九游老哥云
Blackmoon银行木马新样本 手艺剖析与防护计划
2017-05-18
一、综述
在2016年报道的偷取凌驾15万韩国用户银行信息的Blackmoon银行木马于2017年又被发明接纳了全新的框架模式来对网络银行举行攻击，通过三个脱离但又相互联系的办法来安排该木马，并举行后续的攻击 。这与在2016年的以adware和exploit kits为撒播方法的框架完全差别 。
Blackmoon
早在2016年，Unit 42跟进并剖析了一个专门针对韩国银行的网络恶意运动，并将之命名为“KRBanker”即“Blackmoon” 。Blackmoon的攻击方法与古板的MITB模式不太相同，主要是接纳“Pharming”的形式将用户重新定向到一个伪造的网站，从而骗取用户在冒充的页面输入的账户信息 。伪造的网站IP通过使用QQ空间的API来转达，随后使用PAC(Proxy Auto-Config)与恶意的ja
撒播方法：
旧撒播方法
2016年发明的Blackmoon样本均是以adware以及exploit kits(EK)模式来举行撒播并熏染用户机械 。用来装置Blackmoon的EK叫做KaiXin，通过使用Adobe Flash的一些误差来撒播装置木马 。另一个撒播途径是通过一个叫NEWSPOT的adware程序 。用户装置了该程序后，通过该程序的update通道，Blackmoon木马会被下载到用户的机械上，随后木马会运行并且最先攻击 。
新撒播方法
Fidelis于2016年底至2017年头又发明了一个奇异的三阶段框架，专门用来撒播安排Blackmoon银行木马 。 该框架通过顺次次安排拥有差别但相关功效的组件来完成完整的Blackmoon木马的撒播 。Fidelis把这个框架称为Blackmoon下载器框架（如下图），包括初始下载器（Initial Downloader）字节下载器（Bytecode Downloader）以及KRDownloader 。
二、样本手艺剖析
概述
此次事务与前几年针对韩国金融行业的木马BlackMoon有关，克日清静公司捕获了一系列新的样本，这些样本后续会下载BlackMoon到受害者的盘算机中，BlackMoon现在只针对以韩语为盘算机语言的目的，暂时并未发明涉及其他地区，在剖析之后我们以为这些新样本是一套下载套件，并且是自动天生的，其下载链接很是有纪律，应为统一时间天生的 。
详细内容，请下载《Blackmoon银行木马新样本 手艺剖析与防护计划》
