歡迎登入資安人
若您還不是會員,請點選下方加入會員
忘記密碼
加入資安人會員
登入
新聞
觀點
專題
解決方案
活動
訂閱電子報
資安人粉絲團
聯絡我們
關於我們
合作詢問
隱私權政策
香港商法蘭克福展覽有限公司台灣傳媒分公司
110 台北市信義區市民大道六段288號8F
886-2-8729-1099
新聞
觀點
專題
解決方案
活動
訂閱電子報
登入
登入
訂閱電子報
新聞
觀點
專題
解決方案
活動
觀點
您現在位置 : 首頁 >
觀點
光擋 .js副檔名己無法防禦,勒索病毒再進化!
2016 / 09 / 10
本篇文章內容由廠商提供,不代表資安人科技網觀點
中華數位與ASRC研究中心發現勒索病毒的新變形,攻擊者同樣使用 Javascript 做為勒索病毒的前導程式,只是將惡意的 Javascript 放在 .hta 檔中,藉以躲避 .js 檔過濾條件的偵測!
上一波 Locky 勒索病毒大量使用了 .js 檔做為感染的前導,而 .js 能被 Windows 執行,是因為 Windows 作業系統預設啟用了 Windows Script Host 服務。面對這樣的攻擊,各方專家都提出了攔截 .js 副檔名或關閉 Windows Script Host 服務等防範辦法。不過中華數位與 ASRC 研究中心近期發現勒索病毒新變形,攻擊者同樣使用 Javascript 做為勒索病毒的前導程式,只是將惡意的 Javascript 放在 .hta 檔中。由於 Windows 作業系統中,點擊.hta檔預設會呼叫 Microsoft Internet Explorer 起來執行,這一舉直接突破了攔截 .js 副檔名的過濾條件或關閉 Windows Script Host 服務等防範辦法。
根據 ASRC 研究中心的分析, .hta 檔中所放置的惡意 Javascript 檔經過混淆 (Obfuscation) 處理,不易直接判讀惡意腳本打算進行的動作。
進一步的剖析發現,這個惡意腳本若被執行,則會試圖連線到這三個地方下載惡意檔案:
-
hxxp://www.itogazaidan.jp/HJghjt872
-
hxxp://www.ionut.coman.home.ro/HJghjt872
-
hxxp://twojamuza.y0.pl/HJghjt872
並存在本機的這三個位置:
- C:\Users\<user_name>\AppData\Local\Temp/pTOLwCQTqS1
- C:\Users\<user_name>\AppData\Local\Temp/pTOLwCQTqS2
- C:\Users\<user_name>\AppData\Local\Temp/pTOLwCQTqS3
接著,讀取檔案,並將檔案內容解碼存成 dll 檔,最後再透過 rundll32.exe 執行加密勒索程序。攻擊者從來不是省油的燈,只要資安業者公布了新的防範手法,攻擊者就會設法繞過,正所謂「道高一尺,魔高一丈」,資安防範不可一刻輕忽。
中華數位 SPAM SQR 面對這類型的攻擊,並非單純以攔截 .js副檔名的方式防禦。 SPAM SQR 掛載多重威脅防禦引擎,除可外掛防毒引擎抵抗已知病毒郵件外,內建的惡意檔案分析引擎,可層層分析附件檔案,讓此樣本出現的第一時間原形畢露。
已使用 SPAM SQR 的客戶請注意定期更新系統以及特徵,以達到最佳防禦效果。
了解更多資訊
http://www.softnext-inc.com/
。
最新活動
2024.05.24
AI新技術 全面捍衛網路安全
2024.04.25
漢昕科技線上資安黑白講「端點管控零信任,軟硬資產不放任」
2024.04.25
ipas資訊安全工程師能力培訓班(初級/中級)
2024.04.26
建構智慧製造對應資安解方媒合交流會
2024.04.29
軟協XBSI強強聯手【資安學院】4/29-4/30 ISO/IEC 27001:2022資訊安全管理系統 主導稽核員「轉版」訓練課程 (二日)
看更多活動
大家都在看
思科 Duo遭供應鏈攻擊!用戶多因子身分驗證日誌外洩
Palo Alto Networks:全球多重勒索軟體攻擊激增 49%,台灣製造業、高科技業、營建業受影響深
思科示警VPN、SSH服務遭大規模暴力撞庫攻擊
黃彥男接掌數位部 借重資安專長引領產業轉型
Palo Alto Networks對PAN-OS 軟體零日漏洞CVE-2024-3400發出緊急修補
資安人科技網
文章推薦
碩泰網通宣布取得Tenable台灣區代理權
Check Point 推出具進階威脅防護能力的創新單一介面電子郵件管理解決方案
思科推出思科Hypershield ,重新定義人工智慧時代的資料中心與雲端安全