网络信息安全简报（2013.10）

 

1)         10.10.7.222

 

2)         10.10.2.180

 

3)         10.10.2.181

 

 

 

 

网络病毒主要针对一些防护比较薄弱，特别是访问量较大的网站通过网页挂马的方式进行传播。当存在安全漏洞的用户主机访问了这些被黑客挂马的网站后，会经过多级跳转暗中连接黑客最终“放马”的站点下载网络病毒。2013 年 10 月，趋势监测发现排名前十的活跃放马站点域名和活跃放马站点 IP 如下表所示。

 

2013 年 10 月，Trendmicro监测到全球互联网 1434 万余个主机IP 地址感染飞客蠕虫，按国家或地区分布感染数量排名前三位的分别是中国大陆、印度、巴西。

境内感染飞客蠕虫的主机 IP 为近 138 万个，按地区分布感染数量排名前三位的分别是广东省、浙江省、江苏省。

1、Mozilla 产品安全漏洞

Mozilla Firefox/SeaMonkey/Thunderbird 是 Mozilla 所发布的 WEB 浏览器/新闻组客户端/邮件客户端。本周，上述产品被披露存在多个安全漏洞，攻击者利用漏洞可获得敏感信息，导致拒绝服务攻击或执行任意代码。

趋势收录的相关漏洞包括：Mozilla Firefox PDF.js 子帧注入任意系统文件泄漏漏洞、Mozilla 多个产品 nsDocLoader::doStopDocumentLoad()函数内存错误引用漏洞、Mozilla Firefox 存在未明内存破坏漏洞、Mozilla 多个产品超大页图像对象收集处理竞争条件漏洞、Mozilla 多个产品 JavaScript 引擎内存分配存在多个缓冲区溢出漏洞、Mozilla多个产品 select 元素处理 URL 栏伪造漏洞。其中，“Mozilla Firefox PDF.js 子帧注入任意系统文件泄漏漏洞、Mozilla 多个产品 nsDocLoader::doStopDocumentLoad()函数内存错误引用漏洞、Mozilla Firefox 存在未明内存破坏漏洞”的综合评级均为“高危”。厂商已经发布了上述漏洞的修补程序。趋势 提醒用户尽快下载补丁更新，避免引发漏洞相关的网络安全事件。

 

2、Netgear 产品安全漏洞

Netgear WNDR3700 是一款路由器设备；NetGear RAIDiator 是基于 Linux 和debian-sparc 平台的直接挂网存储设备。本周，上述产品被披露存在多个安全漏洞，攻击者利用漏洞可使应用程序崩溃，执行未授权的访问，或执行任意命令。

趋势 收录的相关漏洞包括：NETGEAR WNDR3700 'sprintf()'函数特制 Host 字符串缓冲区溢出漏洞、Netgear WNDR3700 Router 'cmd_ping6()'远程命令注入漏洞、NetGear RAIDiator 命令注入漏洞、Netgear WNDR3700 Router 存在多个验证绕过漏洞、NetGear RAIDiator 跨站请求伪造漏洞。其中，“NETGEAR WNDR3700 'sprintf()'函数特制 Host字符串缓冲区溢出漏洞、Netgear WNDR3700 Router 'cmd_ping6()'远程命令注入漏洞、NetGear RAIDiator 命令注入漏洞”的综合评级均为“高危”。厂商已经发布了“NetGear RAIDiator 命令注入漏洞、NetGear RAIDiator 跨站请求伪造漏洞”的修补程序。趋势提醒用户及时下载补丁更新，避免引发漏洞相关的安全事件。

 

3、Cisco 产品安全漏洞

Cisco IOS XR 是基于微内核分配操作系统架构；Cisco Adaptive Security Appliance是一款自适应安全设备，可提供安全和 VPN 服务的模块；Cisco Unified Communications Manager 是企业级 IP 电话呼叫处理系统； Cisco Identity Services Engine 身份服务引擎一款用于 Cisco TrustSec 解决方案的中央策略引擎；Cisco Catalyst 3750 系列交换机是一款创新交换机。本周，上述产品被披露存在多个安全漏洞，攻击者利用漏洞可获得敏感信息，使设备重启，导致拒绝服务攻击。

趋势 收录的相关漏洞包括：Cisco IOS XR Software 分片报文处理拒绝服务漏洞、Cisco Adaptive Security Appliance (ASA) 远程拒绝服务漏洞、Cisco Adaptive Security Appliance (ASA) 远程拒绝服务漏洞、Cisco Identity Services Engine 远程验证绕过漏洞、Cisco Identity Services Engine Guest 用户帐户耗尽拒绝服务漏洞、Cisco Catalyst 3750 Series Switches 默认证书凭证绕过漏洞。其中，“Cisco IOS XR Software 分片报文处理拒绝服务漏洞”的综合评级为“高危”。厂商已经发布了上述漏洞的修补程序。趋势 提醒用户尽快下载补丁更新，避免引发漏洞相关的网络安全事件。

 

5、WordPress AREA53 Theme 'php.php'任意文件上传漏洞

WordPress 是一款基于 PHP 的博客平台，用户可以在支持 PHP 和 MySQL 数据库的服务器上架设自己的网志。本周，WordPress AREA53 Theme 被披露存在一个综合评级为“高危”的文件上传漏洞。由于程序未能正确过滤用户提交的输入，远程攻击者利用漏洞可提交特制文件，并以 WEB 权限执行。目前，互联网上已经出现了针对该漏洞的攻击代码，厂商尚未发布该漏洞的修补程序。趋势 提醒广大用户随时关注厂商主页以获取最新版本。

已查杀的病毒/恶意软件数：

 

已查杀的全部病毒、恶意软件摘要：

 

传染来源摘要：（N/A表示来自外网或无法识别）

 

被感染的目标（主机）摘要：

 

处理措拖结果摘要：

 

 

 

 

 

自2010年鬼影病毒问世以来，可谓是开创了一类新型恶意软件编写的先河。经过两年多的发展，鬼影病毒“繁衍”了一代又一代，形成了特性鲜明的鬼影家族系列。之所以称之为鬼影病毒，主要是因为该病毒寄生在磁盘主引导记录（MBR）当中，即使格式化硬盘，甚至重装系统，也无法将其完全清除，犹如“鬼影”一般附身于计算机中“阴魂不散”，令人十分恼火。

 

鬼影病毒是近年来较为罕见的技术型病毒，病毒作者具有高超的编程技巧。该病毒一旦进入电脑，就像恶魔一样，隐藏在系统之外，并早于操作系统内核先加载，所以哪怕是重做了系统，只要MBR没重写，病毒就仍然存在。鬼影病毒目前已发展到第六代，已出现多个变种，且每个变种的行为都不尽相同，但它们都有一个共性，就是修改MBR。

 

MBR，全称为Master Boot Record，即硬盘的主引导记录。位于硬盘的0柱面0磁道1扇区，不属于任何一个操作系统，是计算机通电开机、主板自检完成后，访问硬盘时必须读取的首个扇区。主引导扇区中记录着硬盘本身的相关信息以及硬盘各个分区的大小和位置信息，是数据信息的重要入口。如果它受到破坏，硬盘上的基本数据结构信息将会丢失，需要用繁琐的方式试探性的重建数据结构信息后，才可能重新访问原先的数据。

 

主引导扇区的读取流程如下：

 

1. BIOS加电自检；

 

2. 读取MBR，当BIOS检查到硬件正常并与CMOS中的设置相符后，按照CMOS中对启动设备的设置顺序检测可用的启动设备；

 

3. 检查MBR的结束标志位是否等于55AAH，若不等于则转去尝试其他启动设备，如果没有启动设备满足要求，则显示"NO ROM BASIC"，然后死机；

 

4. 当检测到有启动设备满足要求后，BIOS将控制权交给相应启动设备；

 

5. 根据启动设备的MBR中的引导代码启动引导程序。

 

通过上述流程可以看出，MBR对于操作系统来说是多么重要，一旦被破坏或被病毒恶意修改，对于系统来说都是致命的。因鬼影病毒而兴起的MBR-Rootkit技术颠覆了传统病毒的感染特点以及用户处理病毒问题的思维定势，也算是具有划时代的意义。本文介绍的是鬼影家族的第三代产品，具有一定代表性。

 

病毒现象及行为

 

1） 桌面和快速启动栏多出伪装的IE快捷方式，主页被篡改为http://123.765321.info，且无法修改。

 

 

图1：IE主页被篡改

 

2） “文件夹选项”设置被修改，隐藏文件扩展名、不显示隐藏的文件和文件夹，修改后重启电脑又被改为隐藏。

 

 

图2：“文件夹选项”设置被修改

 

3） 任务管理器活动进程中多出一个alg.exe，通过查看进程PID，与XueTr中显示的进程对比，不难得出，PID为1784的才是正常的系统进程，位于C:WINDOWSsystem32下，而PID为1848的进程其实是C:Documents and SettingsAll UsersDocumentsMy VideosVanlmh.tmp伪装成的alg.exe，迷惑人的。

 

 

图3：病毒释放Vanlmh.tmp伪装成系统进程alg.exe

 

4） 使用XueTr的检测MBR Rookit功能，提示“未知MBR”。

 

 

图4：XueTr检测到MBR异常

 

上述现象只是肉眼看得到的表象，经过详细分析后得到的病毒行为主要有以下几个方面：

 

A. 病毒运行后会打开磁盘获取磁盘信息，通过计算磁盘的大小来计算用来数据存放的磁盘具体位置。读取MBR并备份，以便系统初始化时调用原始的MBR完成对系统的引导，然后修改MBR，实现在系统启动的第一时间获取控制权。

 

B. 释放驱动文件hello_tt.sys并加载，挂钩SCSI的DriverStartIO函数，用来过滤某些操作实现数据隐藏，并保护病毒修改的MBR不被修复掉。等待5秒，释放C:Documents and SettingsAll UsersDocumentsMy VideosVanlmh.tmp，创建注册表HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun启动项，名称为Alg，路径为C:alg.exe。

 

C. 删除C:WINDOWSsystem32driverseep.sys文件，这样重启电脑后hello_tt.sys便可替代beep.sys顺利加载到系统中。

 

D. 修改“文件夹选项”的设置，隐藏文件扩展名，不显示隐藏文件，在桌面和快速启动栏创建伪装的IE快捷方式，修改主页为http://123.765321.info，联网下载指定文件。

 

手工处理方法

 

1） 结束病毒活动进程并删除文件。

 

 

图5：结束Vanlmh.tmp进程并删除文件

 

2） 删除病毒创建的Alg启动项。

 

 

图6：删除病毒创建的Alg启动项

 

3） 摘除hello_tt.sys，替换掉beep.sys挂在SCSI下的钩子。

 

 

图7：摘除SCSI hook

 

4） 通过XueTr重置MBR，这里需要事先备份一份正常的MBR，由它来替换被病毒修改的MBR。

 

 

图8：修复MBR

 

5） 在IE设置中把病毒劫持的主页修改回来，从其他干净系统中拷贝一个beep.sys放到系统drivers目录下。

 

通读完全文，是不是觉得网上传得神乎其神的鬼影病毒不再那么陌生和可怕了？MBR-RootKit技术之前主要在国外技术论坛传播，近几年因鬼影病毒的出现才在国内火了一把。在鬼影病毒之前，这项技术少有被黑客利用的案例，但未来可能会有更多恶意软件利用该技术长期驻留在用户电脑中。所以对于普通网友来说，多了解一些病毒知识，防患于未然是绝对有好处的。