶意插件从而感染成为僵尸主机。如图1所示,首先,攻击者会事先注册若干blogspot / bit.ly账号,同时准备好一批被劫持和篡改的网站页面。准备完毕后, Koobface会利用已感染用户的社交账号进行恶意链接的发布和推送(第一阶段),该链接指向攻击者准备的恶意blogspot / bit.ly链接(第二阶段),当用户点击访问社交账号上发布的链接时首先会跳转到blogspot / bit.ly中的恶意链接,接着blogspot / bit.ly的链接将会把请求重定向到被劫持和篡改的网页(第三阶段),通过页面的JS脚本再一次将用户请求重定向到最终目的地—-恶意视频页面(第四阶段)。

1

图1 Koobface感染流程

该页面风格模仿Youtube或 Facebook video,如果用户点击观看视频时,网页会弹框提示用户缺少视频播放插件,需要下载安装(图2),该插件包含恶意可执行程序(Downloader),一旦安装之后将会感染受害主机并进行功能模块的下载。

2

图2 恶意视频页面

 0x03 功能特性

  感染之后,Koobface程序会根据本机cookie判断用户所使用的社交网站类型(如Facebook、Twitter、MySpace等),如果没有找到相关信息会进行自删除;否则Koobface程序会与C&C服务器通信,请求下载对应传播模块以及其他功能模块。Koobface主要功能包括以下几个方面:

利用社交网站传播

  Koobface程序利用本机中社交网站认证cookie进行登录,在其个人主页上发布带有恶意链接的状态,诱骗其好友点击进而安装插件进行感染。同时,该模块也会通过私信的方式主动向该用户的好友推送恶意链接(图3)。

3

图3 被感染的账户发布带有恶意链接的状态

本机DNS劫持

Koobface将用户访问的正常网站解析到钓鱼网站,同时屏蔽杀毒软件公司的域名。

信息窃取

  收集受害主机的系统信息、用户登录证书(FTP、Email、IM等)、受害者社交账号信息(地理位置、生日、爱好等)以及信用卡卡号,Base64编码后回传至C&C服务器(图4)。

4

图4 信息回传数据

劫持用户搜索

  当用户点击搜索引擎返回的查询结果时,对原合法网站的请求将会被重定向到恶意网站,同时,如图5所示,这些恶意网站将会向用户推送安装虚假杀毒软件(假装警告用户机器中毒,需要安装杀毒软件)。

5

图5 诱骗用户安装虚假杀毒软件

Web Server

  受害主机充当Koobface的C&C服务器,也可能用于搭建传播所需的恶意视频网站。

CAPTCHA BREAKER

  为了实现blogspot / bit.ly账号的自动化注册(服务于感染),Koobface需要识别CAPTCHA验证码,因此,控制者设计该功能模块让用户“帮忙”识别验证码。如下图所示,当受害主机接受到破解CAPTCHA任务后将会弹出倒计时对话框,提示用户在剩余时间内输入图片中的验证码,否则将自动关机。然而,即使是时间结束,受害主机也不会执行重启,而且Koobface程序并不会对验证码的正确性进行校验,只是对字符个数进行简单判别后便回传给了C&C服务器。

6

图6 CAPTCHA BREAKER界面

除了以上功能之外,Koobface还具备PPI(pay-per-install)模式安装恶意软件、点击欺诈、广告推送、更新等功能。

0x04 小结

  尽管多家安全公司、社交网站都在极力封杀Koobface,但幕后的操纵者们仍在通过通信内容加密、添加IP黑名单、添加中间代理、变换社交账号及域名等手段与安全研究人员展开着持久的对抗,继续利用Koobface疯狂牟取不义之财。也许有一天Koobface终将会消亡,但在当今Web2.0发展的背景下,它利用社交媒体传播、通过PPI、PPC(pay-per-click)业务盈利的特性注定会成为僵尸网络发展史上的一个烙印。

发表评论

电子邮件地址不会被公开。 必填项已用*标注