軟件升級(jí)包被替換，假升級(jí)真中毒引重患

作者：柯力士信息安全 2017-07-08 15:00:36

近期有多款軟件用戶密集反映360“誤報(bào)了軟件的升級(jí)程序”，但事實(shí)上，這些軟件的升級(jí)程序已經(jīng)被不法分子惡意替換。

結(jié)束了一天忙碌的工作，回到家休息休息，打兩盤游戲放松一下總歸也算是一種勞逸結(jié)合。前日小編在打開(kāi)游戲客戶端的時(shí)候，出現(xiàn)了下面的畫面。

[[196246]]

作為一款軟件，總歸多升級(jí)功能更完善，更能滿足用戶需求對(duì)吧。可是在升級(jí)結(jié)束之后，運(yùn)行游戲卻出現(xiàn)了這樣的彈窗。一下子引起了小編的注意。

講道理，獲取了最高權(quán)限的系統(tǒng)和賬戶，不可能出現(xiàn)這種不兼容的情況，而且作為一款較為流行的游戲，不應(yīng)該出現(xiàn)16位應(yīng)用程序不兼容的情況。小編瞬間閃過(guò)了三個(gè)念頭。

中毒了!

文件被替換了!

重啟試試?

然而重啟并沒(méi)有什么卵用，小編這才確認(rèn)了可能是中了所謂的軟件升級(jí)包偽造病毒。

Petya勒索病毒變種在烏克蘭爆發(fā)，并蔓延到歐洲多個(gè)國(guó)家的大型企業(yè)。病毒攻擊的根源是劫持了烏克蘭專用會(huì)計(jì)軟件me-doc的升級(jí)程序，使用戶更新軟件時(shí)感染病毒，從而對(duì)眾多企業(yè)的系統(tǒng)和數(shù)據(jù)造成慘重?fù)p失。

劫持軟件升級(jí)“投毒”并不是新鮮的攻擊手法，國(guó)內(nèi)也屢有發(fā)生。但就在Petya勒索病毒變種轟動(dòng)全球后短短數(shù)天時(shí)間內(nèi)，山東、山西、福建、浙江等多省的軟件升級(jí)劫持達(dá)到空前規(guī)模，單日就突破40萬(wàn)次!

盡管國(guó)內(nèi)的軟件升級(jí)劫持目前僅僅被利用流氓推廣軟件，但是大規(guī)模的網(wǎng)絡(luò)劫持、大量缺乏安全升級(jí)機(jī)制的軟件，如果再加上“商業(yè)模式”非常成熟的勒索病毒，無(wú)疑會(huì)造成災(zāi)難性后果。

事件還原

近期有多款軟件用戶密集反映360“誤報(bào)了軟件的升級(jí)程序”，但事實(shí)上，這些軟件的升級(jí)程序已經(jīng)被不法分子惡意替換。

下圖就是一例愛(ài)奇藝客戶端升級(jí)程序被劫持的下載過(guò)程：可以看到服務(wù)器返回了302跳轉(zhuǎn)，把下載地址指向了一個(gè)并不屬于愛(ài)奇藝的CDN服務(wù)器地址，導(dǎo)致下載回來(lái)的安裝包變?yōu)楸徊环ǚ肿哟鄹倪^(guò)的推廣程序。

此次被劫持升級(jí)程序的流行軟件遠(yuǎn)不止愛(ài)奇藝一家，下圖就是一些由于網(wǎng)絡(luò)劫持而出現(xiàn)的“假軟件”。當(dāng)然，并不僅僅只有這些，我們之前提到的TGP也是。

圖2被網(wǎng)絡(luò)劫持替換的“假軟件”

以下，我們以偽造的百度網(wǎng)盤安裝程序“BaiduNetdisk_5.5.4.exe”為例分析一下惡意程序的行為。

與正常的安裝程序相比，該程序不具備合法的數(shù)字簽名，并且體積較大。

圖3被篡改的偽裝安裝程序

圖4正常的安裝程序

通過(guò)對(duì)比可以發(fā)現(xiàn)，兩者在內(nèi)容上還是有較大差別。兩者只有8.7%的函數(shù)內(nèi)容相同。

圖5偽裝安裝程序和正常安裝程序函數(shù)對(duì)比

程序最初執(zhí)行時(shí)會(huì)從從資源段中釋放一個(gè)PE文件并執(zhí)行，該文件就是程序所偽裝的正常安裝包。因此，該偽裝程序是在運(yùn)行正常安裝包的同時(shí)靜默安裝其他推廣程序。在正常安裝包運(yùn)行時(shí)，本程序會(huì)讀取bjftzt.cdn.powercdn.com站點(diǎn)的子目錄下的一個(gè)dat文件的內(nèi)容，dat文件路徑根據(jù)安裝程序不同而不同，本文分析的程序“BaiduNetdisk_5.5.4.exe”所讀取的是bjftzt.cdn.powercdn.com/upc/20170329/2A7BF0576BE7380A30B8669182226FBD.dat。程序請(qǐng)求數(shù)據(jù)包內(nèi)容如下圖所示：