銀行財(cái)稅網(wǎng)站頻遭“掛馬” 黑客作案也玩“躲貓貓”

作者：360安全中心 2009-04-21 11:11:09

4月19日，360安全中心截獲最新“掛馬”網(wǎng)址17998個(gè)，當(dāng)日360安全衛(wèi)士為2億用戶攔截了來自788109個(gè)惡意網(wǎng)址的總共13320491次“網(wǎng)馬”攻擊。

【51CTO.com 綜合消息】4月19日，360安全中心截獲最新“掛馬”網(wǎng)址17998個(gè)，當(dāng)日360安全衛(wèi)士為2億用戶攔截了來自788109個(gè)惡意網(wǎng)址的總共13320491次“網(wǎng)馬”攻擊。其中，危害較為嚴(yán)重的“掛馬”網(wǎng)址包括大慶市商業(yè)銀行網(wǎng)、廣東銀行同業(yè)公會、孟州市地方稅務(wù)局、焦作市人事局網(wǎng)站等多家銀行、財(cái)稅以及政府網(wǎng)站。

就在上周，360安全中心監(jiān)測到國內(nèi)知名財(cái)會行業(yè)門戶網(wǎng)站中國會計(jì)網(wǎng)的數(shù)百個(gè)網(wǎng)頁連續(xù)幾天被“掛馬”，影響到國內(nèi)數(shù)千萬財(cái)會人員。據(jù)360安全專家介紹，在經(jīng)濟(jì)利益的驅(qū)動下，一些不法分子入侵網(wǎng)站并實(shí)施“掛馬”行為已經(jīng)到了肆無忌憚的地步，而那些安全防護(hù)措施不太嚴(yán)格的地方政府網(wǎng)站和國有機(jī)構(gòu)網(wǎng)站首當(dāng)其沖成為攻擊目標(biāo)。以大慶市商業(yè)銀行網(wǎng)站為例，訪問該網(wǎng)站的網(wǎng)民顯然是以商業(yè)客戶和儲戶為主，利用木馬盜取這部分用戶電腦中的數(shù)據(jù)，就能獲得格外有價(jià)值的信息和數(shù)據(jù)。

從上述最新掛馬疫情數(shù)據(jù)可以看出：由于銀行、財(cái)稅、人事等網(wǎng)站的瀏覽用戶電腦中，往往會有金融賬戶、財(cái)務(wù)表單以及人力資源等敏屬數(shù)據(jù)，因而這些用戶已成為木馬產(chǎn)業(yè)覬覦偷盜的目標(biāo)。為此，360安全專家建議此類網(wǎng)站盡快增加安全防范的投入，并提高網(wǎng)站安檢的力度，縮短安全維護(hù)周期。各地政府財(cái)務(wù)和人事機(jī)構(gòu)的官方網(wǎng)站也頻繁爆出安全問題，

360安全專家發(fā)現(xiàn)，由于國內(nèi)外安全廠商不約而同地將“反木馬”提升到了前所未有的業(yè)務(wù)高度，黑客及木馬從業(yè)者們也正在想盡辦法與安全廠商展開一系列攻防戰(zhàn)，其“掛馬”技術(shù)也在不斷“創(chuàng)新”。比如，其作案手段正變得日益“狡猾”，近來干脆跟安全廠商玩起了“躲貓貓”：木馬從業(yè)者故意將許多“網(wǎng)馬”發(fā)作期設(shè)定在晚9點(diǎn)到早9點(diǎn)以及周末，這樣就避開了大多數(shù)安全廠商工程師的工作時(shí)間，從而最大限度地逃避安全機(jī)構(gòu)的監(jiān)控。因此，喜歡夜間上網(wǎng)的網(wǎng)友們尤其需要警惕。

圖1

圖一、大慶商業(yè)銀行網(wǎng)站被黑客掛馬

此外，隨著與安全廠商“攻防”經(jīng)驗(yàn)的不斷積累，黑客的“掛馬”技術(shù)也在不斷提高和“創(chuàng)新”。比如，一些木馬從業(yè)者會采用許多低風(fēng)險(xiǎn)、高效率的手段入侵網(wǎng)站，并通過自動更新技術(shù)將其“網(wǎng)馬”的更新權(quán)牢牢掌控在自己手里，使這些網(wǎng)站成為名副其實(shí)的“肉雞網(wǎng)站”。比如：木馬團(tuán)伙借用Google搜索引擎和特殊工具，可以批量查找存在漏洞的網(wǎng)站：（圖二）

圖2

圖二：黑客借助Google搜索批量查找含漏洞網(wǎng)站

此外，木馬團(tuán)伙們還通過對放置“網(wǎng)馬”的服務(wù)器不斷變換域名、采用多重網(wǎng)頁跳轉(zhuǎn)等技術(shù)避開安全廠商的監(jiān)測（圖三）。

圖3

圖三：在黑客掛馬的惡意腳本中，真實(shí)的網(wǎng)馬常常在不同域名的服務(wù)器上

從360安全中心最新疫情數(shù)據(jù)來看，木馬已遠(yuǎn)超病毒成為當(dāng)前網(wǎng)上最主要的安全威脅。而木馬傳播的最高效、最普遍的方式就是“網(wǎng)站掛馬”。360安全專家認(rèn)為，對付木馬泛濫，必須依靠“全民聯(lián)防”的方式，即通過大量參與用戶的隨時(shí)舉報(bào)，以及搜索引擎的全網(wǎng)掃描來及時(shí)發(fā)現(xiàn)木馬樣本，然后再用搜索技術(shù)進(jìn)行海量計(jì)算與匹配，在最短時(shí)間內(nèi)予以分析和排查，找出解決辦法傳遞給所有用戶。在這樣一個(gè)防控體系中，當(dāng)一個(gè)用戶中了某種木馬時(shí)，其他所有人都能夠及時(shí)收到警報(bào)，得以預(yù)防。

附：4月19日部分掛馬網(wǎng)址信息如下：（為防用戶誤點(diǎn)，以下網(wǎng)址已作特殊處理）

廣東銀行同業(yè)公會：hxxp://www.gdbag.com/News/NewsContent.asp?ID=2382

惡意網(wǎng)址：xia8866.com/xia/f5.css

中國林業(yè)科研網(wǎng) hxxp://www.caf.ac.cn/newcaf/detail.cfm?file=79916

惡意網(wǎng)址：3bomb.com/c.js

大慶市商業(yè)銀行網(wǎng)：hxxp://www.dqccb.com.cn/shhb.aspx?id=1020

惡意網(wǎng)址：xia8866.com/xia/f5.css

孟州市地方稅務(wù)局：hxxp://mzds.gov.cn/

惡意網(wǎng)址：a.wuc9.com/ab.css

焦作市人事局網(wǎng)站：hxxp://www.jzrsj.gov.cn/news/list.asp?id=1964

惡意網(wǎng)址：o-bp.cn:6868/xxxx/ms.css

魯莊鎮(zhèn)人民政府：hxxp://www.luzhuang.gov.cn/news/2002.asp?id=369

惡意網(wǎng)址：hxxp://cd.vdhx.info/701/701.js

懷化市國資委：hxxp://www.hhsgzw.gov.cn/guestbook/Guest_Reply.asp?TopicID=2

惡意網(wǎng)址：www123321.1010zz.cn/q.exe

秀山人事網(wǎng)：hxxp://xiushan.cqpa.gov.cn/index.asp

意網(wǎng)址：xia8866.com/xia/f5.css

重慶人事培訓(xùn)：hxxp://training.cqpa.cn/news/a_search.asp