天创培训:您身边的信息安全培训专家!
开班计划
2018年12月CISP培训开班通知
主讲老师   张老师、王老师等
开课时间   2018年12月24日-29日
培训方式   实地/面授
授课天次   培训5天+考试半天
上课时间   09:00 -- 16:30
课程介绍 在线报名
行业动态您当前位置:首页 > 最新动态 > 行业动态

思科:银行木马病毒Gozi正通过“Dark Cloud(乌云)”僵尸网络传播

作者:天创培训  来源:px.tcnet.com.cn  更新时间:2018-03-09  关键词:木马病毒,Gozi,僵尸网络

  思科:银行木马病毒Gozi正通过“Dark Cloud(乌云)”僵尸网络传播

  众所周知的银行木马病毒Gozi,也被称为ISFB或者Ursnif,首次被发现是在2007年。在过去的十年里,它一直保持活跃,被认为是迄今为止发现存在时间最长的银行木马病毒之一。

思科:银行木马病毒Gozi正通过“Dark Cloud(乌云)”僵尸网络传播

  Gozi在其发展历程中曾多次泄露其源代码,CISP认证这使得Gozi代码库中的强大功能已经被集成到了其他恶意软件中,如在2016年从北美银行盗走数百万美元的木马病毒GozNym。

  在GozNym盗窃事件之后,思科公司旗下的网络安全部门Talos团队就一直在监测与Gozi相关的恶意活动。根据基于最近六个月的监测结果,Talos团队发现Gozi仍在继续保持活跃,甚至在最近的活动中采用了新技术,如利用“Dark Cloud(乌云)”僵尸网络进行分发。

  Talos团队在过去的几个月里发现了几起不寻常的Gozi分发活动,攻击者并没有选择向众多目标组织同时发送大量垃圾电子邮件CISP认证,而是表现为有针对性。不仅如此,这些电子邮件还表现为经过了精心设计,企图逃避检测,并且更具信服力。

  另外,攻击者不仅让分发活动与命令和控制(C&C)基础设施仅在短时间内处于活动状态,而且能够迅速地转向新的域名和IP地址。这些都将使得调查人员对其所进行的活动以及恶意软件样本的分析变得更加困难。

  垃圾电子邮件采用了Microsoft Word文档作为附件。打开时,文件会显示一个诱饵图像,CISP认证使其看起来像是使用Office 365创建的。它会提示收件人“启用编辑”,然后“启用内容”才能查看具体内容。

  如果收件人选择了这样做,那么嵌入在Word文档中的恶意宏将执行,并从攻击者控制的服务器下载并运行恶意软件。

  最终的恶意软件会根据具体的活动而不同。绝大多数是基于Gozi代码库的银行木马病毒,有一些则属于其他恶意软件家族,如CryptoShuffler、Sennoma和SpyEye。

  基于对Dark Cloud僵尸网络所使用的基础架构的分析,Talos团队发现大多数系统位于东欧、亚洲和中东地区。

  Talos团队总结说,作为银行密码病毒,Gozi在全球范围内被广泛应用于攻击世界各地的组织。它已经存在了超过10年的时间,CISP认证根据其正在进行的活动列表来看,它并不会很快消失。攻击者正在继续改进他们的技术并寻找有效的新方法来混淆他们的恶意服务器基础设施,试图使得进行分析和跟踪变得更加困难。




推荐阅读

网站首页 |  关于天创 |  课程体系 |  最新动态 |  联系我们 |  网站地图 |  二维码
版权所有:江苏天创科技有限公司 苏ICP备16028135号-2
苏州总部地址:江苏省苏州市十梓街327号 电话:0512-65129087 传真:0512-65157410 邮编:215000
南京分公司地址:南京珠江路88号新世界中心A座 电话:025-84533276 传真:025-84533286 邮编:210000