DorkBot僵尸网络近期活跃情况报告

DorkBot僵尸网络近期活跃情况报告
2019-10-28 11:13:06 Author: www.4hou.com(查看原文) 阅读量:208 收藏

导语：DorkBot是一个臭名昭著的僵尸网络，使用的攻击手段包括后门植入，密码窃取等恶意行为。传播方式也各式各样，包括移动U盘、即时通讯软件、社交网络、电子邮件等。主要攻击目的就是盗取用户密码，以及各种能够识别个人身份的信息。

背景介绍

DorkBot是一个臭名昭著的僵尸网络，使用的攻击手段包括后门植入，密码窃取等恶意行为。传播方式也各式各样，包括移动U盘、即时通讯软件、社交网络、电子邮件等。主要攻击目的就是盗取用户密码，以及各种能够识别个人身份的信息。

去年7月，深信服安全团队在应急响应工作中发现DorkBot的一个变种。近几个月，通过深信服安全云脑的监控数据发现Dorkbot又开始活跃。下图可以看到该僵尸网络的活跃指数逐月升高。僵尸网络一般都是作为网络攻击的载体，勒索软件、挖矿木马等很多恶意软件目前都通过僵尸网络分发。

图片1.png

从感染位置来看，东南沿海、京津冀和西南地区受灾较为严重。其中广东省、山东省、山西省分列感染量前三，出人意料的是青海感染量位居第五。分布如下图所示：

图片2.png

从感染行业来看，政府、教育部门和企业为主要攻击目标。

图片3.png

在国内各省份和地区中，广东省感染量最大。其中企业、政府和教育部门受害严重，也基本上与国内整体感染行业的分布较为类似。由此可见，相关行业亟需加强对网络攻击的防御。

图片4.png

样本分析

病毒流程

图片5.png

反检测技术

文件用了多层payload解密的技术，用于躲避安全软件检测和干扰调试，最后解密出一个完整的PE文件，包含核心恶意代码。

图片6.png

通过字符串终止下列安全软件进程：

norton、antivirus、symantec、mcafee、eset、avg、avast、avira、kaspersky、checkpoint、grisoft、antivir、bitdefender、windows defender、unlocker、sandboxie、windowsupdate、alwil、avpersonal、sophos、virus、f-secure、trend、ccleaner、malware、norton、internet security、drweb、spyware

注入技术

创建一个同名进程，将解密的PE文件注入进程。

图片7.png