简介一封短短的邮件，却可以被不法分子用来远程加密受害者文件，诈骗比特币赎金。本来用作自动运营操作者便利用户的宏命令，却沦为了木马的“出卖”。
诈骗木马的背后，是成熟期运转的黑色产业链。从蓄意服务器的登记和建设，到木马的制作、邮件的发送到，都能从受害者缴纳的赎金中分给一杯羹。不法分子还不会利用宏发动什么样的反击？面临这样的木马又应当如何防止？本报告将带上你理解以上内容，挖出“敲诈者”及其背后的黑色产业。一、愈演愈烈的诈骗风暴只需一封邮件，之后能瞄准电脑重要文件展开诈骗席卷全球的诈骗风暴，公司不得不缴纳赎金北京的汪为（化名）周一下班后，和整天一样开始处置手头的工作。
汪为所在的公司是一家互联网企业，汪为日常的工作是在网上与客户展开联系，确保产品销售渠道。最近，公司打算探亲参与一场展销会，汪为正跟几家快递公司通过邮件商量宣传物资的投递事宜。汪为在未读邮件中挑了与租车涉及的部分，一一读者并关上其中的附件。
他不告诉的是，在这批邮件中，有一封主题为Delivery Notification的邮件，于是以悄悄地遮住自己凶恶的爪牙。一小时后，汪为看著自己电脑上被改为乱码无法关上的文件，以及被改动为诈骗内容的桌面背景，几近恐惧的心情占有了整个内心。汪为的遭遇并非个例。自2014年起，相继有人在关上邮件之后，发现自己电脑中的文件被改动，其中少有公司核心数据、有最重要意义的图片等内容，一旦遗失导致的损失无法估量。
同时，这些受害者都找到，在明显方位上经常出现的诈骗文字，内容不外乎是“文件已被加密，如须要完全恢复请求按如下方式缴纳赎金……”云云。哈勃分析系统是腾讯反病毒实验室相结合多年技术累积自律研发的一套样本安全性检测系统。
凭借每日对现实环境中捕捉的海量样本展开自动化分析，哈勃分析系统在第一时间捕捉到了这类木马。据哈勃分析系统长时间追踪找到，诈骗木马最初仅有在国外传播，后来渐渐渗透到国内，诈骗用于的语言也从单一的英语渐渐发展到了还包括中文在内的多种语言。
受到木马影响的公司少有医院、公交公司这样的大型企业。更为严重的是，除了一些自身所含漏洞的木马之外，还有很多木马并无有效地的初衷，如果事前防范措施没作好，中招之后除了联系不法分子之外无计可施。虽然FBI曾多次提醒不要缴纳赎金，以免木马制作者滋味甜头，之后传播木马，然而对于一些最重要的数据被加密的公司而言，这是不得已之中最后的办法，例如好莱坞某医院为了完全恢复患者病历，不得不缴纳了相等于数万美元的赎金。
二、木马的传播渠道邮件附件是木马最少见的传播渠道诱导用户打开并运营宏是文档木马的主要手段这些破坏力强劲、影响险恶的木马，是如何传播到受害者电脑上的呢？经哈勃分析系统的调查，木马的常用传播渠道是通过邮件展开传播，将木马伪装成邮件附件，更有受害者关上。其中，最少见的附件格式是微软公司的Office文档，木马用于文档中的宏功能继续执行蓄意命令，再行从网上iTunes确实的恶意程序，对受害者电脑展开反击。哈勃分析系统研究找到，在木马侵略受害者电脑的每一步，都有一些相同的套路和模式。
在木马传播的第一步，即发送到带上木马的邮件时，不法分子一般来说不会用于一些长时间的公务主题展开伪装成，引诱受害者关上附件。此前汪为遇上的冒充邮件，是假称租车除了问题；除此之外，少见的主题还包括发票、费用证实等。
一个显著的现象是，正处于财务、会计学、对外关系等职位的员工，每日发送的同类邮件较多，对于这类邮件更容易减少警惕心，因此更容易沦为不法分子发送到邮件的目标。如果受害者关上了带上木马的宏文档，由于低版本Office中，配置文件是不打开宏的，所以木马不会在文档正文中诱导用户落成宏，使得恶意代码以求继续执行。一个典型的宏木马，部分宏代码如下：可以将木马传遍哈勃分析系统，在安全性的虚拟环境中查阅木马即将继续执行的蓄意不道德：可以显现出，这个文档中的宏偷偷地去iTunes了一个可执行文件并运营。
除了必要从网络上展开iTunes之外，部分木马也不会通过其它手法获释蓄意文件，例如下面这个木马：连一起看就是，通过简单字符串拼凑获得当前系统temp目录的绝对路径，再行去继续执行系统temp目录中的sak33.exe这个文件，但是并没找到iTunes或者获释这个文件的对应代码。邮件中只有这么一个附件，宏中只有纳起这个exe的操作者，那么这个exe就是指哪来？怎么获释到这个方位的呢？通过在有所不同操作系统和Office版本上展开对比测试，最后找到Office文档中夹带的其他文件，不会用于OLE Object来储存，而在XP和win7两个操作系统中OLE Object获释的方式和路径有所不同，该宏病毒写死了win7下获释的路径，所以在XP分析环境上无法顺利继续执行。导致这种情况的原因有两个有可能，一是作者只用于了win7环境回应宏病毒研发测试，没考虑到XP系统的问题；二是作者蓄意为之，来超过对付目的。在蓄意可执行文件被运营一起之后，不法分子就可以给定操作者受害者的电脑。
比如下面这个木马，在检测虚拟机和两步流经后，最后在svchost里边展开实际蓄意不道德，将可执行文件加到至启动项并相连远程服务器：在可执行程序与黑客的远程服务器维持通信之后，受害者的电脑早已被黑客攻占，最重要的一步早已已完成。当然，这个例子中木马的目的是在受害者的电脑中植入后门，不过某种程度的手法，在加密诈骗类木马中早已被证明某种程度有效地。除了在邮件附件中摆放文档之外，还有一些其它的文件格式被用作木马的传播。
这些格式有的是可以必要运营的脚本格式，例如Powershell、js、vbs等，有的是格式关联的可执行文件具备一定的给定继续执行能力，例如JAR、CHM等。哈勃分析系统此前捕捉的“监听狂魔”、“冥王”等木马，都是通过有所不同的格式继续执行蓄意不道德。三、木马背后的威胁情报蓄意服务器方位以美国和俄罗斯数量最少原为蓄意网站或者侵略正规化网站，具备较高的反追踪意识既然大部分文档木马中的宏运营一起后，不会从网络上iTunes可执行文件，那么通过iTunes地址否能寻找有关木马作者的蛛丝马迹呢？哈勃分析系统捕捉了一段时间自动捕捉的木马数据，对木马以及iTunes时中用的网址展开了统计分析。
iTunes网址对应的域名，有一些用的是标准化域名，其中又以.com域名最多，占到全部域名相似一半的比例。还有一些用的是国家域名，数量较多的是.cn（中国）和.ru（俄罗斯）。同时，通过iTunes目标的命名可以显现出，木马常常将蓄意文件伪装成jpg、gif之类的图片文件，或者是采访php、cgi这样的动态网页，不必要获取文件格式信息，以逃离部分安全性产品对exe可执行文件的检查。
iTunes网址对应的IP信息，来自33个有所不同国家，其中又以美国和俄罗斯的服务器数量最多。iTunes网址又可以分成两种情况。有的类似于如下网址：http://robotforex[.]net/873nf3g http://sayvir[.]com/087gbdv4 http://seyahatdanismani[.]net/878hf33f34f http://sublimeshop[.]co[.]uk/87t34fhttp://trehoada[.]org/878hf33f34fhttp://thecodega[.]com/878hf33f34fhttp://thermo[.]dk/087gbdv4http://saintsraw[.]com/087gbdv4 http://sandat-bali[.]com/087gbdv4 http://trehoada[.]org/878hf33f34f http://rechoboth[.]com/087gbdv4这些网址绝大部分都是一个域名下摆放一个蓄意可执行文件可供iTunes，域名之后部分的资源名称也较为相似。
这样的网址有的是同一作者自己申请人的一些小网站专门用作发给蓄意文件，也有的是作者将木马转卖给了其他人，这些有所不同的不法分子各自申请人了域名并在网站上摆放蓄意文件。经过网络搜寻查找找到，这些域名基本都由有所不同的人登记，并且很多域名带上了鼓吹whois查找，无法从域名登记者这条线索应从之后跟踪。
这也解释，这些不法分子一般来说十分侧重自身的隐蔽性。还有一种情况，是正规化网站遭侵略后被黑客用作发给。比如坐落于上海的网站http://www.ty****er.com/，原本是某生产公司的官网，但是被哈勃分析系统监控到用作发给locky诈骗木马，其资源名称部分也与上面蓄意网站的内容十分相近。四、高度发达的产业链木马交易、邮件传播等环节都已构成成熟期的黑色产业逐步发展一起的比特币市场为赎金交付给获取了便捷渠道环绕着这类木马，早已构成了还包括制作、传播、赎金交付给在内的一整套黑色产业链。
有所不同身份的黑客在这个链条中分工合作，互相交换资源和数据，其目的只有一个，那就就是指受害者的损失之中分给一部分利益。以传播木马这个环节为事例，既然木马是通过邮件的方式展开广泛传播，那么向谁发送到邮件，如何发送到邮件，都包括资源或利益的互相交换。目前早已构成了“搜集客户邮箱账户---客户身份信息分类---贩卖客户邮箱账户---专业发送到邮件”的黑色产业链。
只要用邮箱账号在BBS、论坛、聊天室等网站上登记过或者公开发表过言论，都有可以被黑产从业者用于爬虫工具在网上捕捉到，并通过言论不道德以及账号信息展开身份分类。被分类号的邮箱账号不会经常出现在各类平台上展开贩卖。比如右图右图的贩卖信息，邮箱账号被细分为多个行业类别，一个行业类别的邮箱账号信息的兜售价为9.90元。
出售邮箱账号信息后，如果用于正规化邮箱大量发送到垃圾邮件，相当大概率不会被封号，于是经常出现了“专业发送到邮件”的产业环节。调查结果，该环节从业者多采行自搭起邮箱服务器的方式，可以做无限制的发送到。
比如右图右图是贩卖代发邮件服务的信息，不仅获取了代发服务，而且还可以查阅到发送到总量、关上、页面人数等。赎金交付给是另一个最重要的环节，它必要关系着整个黑色链条否能从受害者那里榨取到充足的利益。
2014年蓬勃发展的这波诈骗木马，一个最重要的特征就是在诈骗文字中拒绝受害者缴纳比特币作为赎金。比特币是一种点对点网络缴纳系统和虚拟世界计价工具，通俗的众说纷纭是数字货币。比特币的一个很最重要的特点就是它的使用者具备匿名性，通过比特币收款地址很难跟踪到对应的拥有者，因此很多地下交易者慢慢地开始使用比特币收款，这样既能通过互联网在全球范围内展开缴缴付，又防止了安全性人员沿收款地址这个线索展开跟踪。
诈骗木马背后的众多蓄意分子也渐渐重新加入了这一行列。值得一提的是，在比特币的发展过程中，经常受到国家意志的影响。
在中文互联网中，有几家网站面向公众获取比特币行情服务，除了展出比特币与其它货币的动态汇率之外，也基于比特币自身的规则，向用户获取交易服务。这部分业务仍然受到森严地监管，数年前就早已重开了支付宝、银行等渠道出售比特币的服务，而在今年受到监管部门约谈之后，堪称不约而同地停止了“比特币提现”（可以解读为比特币账户）业务。
虽然此不道德更好地是针对资本外流、洗黑钱等目标，但不可否认的是，对受害者用于比特币缴纳赎金也不会带给极大的影响。很多受害者即使想用于比特币缴纳赎金，也不会面对无法出售比特币、出售后知道如何并转到对方账户等一系列的难题。
再行再加很多人自身对比特币就不是很理解，这就经常出现了比特币代付、送货、充值以及外币服务的产业，一般不会缴纳当前比特币交易价格的10%~20%作为手续费。这种服务虽然严格说来无法却是黑色产业，但是毫无疑问也从此类木马的愈演愈烈中受益。五、矛与盾的对付安全性人员期望寻找更加多木马的漏洞木马不时变种，补足更加多蓄意能力，针对目标更加普遍通过邮件传播的诈骗木马自从被安全性人员找到以来，安全性行业从业人员一直没退出对其展开查杀的希望。
到目前为止，早已为部分CryptXXX、TeslaCrypt、Jigsaw等木马变种研发了对应的解密工具，受害者只必须根据工具的命令展开操作者，需要缴纳赎金才可完全恢复被这些木马加密的文件。哈勃分析系统也公布了数个解密工具。与此同时，很多安全性厂商与政府部门牵头一起，发售了www.nomoreransom.org网站，期望为诈骗木马的受害者获取一站式解决方案。
不过，受到木马算法原理的制约，没一个工具需要一劳永逸地解决问题所有问题。同时，木马作者也在大大转换自己的手法，期望从文档木马中攫取更好的价值。据哈勃分析系统仔细观察，木马有如下的发展趋势。
首先是在诈骗木马之外扩展新的害人手法。由于大部分文档木马的功能就是指网络上iTunes文件并继续执行，不法分子可以精彩地转换iTunes内容，给受害者导致其它的损失。比如，挟持受害者的浏览器采访广告网站或钓鱼网站，或者在受害者的电脑上加装后门木马，动态监控电脑不道德并上载隐私信息，等等。去年哈勃分析系统捕捉的“盗神”木马即是文档木马与后门木马展开初始化的一个典型的例子。
其次是以更好有所不同种类的人群为目标，研发针对性的木马。例如最近经常出现的一类文档木马，在宏中调用了Mac操作系统特有的动态链接库函数，同时用于系统内置的Python运营环境继续执行蓄意不道德。
Mac操作系统由于市场占有率的问题，以前很少闻木马愈演愈烈的消息，但是近几年来，也有不法分子识破了用于Mac操作系统的这部分人群，撰写在Mac电脑上也能害人的木马，对于此类趋势也无法掉以轻心。除此之外，在一些针对政府、军队等脆弱目标的高等级、强劲对付的网络攻击中，也经常出现了文档木马的身影。有的木马以地缘政治为主题，向政府外交、科研等机构发送到邮件，有的木马以战争进展为主题，向NATO等军事的组织发送到邮件。
甚至曾多次经常出现过以中国经济主题，且针对WPS漏洞展开反击的蓄意邮件。在这场矛与盾的对付之中，可以认同的是，如果事前对这类反击手段有所防止，则可以有效地减少损失。哈勃分析系统明确提出了如下的防范措施：六、后记汪为仍然在希望完全恢复被木马加密的文件。
他找遍了各个备份方位以及同事的聊天记录，但依然没办法百分之百地寻回所有文件。有传言他必须赔偿金公司一定的经济损失，有可能是几个月的工资，汪为的眼神中又多了一点茫然。
在网络这个虚拟世界里，每天不告诉有多少像汪为这样的人，由于一时间的原文，被邮件中的文档木马入侵顺利，导致有所不同程度的损失。“天下无贼”或许短时间内无法构建，不过提升自身的防止意识，让身边其他人理解防范措施，是每一个人都能做的，也是我们联起手来对付木马背后的黑色产业的合适的行动。
原创文章，予以许可禁令刊登。下文闻刊登须知。
本文关键词：伟德官方网站,腾讯,安全,反,病毒,实验室,“,敲诈者,”,黑
本文来源：伟德官方网站-www.houseofownage.com
