戴爾SecureWorks的安全人員周一披露了一種名為Stegoloader的惡意程序，其隱藏于圖片文件中，同時采用多種方法躲避殺毒軟件的“追殺”。

[[137226]]

Stegoloader也叫Win32/Gatak.DR 及TSPY_GATAK.GTK，它是一款首次于2013年被發(fā)現(xiàn)的惡意程序，但當時并未引起人們的注意，主要是以為它的設計很隱秘，因此很多反病毒解決方案并不能檢測得到。信息隱藏技術是用來在另一信息或者圖像文件中隱藏信息的一種技術。惡意程序作者利用它在圖像文件中隱藏執(zhí)行代碼，在一系列的安全檢測實施完之后，他才會被提取出來并運行。這種隱藏技術還被其他的一些惡意程序家族利用，如Miniduke APT組織、Aulreon木馬、Lurk下載器。

機智的躲避殺毒軟件

戴爾安全研究員指出，Stegoloader攻擊首先會以一個部署模塊開始，然后再在受感染的設備上下載、發(fā)布程序的主模塊。

躲避方法1：

在部署其他的模塊之前，該惡意程序會檢查它不是處在(殺毒軟件的)調(diào)試環(huán)境中。例如，部署一個模塊監(jiān)視鼠標光標的移動情況，如果鼠標不停的變換位置或者永遠不變換位置，就說明當前環(huán)境有“貓膩”，惡意程序會立即終止所有惡意行為。

躲避方法2：

部署模塊會列出系統(tǒng)當前運行的進程，一旦發(fā)現(xiàn)某些安全工具的硬編碼字符，如Wireshark、Fiddler，它就不會在該系統(tǒng)上運行。如果沒有發(fā)現(xiàn)任何的安全威脅，它才會與C&C服務器連接，加密通信，下載含有惡意程序的PNG文件。

無論是PNG圖片還是解密后的代碼均不會存儲在磁盤上，這樣的話傳統(tǒng)基于磁盤的分析工具就很難發(fā)現(xiàn)該惡意程序。

主模塊功能

一旦主模塊成功在內(nèi)存中占據(jù)了一席之地，那情況就大不相同了。部署模塊就會終止，惡意程序開始與C&C服務器通信，接受一些指令，比如顯示系統(tǒng)詳細信息、列出被感染系統(tǒng)上安裝的程序、發(fā)送火狐、chrome、IE瀏覽器的歷史記錄、執(zhí)行shell代碼、停止執(zhí)行程序、休眠等。

如果Stegoloader搜集到的信息和某些條件匹配的話，網(wǎng)絡犯罪者就會進一步的配置其他的模塊，以執(zhí)行不同的任務，如竊取IDA文件、訪問最近打開的文件、顯示主機的地理位置、釋放Pony密碼竊取程序等。

該惡意程序不是通過釣魚郵件方式傳播，而是通過感染第三方網(wǎng)站上的盜版軟件進行傳播，一旦受害者下載了該軟件就會被感染。目前發(fā)現(xiàn)受害者多為健康中心、教育機構(gòu)、制造業(yè)。戴爾的研究人員沒有在目標攻擊中發(fā)現(xiàn)有使用該惡意程序的，但是他們也沒能完全排除這種可能性。

擴展閱讀：一張圖片黑掉你：在圖片中嵌入惡意程序

印度Net-Square公司CEO、網(wǎng)絡安全專家Saumil Shah最近發(fā)現(xiàn)了一種攻擊方式：攻擊者可以把惡意程序?qū)懙揭粡埰胀ǖ膱D片文件里，人們只要打開看一眼這張看似普通的圖片，電腦就會被黑。技術原理Saumil Shah把這種隱藏惡意程序命名為Stegosploit。點我了解更多