九游老哥云
IcedID银行木马样本手艺剖析与防护计划
2017-11-17
内容简介
综述
克日，IBM X-Force研究小组发明了一种全新的银行木马IcedID。该木马最早于2017年9月在互联网上撒播，目的主要为美国金融行业的相关系统。据X-Force研究，该木马包括一个恶意代码的� ？�，拥有如宙斯木马（Zeus Trojan）等现今银行木马的大部分功效。
现在看来，该木马主要的目的为美国的银行，支付卡提供商，手机服务提供商，邮件和电商网站等系统，还包括2所英国的主流银行。
相关链接：
https://securityintelligence.com/new-banking-trojan-icedid-discovered-by-ibm-x-force-research/
事务配景
2017年11月14日，一个名为IcedID的银行木马被研究职员发明，该木马主要攻击美国境内的银行和其他金融机构，通过Emotet木马来举行撒播。受熏染者在会见特定的线上金融机构网站时，该木马会将用户重新定向到假的垂纶网页，来获取用户的银行密码等敏感信息。
撒播与熏染
据X-Force的研究职员体现，IcedID没有使用误差而是使用Emotet木马举行撒播。Emotet将IcedID作为新的Payload下载到受熏染的用户主机上，从而举行熏染。Emotet主要通过垂纶邮件举行撒播，一旦熏染用户就会在主机上静默装置，随后会用来下载更多的恶意软件。
除了常见的木马功效外，IcedID还可以通过网络撒播。 它通过设置一个外地署理来监控受害者的在线运动， 它的攻击手段包括网站注入攻击和类似于Dridex和TrickBot的重大的重定向攻击。
攻击流程
处置惩罚建议
清静操作建议
1. 不要随意下载和装置软件，以防被木马熏染；
2. 装置防病毒软件并坚持更新至最新版本。
检查与扫除
1. 检查注册表并删除HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRuncantimeam键值。
2. 删除C:Users{UserName}AppDataLocalcantimeam目录及该目录下的可执行文件。
一连清静监测与防护
在一连清静监测和防护计划中，以九游老哥威胁剖析系统（TAC）检测未知和已知威胁，以威胁情报清静信誉为纽带，团结外地网络安排的NIPS（九游老哥入侵防护系统），形成对已知威胁与未知威胁的动态清静防护系统，再团结九游老哥科技专业应急响应团队以及区域服务团队的现场响应及处置惩罚能力，可对天下规模内的客户提供现场快速剖析排查、处置惩罚及加固防护。
注：TAC的威胁剖析能力请参考恶意软件行为章节内容
家族关联比照
九游老哥科技检测与防护计划
九游老哥科技检测服务
· 九游老哥科技工程师前往客户现场检测。
· 九游老哥科技在线云检测，上岸九游老哥科技云，申请极光远程扫描试用。
https://poma.nsfocus.com/
九游老哥科技木马专杀解决计划
· 短期服务：九游老哥科技工程师现场木马后门整理服务（人工服务+IPS+TAC）。确保第一时间消除网络内相关危害点，控制事务影响规模，提供事务剖析报告。
· 中期服务：提供3-6个月的危害监控与巡检服务（IPS+TAC+人工服务）。根除危害，确保事务不复发。
· 恒久服务：基金行业营业危害解决计划（威胁情报+攻击溯源+专业清静服务）
总结
IcedID是金融网络犯法领域新近发明的一个威胁。 虽然现在还不知道它将会怎样生长，但其现在的能力，撒播方法选择和攻击目的都批注晰其背后是一个对这个领域并不生疏的整体。
附录：
IOC
|
KEY |
VALUE |
|
DOMAIN |
nejokexulag.example.com nobleduty.com tradequel.net youaboard.com ztekbowrev.com
|
|
PORT |
443 |
|
PROTOCOL |
SSL/TLS |
|
IP |
185.127.26.227 |
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
