[資安小常識] 應用MSRT防範Escad和Junipd的惡意攻擊

今年二月，Microsoft惡意軟體移除工具(MSRT）加入三個新項目：Win32/Escad、Win32/Jinupd和Win32/NukeSped來協助保護客戶。

首先，惡意駭客藉由Jinupd等銷售點惡意軟體竊取敏感性資料如信用卡資訊。而Escad和NukeSped的後門功能也被惡意軟體作為攻擊目標。

以上所述三項惡意軟體皆對使用者造成資安上的危害，然本篇將會多將重點放在Escad和NukeSped進行討論。

 

MMPC(Microsoft Malware Protection Center)藉由分析二進位資料，發現了Escad的許多惡意攻擊功能。它可以在受到攻擊的電腦中執行大量的常式，用來蒐集敏感的資料，其中包括：

  • 設置為代理伺服器
  • 複製檔案，並將它們發送到遠端的IP位址
  • 將檔案遠端下載到受感染的系統
  • 枚舉(enumerate)任何資料夾中的檔案
  • 收集機器中的資訊，如電腦名稱、TCP連接和網路介面卡的資訊
  • 修改防火牆設定
  • 修改IP設定

以上常式(routine)將被感染的系統開放給其他遠端攻擊— 包括下載和運行其他惡意軟體。

Escad會將檔案偽裝成安裝服務，在系統啟動時運行。而下列便為已使用此手法進行攻擊的案例：

  • ansi.nls
  • dayipmr.tbl
  • netmonsvc.dll
  • pmsconfig.msi
  • pmslog.msi
  • rdmgr.dll
  • remoteevtmanager.dll
  • tmscompg.msi     

因此，若任何這些檔案的存在都可能意味著受到Escad感染。

圖 1 和圖 2 顯示Escad 惡意軟體在最近幾個月的比例及其分佈特徵。

圖 1： 2014年 12 月以來Escad 檢測結果

圖 2： 感染Escad 的國家

最近，MMPC檢測到NukeSped的變種在受到Escad的針對性攻擊過程中被安裝。NukeSped 可能以下列程式名稱攻擊系統：

  • comon32.exe
  • diskpartmg16.exe
  • dpnsvr16.exe
  • expandmn32.exe
  • hwrcompsvc64.exe
  • mobsynclm64.exe
  • rdpshellex32.exe
  • recdiscm32.exe
  • taskchg16.exe
  • taskhosts64.exe

另外，MMPC檢測到Trojan:Win32/NukeSped.A!dha自我安裝為名叫WinsSchMgmt的服務軟體，它也會安裝一個txt檔案，而該檔案中包含可能受到影響的IP 位址清單。NukeSped將連接到駭客端，從而具有執行以下任一操作的能力：

  • 檢查互聯網連接
  • 下載並運行檔案 （其中包括更新或其他惡意軟體）
  • 啟用/禁用這些受到攻擊的電腦中資料夾的完全存取權限
  • 系統根目錄
  • Syswow64
  • System32
  • 報告管理員新的感染
  • 接收設定資料
  • 接收惡意駭客的指令
  • 搜尋PC 的位置
  • 上傳PC的資訊

NukeSped也會安裝其他檔案如igfxtrayex.exe，而MMPC檢測到名稱為Trojan:Win32/NukeSped.B!dha的變體也有可能被命名為brmgmtsvc。

NukeSped在目前目錄中植入檔案名稱taskhostxx.exe的複本-其中xx可以是任何字母。

它不僅探勘受感染系統的體系結構，更會安裝32或64位元的協力廠商驅動程式在 %temp% \usbdrv3.sys中。惡意軟體用此合法的檔案修改磁區的主引導記錄，阻止機器啟動(booting)。在被感染的系統中，NukeSped同時也會禁用下列服務：

  • MSExchangeIS
  • MSDEPSVC
  • SSIS
  • SSRS
  • Termservice
  • W3SVC
  • WMServer

Trojan:Win32/NukeSped.B!dha也在預設的windows 目錄中植入檔案iissvr.exe。MMPC檢測到此檔案名稱為Trojan:Win32/NukeSped.C!dha。這種由駭客發起的變體具有嵌入的圖像音效檔案，它可經由HTML頁面的滾動通知使用者系統上的檔案已被破壞的消息。

圖 3： 資料來源 Trojan:Win32/NukeSped.C!dha

 

為防範以上所述惡意軟體攻擊，建議使用者安裝微軟安全產品如Microsoft Security Essential Download，其具有檢測Escad、Jinupd和NukeSped的能力。也建議用戶將安全軟體更新到最新版本，並定期全面掃描個人電腦。另外，加入Microsoft Active Protection Service Community（MAPS）也可以協助您充分使用微軟雲保護服務的微軟安全產品。最後，定期備份檔案也可以協助防止惡意軟體攻擊和資料遺失。

Comments

  • Anonymous
    March 11, 2015
    The comment has been removed
  • Last updated on