转载

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

1月11日，360安全卫士云安全系统检测到国内知名军事论坛“军号网”上出现可疑的挂马行为，随即进行追踪分析。经过进一步确认，发现这是一次攻击范围很小、时间短暂，而且被攻击者迅速清理现场的挂马，很可能是有明确目标的针对性攻击事件。

攻击者使用改造升级版的BlackHole EK挂马工具包（BlackHole作者早在2013年已被逮捕），结合论坛的XSS漏洞进行挂马，相比普通黑产具有更高的技术水平。

论坛挂马手段

这次挂马点比较隐蔽，经过反复检查后确认是利用论坛的漏洞插入了挂马页面。该漏洞是Discuz论坛针对ed2k协议解析时的一个XSS漏洞[2]，在解析过程论坛会自动对e2dk链接中的文件大小进行识别并直接输出，并且未进行过滤，导致出现了一个存储型XSS。攻击者利用该漏洞插入了恶意js脚本代码，调用document.write函数向页面中插入挂马iframe页面和恶意js脚本。

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

图1 攻击者发帖

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

图2 插入的XSS代码

挂马页面分析

攻击者在帖子中插入了两类代码，其中第一类仅在其发表的第一个帖子中存在，该脚本是从网上的获取cookie代码修改而来，怀疑也是类似获取用户访问的信息，但是可能编写有问题，并没有获取成功。

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

图3 获取信息的脚本内容

而在其他帖子中则插入的恶意挂马代码，利用js载入一个iframe，地址是hxxp://lynxlyragrus.com/aengewauhg/ball/nobody_grows-leaving-complained.php，注意这个网址采用了com域名，其他相关的url也有伪装模式。载入的页面是攻击包的着陆页面，该页面的代码加密特点是使用了-1来分割加密的字符串，具体的解密算法如下图所示

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

图4 着陆页面解密代码

解码后整体代码分成三部分，第一部分则是一个内容异常丰富的浏览器及各种插件版本判断方法，代码编写规范，相比其他常见的EK更加的工程化。第二部分是使用js对Java、Flash进行版本判断，并选择执行对应的挂马函数。

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

图5 版本判断代码

然后是最重要的第三部分，其主要功能是待执行的多个函数代码，分别为命名为f1、f2、f3、i1、i2、i3、p2、j1，通过调用这些函数，引入漏洞利用文件和js代码。这些函数也会在引入文件的同时向服务端传递动态生成的参数信息，以保证漏洞页面只能被一次性访问。

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

图6 引入攻击代码

其中f2函数则载入了一个Flash文件，该文件会通过RC4加密方法把实际的漏洞利用代码加密到BinaryData中，解开后根据代码确认是CVE-2015-8651。

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

图7 CVE-2015-8651代码

i1代码引入的js文件是被Base64编码过的，解开之后是CVE-2013-2551的漏洞利用代码，因为该漏洞时间较久，因此很少有攻击包会选择这个漏洞。

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

图8 CVE-2013-2551代码

进一步分析

复现挂马之后，我们对这个挂马页面进行了多次试探，试图发现更多信息。经过多次尝试，我们发现所有的页面访问都具备漏洞攻击包的常见安全措施，页面会对请求做一定的防范措施，使用错误的链接和过期的网址参数访问只会获得“Industry is the parent of success”的字符串。此外，我们还发现该漏洞针对不同浏览器版本会引入不同漏洞攻击函数，如图6所示的着陆页面漏洞攻击函数中有很多是空白直接返回的，但是使用IE9访问时i3函数出现了的具体攻击代码内容，而换用Chrome去访问，则能够获取函数f1和f3代码内容，根据函数命名猜测i1、i2、i3是ie的漏洞页面，f1、f2、f3是针对Flash的相关漏洞，p2则是pdf相关漏洞，j1则是java的漏洞。

但是因为挂马页面很快失效，未能够及时获取对Flash与其他攻击文件，即使这样我们根据着陆页面中相关插件软件的版本判断，结合以往常见漏洞的利用情况[3]，大致猜测该攻击包所利用的漏洞情况如表1所示。

表1 漏洞利用情况

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告

根据着陆页面的代码风格与部分特殊函数命名，我们发现该攻击包是修改自以往的BlackHole Exploit Kit，BlackHole Exploit Kit是前几年比较流行的攻击包，但是作者在2013年被逮捕，随后该攻击包不再更新并逐渐消失。这次的攻击代码显然是基于最后的BlackHole版本，代码与最后活跃版本的BlackHole基本一致[4]，并且更新了最新的相关漏洞，怀疑是有人在以往购买的BlackHole基础上进行修改并增加了最新的漏洞。

载荷分析

最后释放到本地的文件是一个基于Zeus Bot代码的新变种，我们根据它的配置信息把它命名为ff0bot木马。Zeus Bot是有史以来最臭名昭著的网银木马之一，该木马的完整源代码曾被人泄露在互联网上，并被不断修改用于恶意攻击行为。

BlackHole重出江湖：一次针对专业军事论坛的“游击式”挂马事件分析报告