日前，在Websense ThreatSeeker®智能云的幫忙下，Websense®安然嘗試室™的研究人員們發(fā)現(xiàn)，收集報復(fù)打擊者正在愈來愈多的選擇利用自定義生成的附件文件名和有暗碼呵護功能的ZIP文件倡議大年夜范圍的收集報復(fù)打擊。他們將以銀行/金融為主題的可履行文件打包在ZIP文件中，并將文件名與方針收件人之間進行匹配，經(jīng)由過程電子郵件進行大年夜范圍的傳播。當(dāng)該文件在受害者電腦上運行時，來自Zbot P2P家族的木馬病毒就會經(jīng)由過程Pony下載器下載到受害者電腦上。Zbot凡是是用來盜取銀行證書、小我可辨認信息(PII)和其它奧秘數(shù)據(jù)，以獲得犯法收益。
Websense安然專家們一向在積極檢測并禁止近似報復(fù)打擊事務(wù)，他們于7月15日成功檢測到一路以“首要文件---WellsFargo”為主題的報復(fù)打擊勾當(dāng)。在此次報復(fù)打擊勾當(dāng)中，Websense云端電子郵件安然檢測并成功反對了80,000多個實例。隨后，Websense CES(云端電子郵件安然)還成功反對了另外一路報復(fù)打擊勾當(dāng)，報復(fù)打擊者們操縱假裝為由Trusteer發(fā)出的子虛電子郵件，拐騙受害者安裝Trusteer Rapport軟件更新。迄今為止，Websense CES已成功反對了36,000多個報復(fù)打擊變體。以下則是Websense CES反對到的一封電子郵件：
Websense安然專家暗示，與之前檢測到的報復(fù)打擊勾當(dāng)比擬，此次報復(fù)打擊勾當(dāng)?shù)钠嫣氐牡胤骄褪菆髲?fù)打擊者利用的是自定義生成的附件名稱。收集犯法分子們也在試圖不斷改進報復(fù)打擊編制，以加強其報復(fù)打擊的有效性。
主動成立文件名，并將該文件名與方針收件人的電子郵件用戶名進行匹配，暗藏的受害者起首會看到與他們的用戶名不異的ZIP文件，在搜刮引擎中搜刮附件文件名也不會顯示任何可疑信息，報復(fù)打擊者就是操縱這類編制讓暗藏的受害者更安心腸在打開附件。同時報復(fù)打擊者們也?？纯梢越?jīng)由過程這類方律例避基于附件文件名的反對。
假定用戶在文件夾選項中的選擇了“隱躲已知文件類型擴大名”，那么典型的誤導(dǎo)性圖標(biāo)(電子郵件報復(fù)打擊中常見歹意軟件的另外一共同特點)會將歹意可履行附件顯示為正常文件(見圖1)。懂行的用戶會選擇顯示所有文件的擴大名，可疑附件就會透露無遺(見圖2)。
圖1 圖2
Websense安然專家操縱ThreatScope™對附件行動進行闡發(fā)后發(fā)現(xiàn)，Pony下載器會與hxxp:// dhar***.net/ponyb/gate.php進行信息傳送。同時，Pony下載器還會會發(fā)送一系列GET要求，從hxxp:// liltommy.com/ep9C.exe、hxxp:// www.wineoutleteventspace.com/7UNFVh.exe、hxxp:// www.oh-onlinehelp.com/Pefyi.exe、hxxp:// video.wmd-brokerchannel.de/qAz575t.exe等多個歹意網(wǎng)站上下載歹意可履行文件，并且可以與合法網(wǎng)站進行信息傳送來袒護歹意勾當(dāng)。
別的，在更早檢測到的報復(fù)打擊勾當(dāng)中，Websense安然專家們寄望到，除將附件文件名與收件人用戶名配對，報復(fù)打擊者們還在報復(fù)打擊郵件中添加了暗碼呵護功能，這類編制在近幾個月的報復(fù)打擊中利用相當(dāng)頻繁。明顯，報復(fù)打擊者的目標(biāo)是規(guī)避主動闡發(fā)，并在安然廠商更新歹意軟件檢測編制之進步行大年夜范圍的傳播。以下圖所示：
一樣，隱躲了文件擴大名的附件在電子郵件中也顯示為正常文件，報復(fù)打擊者試圖以這類編制來削減暗藏的受害者對打包在附件中的可履行文件的思疑。以下圖所示：
比來，Websense安然專家又檢測到一路操縱子虛Trusteer電子郵件倡議的報復(fù)打擊勾當(dāng)，電子郵件主題為“首要安然更新：客戶XXX”。此次報復(fù)打擊與上述報復(fù)打擊勾當(dāng)一樣，附件名稱與收件人用戶名一致。Trusteer是一家軟件公司，報復(fù)打擊者將報復(fù)打擊郵件假裝成軟件更新郵件，試圖削減暗藏的受害者對附件中的可履行文件的戒心。
Websense ThreatScope陳述指出，簡單的社交工程手藝、已知縫隙及已知的歹意軟件家族仍遍及利用在大年夜大年夜小小的報復(fù)打擊中。當(dāng)然這些電子郵件釣餌很是簡單，可是報復(fù)打擊者仍會操縱釣餌的各類變體進行報復(fù)打擊，傳統(tǒng)的殺毒軟件不克不及有效反對此類報復(fù)打擊。即便殺毒軟件廠商對軟件進行更新以后，也只有少數(shù)殺毒軟件可以辨認Zbot木馬變種。并且在更新了殺毒軟件以后，一些木馬托管主機看似不再進行響應(yīng)，但實際上仍會供給新的歹意二進制文件。
Websense安然專家提示用戶，面對這類強針對性的報復(fù)打擊，必然要對來歷不明的電子郵件保持警悟，不要等閑瀏覽帶有鏈接與附件的可疑郵件。除進步用戶安然意識以外，企業(yè)也能夠經(jīng)由過程擺設(shè)多層次的安然產(chǎn)品來防備此類報復(fù)打擊，呵護企業(yè)安然。Websense為廣大年夜企業(yè)用戶供給了周全的安然產(chǎn)品：Websense云端電子郵件安然可以應(yīng)用多種闡發(fā)編制，主動防御攜帶可履行文件或其它可疑附件的電子郵件;Websense高級分類引擎™(ACE)可以辨認僵尸收集和歹意網(wǎng)站并經(jīng)由過程及時闡發(fā)對歹意URL托管網(wǎng)站進行反對;Websense DLP(數(shù)據(jù)泄漏防護)東西可以檢測并禁止銀行憑證和小我可辨認信息(PII)等敏感信息的泄漏，周全呵護數(shù)據(jù)安然。