每周典型威胁分析

 
      近日，安天 CERT 在梳理网络安全 事件时发现一个名为 Ursnif 的银行木马 变 种 程 序。Ursnif 又 名 Dreambot，Gozi 和 ISFB，多年来一直活跃在境外，此 次 Ursnif 银行木马在国内爆发，主要借 助 Pushdo 钓鱼邮件僵尸网络进行传播。 Pushdo 钓鱼邮件僵尸网络，是由数量庞大 的计算机构成的能够自动对外发送钓鱼邮 件的网络。攻击者将已感染的机器变为垃 圾邮件分销点，以此控制更多的机器。

     该钓鱼邮件以伪装成极具诱惑性的 DHL 快递单为诱饵，诱使用户打开附件中 的 Excel 文 档。 该 Excel 文 档 中 包 含 恶 意 宏代码，用户一旦启用宏，钓鱼文档就开始向计算机释放 Ursnif 银行木马和 Pushdo 钓鱼邮件投递器。Ursnif 银行木马执行后， 使用了反调试技术使其难以分析。例如， 该木马隐藏了一些 API 函数，每次调用 这些函数时都会动态解析，因此静态分析 十分困难。并且主模块中的大多数数据都 是加密的，只有在运行时才会解密。在进 行进程分析时，会有非常多的“iexplorer. exe”进程启动和结束，并且发现该进程中 有流量进行传输。主要原因是该木马使用 COM 实例将数据发送到 C&C。用户电脑 中存储的银行账户，浏览器凭证等敏感信 息都将被窃取。

      安天 CERT 提醒广大政企客户，要提高网络安全意识，在日常工作中要及时进 行系统更新和漏洞修复，不要随意下载非 正版的应用软件、非官方游戏、注册机等。 收发邮件时要确认收发来源是否可靠，更 加不要随意点击或者复制邮件中的网址， 不要轻易下载来源不明的附件，发现网络 异常要提高警惕并及时采取应对措施，养 成及时更新操作系统和软件应用的好习 惯。确保所有的计算机在使用远程桌面服 务时避免使用弱密码，如果业务上无需使 用远程桌面服务，建议将其关闭。

      目前，安天追影产品已经实现了对该 类木马的鉴定；安天智甲已经实现了对该 木马的查杀。