軟件升級包被替換，假升級真中毒引重患
結(jié)束了一天忙碌的工作，回到家休息休息，打兩盤游戲放松一下總歸也算是一種勞逸結(jié)合。前日小編在打開游戲客戶端的時候，出現(xiàn)了下面的畫面。
作為一款軟件，總歸多升級功能更完善，更能滿足用戶需求對吧?？墒窃谏壗Y(jié)束之后，運行游戲卻出現(xiàn)了這樣的彈窗。一下子引起了小編的注意。
講道理，獲取了最高權(quán)限的系統(tǒng)和賬戶，不可能出現(xiàn)這種不兼容的情況，而且作為一款較為流行的游戲，不應(yīng)該出現(xiàn)16位應(yīng)用程序不兼容的情況。小編瞬間閃過了三個念頭。
中毒了!
文件被替換了!
重啟試試?
然而重啟并沒有什么卵用，小編這才確認(rèn)了可能是中了所謂的軟件升級包偽造病毒。
Petya勒索病毒變種在烏克蘭爆發(fā)，并蔓延到歐洲多個國家的大型企業(yè)。病毒攻擊的根源是劫持了烏克蘭專用會計軟件me-doc的升級程序，使用戶更新軟件時感染病毒，從而對眾多企業(yè)的系統(tǒng)和數(shù)據(jù)造成慘重?fù)p失。
劫持軟件升級“投毒”并不是新鮮的攻擊手法，國內(nèi)也屢有發(fā)生。但就在Petya勒索病毒變種轟動全球后短短數(shù)天時間內(nèi)，山東、山西、福建、浙江等多省的軟件升級劫持達(dá)到空前規(guī)模，單日就突破40萬次!
盡管國內(nèi)的軟件升級劫持目前僅僅被利用流氓推廣軟件，但是大規(guī)模的網(wǎng)絡(luò)劫持、大量缺乏安全升級機制的軟件，如果再加上“商業(yè)模式”非常成熟的勒索病毒，無疑會造成災(zāi)難性后果。
事件還原
近期有多款軟件用戶密集反映360“誤報了軟件的升級程序”，但事實上，這些軟件的升級程序已經(jīng)被不法分子惡意替換。
下圖就是一例愛奇藝客戶端升級程序被劫持的下載過程：可以看到服務(wù)器返回了302跳轉(zhuǎn)，把下載地址指向了一個并不屬于愛奇藝的CDN服務(wù)器地址，導(dǎo)致下載回來的安裝包變?yōu)楸徊环ǚ肿哟鄹倪^的推廣程序。
此次被劫持升級程序的流行軟件遠(yuǎn)不止愛奇藝一家，下圖就是一些由于網(wǎng)絡(luò)劫持而出現(xiàn)的“假軟件”。當(dāng)然，并不僅僅只有這些，我們之前提到的TGP也是。
圖2被網(wǎng)絡(luò)劫持替換的“假軟件”
以下，我們以偽造的百度網(wǎng)盤安裝程序“BaiduNetdisk_5.5.4.exe”為例分析一下惡意程序的行為。
與正常的安裝程序相比，該程序不具備合法的數(shù)字簽名，并且體積較大。
圖3被篡改的偽裝安裝程序
圖4正常的安裝程序
通過對比可以發(fā)現(xiàn)，兩者在內(nèi)容上還是有較大差別。兩者只有8.7%的函數(shù)內(nèi)容相同。
圖5偽裝安裝程序和正常安裝程序函數(shù)對比
程序最初執(zhí)行時會從從資源段中釋放一個PE文件并執(zhí)行，該文件就是程序所偽裝的正常安裝包。因此，該偽裝程序是在運行正常安裝包的同時靜默安裝其他推廣程序。在正常安裝包運行時，本程序會讀取bjftzt.cdn.powercdn.com站點的子目錄下的一個dat文件的內(nèi)容，dat文件路徑根據(jù)安裝程序不同而不同，本文分析的程序“BaiduNetdisk_5.5.4.exe”所讀取的是bjftzt.cdn.powercdn.com/upc/20170329/2A7BF0576BE7380A30B8669182226FBD.dat。程序請求數(shù)據(jù)包內(nèi)容如下圖所示：
圖6 請求數(shù)據(jù)包內(nèi)容
所讀取的dat文件的內(nèi)容如下圖所示：
以上內(nèi)容引用自360方提出的一些研究。
實際上近期大家在進(jìn)行軟件升級的時候，最好自己去官網(wǎng)手動下更新包，不要貪圖便利讓軟件自動發(fā)現(xiàn)自動更新。
【本文為51CTO專欄“柯力士信息安全”原創(chuàng)稿件，轉(zhuǎn)載請聯(lián)系原作者(微信號：JW-assoc)】
