<mark id="oztn4"></mark>
1
| 本文作者： 史中 | 2016-06-07 09:19 | 專題：100個頂級黑客的故事 |
高考結束，焦急的家長可能會收到來自“教育部”的一條短信，告訴你高考成績可以通過 App 查詢，同時還附有下載鏈接。
618購物節臨近，剁手黨們可能會收到200元“紅包”，并且提示你心儀已久的手機可以用紅包抵扣貨款。
《太陽的后裔》中，姜暮煙、柳時鎮這對 cp 究竟還會用什么姿勢虐狗，糾結的粉絲可能會搜索到網盤鏈接，希望下載到所有搶鮮的劇集。
當你懷著急切的心情打開網絡世界的一扇門，看到的很可能是一只喬裝改扮的木馬。
木馬是這個世界上變異最快的物種之一，黑色或灰色產業的經濟鏈條帶動這些“毒蟲”晝夜不眠摧枯拉朽地進化。
這些木馬究竟用什么姿勢潛伏在我們生活的街角，又是用什么姿勢猛然從我們大腿上咬掉一塊肉呢？這一點，騰訊電腦管家的安全專家劉桂澤很有發言權。因為他掌舵的“哈勃平臺”專門為電腦管家提供殺毒引擎，手刃木馬是他們的拿手好戲。
【騰訊電腦管家 哈勃平臺負責人 劉桂澤】
劉桂澤告訴雷鋒網，對熱點事件的攀附其實并不是什么新的現象。對于挖空心思極盡所能攫取利益的木馬作者來說，捕捉時事熱點是他們的“基本功”。只要利用你的欲望或者恐懼，讓你成功地下載了木馬，第一步就大功告成了。
無論是雙11、雙12，或者是618，凡是全民關注的購物狂歡節活動，幾乎都會有各牛鬼蛇神前來“掘金”。這種活動不僅參與的人群眾多，而且在這樣的情況下用戶很容易放松警惕。
除此之外，例如高考、新年這種固定的社會事件，對于特定的用戶來說也是一年一度的“劫難”。當然，時下的熱播劇——例如當年的《甄嬛傳》和如今的《太陽的后裔》——同樣會成為陷阱。熱切地想要知道劇情發展的粉絲往往會迷失了雙眼，下載了一堆惡意軟件仍然執迷不悔。
【下載了《太陽的后裔》之后，桌面上出現了奇怪的網頁快捷方式/圖片由哈勃平臺提供】
總之，只要參與某一件事的人數眾多，就少不了形形色色的木馬和他們背后殷紅的陷阱。
故事的開始總是相似的，無辜的童鞋由于各種原因下載了木馬。而接下來，他們會見證各種“兇殘”的事情發生在自己身上。
如果你中了密鎖敲詐類的木馬，那么恭喜你，你幾乎觸摸到了“木馬界的皇冠”。在你毫不知情的情況下，自己電腦上所有的文檔和照片都被加密。而當你意識到這一切發生的時候，將會看到突然彈出的警告框：你的文件已經被我們鎖定，向我的賬戶轉賬1比特幣就可以解鎖文檔。（1比特幣大致相當于3000人民幣，當然不同種族和流派的木馬索要的贖金可能不同。）
【某中文密鎖木馬的勒索界面和勒索信】
這種密鎖類的木馬從2015年下半年開始“火了”，一開始我們監測到一些德文的木馬，很快就有英文的版本出現了，而到春節的時候就出現了繁體中文版本，今年上半年又出現了簡體中文的密鎖敲詐木馬。你可以很清楚地感覺到這類木馬進化的節奏。
劉桂澤說。
根據哈勃系統的統計數據，一款敲詐木馬爆發最高峰的時候，一天可以感染將近一萬臺次的電腦。雷鋒網曾經對發生在我們身邊的一次密鎖敲詐木馬爆發做過詳細的報道，感興趣的童鞋可以《《《戳這里》》》。
由于用戶往往是在受騙狀態下下載的這類木馬，所以為了合理地潛伏在你的手機或電腦里，他們往往提供一些用戶所期待的“正常功能”——例如欣賞一下小電影什么的。
然而，這類木馬的最主要功能其實是盡可能詳細地收集你的個人信息。
以之前提到的“高考成績查詢 App”為例，用戶永遠不可能成功安裝這個 App，因為提示用戶“安裝失敗”是陰謀的一部分。用戶以為安裝失敗，自然放松了警惕。事實上，這個木馬已經盤踞在后臺，靜默地翻取你的通訊錄和短信，然后找到其中的“爸爸、媽媽、姐姐”等重要聯系人信息和帶有你的銀行卡號、家庭住址、生活習慣等信息的短信，一并傳回騙子掌握的服務器。
【高考成績查詢 App 的“安裝失敗”界面/圖片由哈勃平臺提供】
根據這些極度敏感的信息，騙子可以有針對性地對某個人發起詐騙。一個可以說得出你的家庭住址和生活愛好，并且認識你至親的人，可以很容易博取你的信任，接下來騙子將要使出的招數就是我們熟悉的電信詐騙了。
劉桂澤告訴雷鋒網，這種木馬是最近最為猖獗的一類，占到了木馬總量的 30% 到 40%，而且還處在逐月遞增的態勢中。
這類木馬已經不從被感染者身上賺錢了，而是從廣告商那里賺推廣費。
這類羊毛出在豬身上的互聯網商業思維精髓已經被黑色產業完整掌握了。這類木馬同樣肆虐在 PC 和手機兩大平臺，在手機上，它們一般偽裝成為用戶需要的軟件，但是在使用過程中，它們會偷偷地接受遠程控制，為用戶靜默地安裝一大堆其他 App。
這些 App 很可能不是惡意的，而僅僅是有推廣需求的 App。他們希望通過種種渠道推廣自己，最終這樣的任務就有一部分落在了灰色產業的木馬身上。這種木馬推廣和地推在道理上是一樣的。
劉桂澤告訴雷鋒網，哈勃平臺不久前剛剛預警查殺了一個爆發的廣告木馬，他的小伙伴給這個木馬命名為“暗影鼠”。
“我覺得我們起的這個名字還是很形象的。暗影代表捉摸不定，老鼠又是見不得光的。這種木馬做的事情非常簡單，就是把你電腦所有瀏覽器的導航頁廣告渠道改成他的。用戶絲毫感覺不到導航界面有任何變化，通過導航訪問的網站也沒有任何變化。但其實背后的訪問渠道已經發生了變更，這樣一來，網站的推廣費用就會流到木馬使用者的手里。
這個木馬在5月23日被系統捕捉，我們馬上研究并且下發了查殺規則，此刻全網的樣本數量只有十萬。由于規則下發到生效需要一定的時間，到第二天凌晨的時候全網的爆發量居然飆升到了40萬，直到電腦管家開始大規模掃描之后，“疫情”才得到了控制。
以上這三種木馬當仁不讓地組成了這個月最為猖獗的 Top3。劉桂澤說，最近一年可以很明顯地看到黑產“離錢更近”了。以前的盜號木馬，在盜取了QQ號和密碼之后，如果QQ本身沒有攜帶Q幣等虛擬財產，那么就需要通過“撞號”之類的手段，例如嘗試用相同的賬號密碼登陸郵箱、淘寶、京東才能最終“撈”到錢。
現在看來，木馬的“老板”——這些黑帽黑客們還是覺得傳統的辦法準確率不高，而且浪費時間，轉而探索了“有特色的新型發展道路”。
查殺病毒木馬，其實是和他們背后的從事黑色產業的人較量。這是一場無休止的“持續對抗”。他們不斷翻新“犯罪技術”，我們也不斷破解他們的“作案手段”。
劉桂澤和團隊發現，最近不同種族不同流派的木馬，“修煉”出兩個非常特別的“招式”。
讓自己的存活期更長，是木馬的追求。即使能在電腦、手機上多呆半天，甚至多呆半個小時，就可以多盜取一些用戶信息，多推廣一點自己的“小伙伴”。也可以和殺毒軟件博弈的時間更長，不用馬上投入精力研究新的變種來對抗圍剿自己的殺毒軟件。
由于哈勃系統主要采用機器規則的方法來自動判斷病毒木馬，所以每天有大量的文件樣本會經過哈勃的篩查。然而，哈勃團隊發現了一個有意思的現象。那就是：有那么一些程序，在虛擬運行環境下沒有任何功能，也不做任何動作。
拜托你是個軟件，你被安裝運行之后什么也不做究竟是為什么？你哪怕訪問一個網頁呢。。。
研究員的內心是崩潰的，難道真的有人會無聊到寫一個什么都不做的程序嗎？敏銳的嗅覺告訴他們，這其中一定有“貓膩”。
果然，經過仔細研究他們發現，這類木馬在被運行之后，首先要做的動作就是“沉默”。
“沉默的時間從幾分鐘到幾十分鐘不等，最長的一個木馬竟然沉默一個小時。”劉桂澤說，“為了提高效率，檢測平臺不會對同一個文件檢測60分鐘，默認設置一般都是秒級。而如果換做傳統的人工審計代碼方式，又至少需要十幾分鐘到幾十分鐘。而且現在的木馬代碼一般都經過了重度混淆加密，甚至可以做到一邊執行一邊解密，所以人工審計的方式效率也非常低。”
不過，對付這種難纏的木馬，研究員想出了一套簡單的規則。那就是讓哈勃系統在檢測的時候，一旦遇到可以的“沉默程序”，就主動跳過沉默的代碼段，直接執行真正的命令操作。
當然，隱身的招數并不只有“沉默”這一種。還有一種傳統的隱身方式：像寄生蟲一樣把自己隱藏到文檔里，最近又開始“重現江湖”。這就是宏病毒。
安全的博弈過程就是這樣，“黑道”想到了一個辦法，安全廠商就會不斷封堵；如此循環下去，“黑道”可能突然發現最開始的方法又有用了。當然不是簡單的重復這種方法，而是疊加了更新技術的“升級版”
由于 Office 的文檔有時需要顯示動畫效果或進行動態數據統計，所以其實 Word 或 PPT 之類的文檔實際上允許可執行代碼存在于其中。但是，由于過去飽受宏病毒困擾，微軟在新版本的 Office 中會默認禁止宏運行。然而，無底線無操守的黑帽黑客把釣魚郵件和隱私竊取都疊加到了一起。他們的做法是：
搞清楚你的職業和個人信息。然后有針對性地給你發一封足以以假亂真的工作郵件——例如報銷發票信息、行業協會通知、客戶訂單——讓你沒有不打開附件的理由。而在郵件中，“客戶”還會“溫馨提示”你，我的附件里面有報價，當 Excel 提示你是否需要開啟宏的時候，一定要點同意哦親~~
雷鋒網表示人間最可寶貴的信任似乎被撕裂了。。。
就像自動巡航、停車熄火、倒車雷達逐漸成為汽車的標配一樣，“云控”也開始成為木馬的標配了。作為一個木馬，如果不能實現云端控制，出門都不好意思和人打招呼。
劉桂澤說，“靈活快速”是云控的最大優點，它可以讓木馬和黑客的服務器保持實時的聯系，根據具體情況作出最精確的反應：如果發現你的機器安裝的是 Windows XP，會馬上下發一套針對 XP 的“作戰策略”；如果是 Windows 7，那么就會下發一套“Win7 作戰計劃”；如果是手機，也可以搞定。
而且，通過云控，黑客甚至可以控制木馬的生命周期。例如在受害者的電腦上存在一天之后，這個木馬就會被強制升級成最新的 2.0 版本。
木馬家族的更新速度超出一般人的想象，最快的10分鐘就會更新一版。所謂的更新，就是代碼結構、加密格式、侵害動作的序列都會發生調整。要想實現這么快的更新速度，黑客有可能一次做了很多木馬，然后按照節奏釋放出來，還有可能研究了一整套自動化的工具對木馬做代碼變換。
對于這種琢磨不定的木馬形態，安全專家只能抓住木馬最根本的特征——“行為”進行尋找。為了第一時間檢測出最新的木馬，檢測系統只得晝夜不眠，7*24小時運轉。
對劉桂澤和哈勃團隊來說，他們的任務并不是手動判斷一個程序到底是不是木馬，而是用自己的經驗和理解創造出一條條識別木馬的規則，然后讓哈勃系統學會這套規則。不斷累加的規則可以讓系統對于木馬的判斷的準確度不斷接近這些安全專家。
劉桂澤舉了幾個簡單的判定規則：
1、如果一個軟件上來就給電腦來個全盤掃描，而且對這么大批的文件不僅讀，竟然還寫，這就是很明顯的密鎖敲詐木馬的行為。因為正常的軟件幾乎是沒有必要進行全盤掃描的。
2、一個軟件運行之后就聯網，這個動作本來無可厚非，但如果他每次聯網去請求的都是一些控制信息，而且這些控制信息還和軟件本身無關，那么這就是很可疑的推廣木馬。例如QQ在后臺聯網，一定是下載和自己有關的信息，例如更新包。但是推廣木馬請求的一般是一大串軟件列表加上下載地址，這種特征是很明顯的。
3、從移動端來說，正常的 App 運行之后，一旦用戶點擊 Home 鍵，它就應該進入沉默狀態，最多就是偷偷聯網上報一下用戶數據做統計之用。如果一個 App在后臺有大量頻繁的操作，例如讀取隱私信息和通訊錄，甚至向系統申請短信監聽的權限（這種權限一般用在“注冊碼自動填寫”等提升用戶體驗的功能上）。那么這個 App 的行跡就很可疑。
4、之前提到的“暗影鼠”木馬，在安裝之后會馬上掃描用戶都安裝了哪些瀏覽器，同時掃描用戶都安裝了哪些殺毒軟件。這種行為也是非常可疑的。
聽上去這種規則涇渭分明，黑白立判。但是劉桂澤說訓練機器的最大難度在于“度的把握”。
機器的特點是“一是一、二是二”，而人最大的特點是“一不是一，二不是二”。例如某件事，張三找我幫忙我干，李四找我幫忙我就不干。例如某用戶量很大的程序深受用戶喜愛，但是它會對用戶的注冊表進行修改，這種情況我們沒辦法不放行；而一些小的軟件修改用戶的注冊表，我們就可能會認定它是木馬程序。
劉桂澤面對的困難，也正是機器和人之間的能力鴻溝。不過，經過海量的樣本進行大量的訓練，哈勃系統還是在朝著更聰明和更“像人”的方向演進。這一點讓劉桂澤很欣慰。
哈勃系統每天要測試幾千萬的樣本文件，但是到最后還是有不到一千個高度模糊的文件留給我們的研究員。當然我們的目的不是把這一千個文件歸類。而是通過研究這些文件的特點，研究出新的規則，讓更新之后的系統可以有效判斷這些文件。現在每天會產生千八百個模糊文件，也許到了明年的這個時候，每天就只有十個八個模糊文件產生了。
實際上，對于哈勃來說，研究員對于規則的改進還是相當有成效的。過去團隊有五個規則開發專家，十個樣本分析專家；而到了現在只有兩個樣本分析專家，其余的專家全部投身規則的研究制定。
只要存在獲利的空間和善良的人們，惡意的木馬似乎就永遠沒有消失的可能。在劉桂澤的眼中，往往他們對一個木馬家族剛剛搞清楚，另外的木馬就爆發了。安全專家和木馬作者已經成為了這場永無止境戰爭的兩支常駐軍。
既然無法根除人性當中的惡念，那么我們不如期待在這樣的神魔斗法中，出現更多精彩的戰役。
延伸閱讀：
《黑客勒索！一個能說出你名字、電話和職位的“熟人”，可能會鎖住你的電腦》
更多的技術內容可參考《騰訊反病毒實驗室哈勃分析系統，四月威脅情報態勢報告》
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
專題
