您当前的位置:真人赌盘网>网上赌场赌盘>八大胜最新首页|新型Ursnif银行木马:添加鼠标移动反检测技术

八大胜最新首页|新型Ursnif银行木马:添加鼠标移动反检测技术

发布时间:2020-01-09 09:56:55 阅读量:1247

八大胜最新首页|新型Ursnif银行木马:添加鼠标移动反检测技术

八大胜最新首页,e安全7月27日讯 2017年7月,安全研究人员发现新型ursnif银行木马利用巧妙的技术规避沙盒环境和自动化虚拟机,并根据鼠标移动检测真实用户是否在与计算机交互。

它的总体思路是检测鼠标光标的位置是否会移动,因为在安全测试与恶意软件分析环境中,鼠标光标在整个扫描和分析过程中会停留在同一位置。

ursnif惯用技巧

ursnif银行木马已经成为新恶意软件技术的滋生土壤。2016年夏天,ursnif一直使用tor匿名网络隐藏命令与控制服务器(c&c server)。ursnif 在此期间还测试并部署了其它创新反检测和虚拟机规避技术。以下是ursif去年部署的技巧:

检查文件名

提交用于分析的文件通常被重命名为它们的md5或sha256哈希值,且仅使用十六进制字符——0123456789abcdefabcdef。如果ursnif发现本地文件包含字母、数字、字符,例如t、r或#,它便知道自己在普通pc上运行。

检查本地pc的图形界面应用程序

虚拟机运行少量进程,以及非常少的图形界面进程。如果ursnif样本发现进程数少于50个,便会停止执行,并思考自己是否在虚拟机内。

检查用户的ip地址

ursnif会获取计算机的ip地址,并将其与安全公司或数据中心(研究人员租赁虚拟机的地方)分配的ip地址列表对照。

检查最近打开的文件

ursnif会检查最近打开的文件数量。虚拟机上最近打卡的文件数量通常很少,因为没有用户使用该系统执行常规任务。

这些只是ursnif去年部署的其中一些技巧。

通过三个嵌入式dll文件进行部署

网络安全公司forcepoint分析了ursnif最近一起活动后发现,新版ursnif今年4月开始使用鼠标移动检测技术。受害者会接收携带密码保护zip文件的垃圾电子邮件。解压此文件的受害者会看到三个word文档。word文档包含相同的恶意宏脚本。攻击者使用三个文件提高用户打开并遭遇感染的几率。

如果允许运行宏,word文档会下载一个dll文件,该文件会解压成另一个dll文件,之后解压到第三个安装银行木马的dll文件。

鼠标移动轨迹不仅可以用来检测是否存在真实操作用户或虚拟机,还能被用来暴力破解第二个dll文件中的加密密钥,并用来获取第三个dll文件。总之,ursnif攻击者惯用这种高超 的技巧。

ursnif 无意获取银行登录凭证

该版ursnif最不寻常的部分在于,它重点提取mozilla thunderbird电子邮件客户端的联系人和密码,而非专注于窃取特定银行的登录凭证。

forcepoint研究人员约吉高表示,该样本使用thunderbird相关功能的原因尚不清楚,这可能是ursnif攻击者首次尝试此类活动,这可能意味着ursnif会在今后的版本中涉及更多电子邮件客户端或应用程序。

27

e安全推荐文章

官网:www.easyaq.com

2017年7月

01

02

03

04

05

06

07

随机新闻
最新新闻
  • 2007高考670复读转文科693成状元,对北大的信念让她破釜沉舟圆梦

    2007高考670复读转文科693成状元,对北大的信念让她破釜沉舟圆梦

    说出你的高考故事,全国的中学生都想聆听。郭薇,宝鸡人,2007年高考670分,复读时转文科,2008高考693分,语文:138分 数学:149分 英语:140分,文科综合:266分,就读北京大学光华管理学院。2007年高考我与北大失之交臂,北大离我那么近,又那么远。权哥邀请你来做《说出你的高考故事》节目嘉宾,让你的故事走进千家万户,让你的声音给他人带去希望。

  • 青田世界红酒中心引来“洋合伙人”

    青田世界红酒中心引来“洋合伙人”

    昨日下午,在青田侨乡进口商品城的世界红酒中心,青田侨商周勇接到了“洋合伙人”里卡多从意大利打来的越洋电话,嘱咐他筹备好即将在下月中旬举办的第二届“侨博会”。他的另一个身份,是青田罗萨露拉商贸有限公司的法人,青田进口葡萄酒商界有名的“洋合伙人”。今年“十一”过后,记者在青田世界红酒中心见到了里卡多一行。里卡多的中国合伙人就是周勇,旅居意大利的青田华侨,他们在意大利相识。

  • 陆客怒撕挺香港暴徒海报,被台当局"驱逐出境"

    陆客怒撕挺香港暴徒海报,被台当局"驱逐出境"

    李嘉诚继续告别内地资产。目前,该项目地块已被融创壹号院项目的广告牌包围起来。项目用地原为大连港集团有限公司黑嘴子港区,主要从事木材、钢材等散杂货运输和水产品经营,大连市政府在2011年将该地块净地出让给大连达连房地产用于该项目建设。长实称,地产方面长江实业在内地拥有50多个房地产项目,分布于20多个城市。

  • 一名青年村干部的心声:“自从当了村干部,我再也没快乐过!”

    一名青年村干部的心声:“自从当了村干部,我再也没快乐过!”

    一开始是作为后备干部培养,在2018年换届选举中,陈明顺利通过选举成为村委会委员。对于自己的“干部生活”,陈明表现出了极大的苦恼,以至于他在访谈中吐诉“自从当了村干部,我就再也没有快乐过。”其次,工作中的形式主义特征严重损害青年干部的积极性,陈明将部分工作称作“虚伪的工作”。

  • 婆婆坚持客卫要装蹲厕,现在想想,确实要感谢婆婆的决定

    婆婆坚持客卫要装蹲厕,现在想想,确实要感谢婆婆的决定

    房子硬装结束了,现在保洁干净就等家电家具的到来了。婆婆当初坚持客卫要装蹲厕,而且说可以的话也可以装一个站便器。进门是客餐厅,简单的做了吊顶,主要是为了满足中央空调的通风管道需求。客厅阳台,还没有做防盗网,关键是还没决定装什么样的款式防盗网。卧室,直角飘窗,视野很好,有一览众山小的感觉。客卫,一样没有做干湿分离,有窗户的浴室,不怕阴暗和潮湿。卧室的阳台,阳台虽然小,但是晾衣服的地方有了。

栏目新闻
最热新闻
  • 父爱如山?有的爸爸爱如“山体滑坡”......

    父爱如山?有的爸爸爱如“山体滑坡”......

    都说“父爱如山”,每当妈妈出门不在家的时候,爸爸们就迎来了自己单独带孩子的时机~对于妈妈出门前的千叮咛万嘱咐,爸爸们信心满满他们脑子里带孩子的场面是这样的~~带孩子玩耍陪孩子读书逗孩子开心然而“理想”很丰满,“现实”很骨感有人总结,“爸爸带娃,活着就好”一个温馨有爱的四口之家来到了《快乐大巴》,这位爸爸就充分表现了什么叫父爱如“山体滑坡”~女儿:爸!

  • 各种增长背后:详解联想的动力

    各种增长背后:详解联想的动力

    核 心 要 点联想财报数据详解中国区份额逆势提升,联想pc还有后劲。财报发布前,投资机构对联想的业绩已显示出信心。pc正在迎来春天从上文的分析中不难看出,增长背后一方面是降本增效,另一方面则是联想中国区的核心业务在逆境中持续扩张份额。

  • 涉嫌“重复房改”不能过户?居民盼部门能参考相同案例解决

    涉嫌“重复房改”不能过户?居民盼部门能参考相同案例解决

    对于部门认定自己重复接受房改政策的说法,这些人并不认同。他们希望部门能够参考元龙楼的处理办法,依样给自己处理。记者来到福州市房管局了解情况,工作人员表示,他们只是执行部门,也只能按照市政府会议记要内容的范围执行,不能擅自将长乐南路这九户居民也纳入解决范围内。他们建议,居民可以寻找两权办进行解决。

  • 童年“没有玩够”的孩子,会受到多大伤害?

    童年“没有玩够”的孩子,会受到多大伤害?

    科学家口中的“自由玩耍”,对于培养孩子的社交能力、应对压力的能力以及解决问题的认知技能都至关重要。很多研究都支持布朗的观点:无论是人类还是动物,如果幼年时“没有玩够”,社交、 情感和认知能力的发展都会受到影响。大多数心理学家都认为,即便成年后,人们仍会受益于幼年时的自由玩耍,玩耍同样有助于成年人的身心健康。在过去,几乎每个孩子都有足够的时间嬉戏玩耍,而如今,很少有孩子能享受自由玩耍的快乐。

  • 新田召开人大常委会交通工作专题询问会

    新田召开人大常委会交通工作专题询问会

    新田县人大常委会组成人员、县政府分管领导、县直相关单位主要负责人、部分县人大代表参加会议。会上,新田县人大常委会组成人员、参会的部分县人大代表就路政执法、道路养护、交通建设规划、城乡公交一体化等方面的工作提出了询问,县交通局、自然资源局等相关部门和单位负责同志到会听取意见、回答询问,县政府分管领导就落实专题询问意见,进一步做好全县交通工作作了表态讲话。

© Copyright 2018-2019 limbofreak.com 真人赌盘网 Inc. All Rights Reserved.