建站
咨詢
售后
建站咨詢
新聞中心
最近在研究apt入侵，發(fā)現(xiàn)u盤釣魚確實是一個簡單但成功率極高的入侵手法。
創(chuàng)新互聯(lián)建站長期為1000多家客戶提供的網(wǎng)站建設(shè)服務(wù)，團隊從業(yè)經(jīng)驗10年，關(guān)注不同地域、不同群體，并針對不同對象提供差異化的產(chǎn)品和服務(wù)；打造開放共贏平臺，與合作伙伴共同營造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為安丘企業(yè)提供專業(yè)的網(wǎng)站設(shè)計、網(wǎng)站建設(shè)，安丘網(wǎng)站改版等技術(shù)服務(wù)。擁有10多年豐富建站經(jīng)驗和眾多成功案例,為您定制開發(fā)。
入侵者在u盤中植入病毒，利用拾到者想偷窺、想知道使用人后歸還等好奇心理，誘導(dǎo)拾到者插入并打開u盤中的文件，進而觸發(fā)病毒，可以說是APT入侵利器。當然也就成為內(nèi)網(wǎng)安全防御的一大挑戰(zhàn)。下面我們一起看看u盤釣魚的實現(xiàn)方式，分析下可行的檢測防御方案。
一、U盤釣魚的實現(xiàn)
階段一 誘導(dǎo)用戶插入u盤
這是第一步，也是最關(guān)鍵的一步，如果拾到者不將u盤插入pc終端，那就談不上下一步的觸發(fā)了。這里的關(guān)鍵是要分析做插入動作的的人(被入侵人)的身份。
- 前臺人員：多是從拾到者上繳獲取的u盤，想盡快找到失主歸還，這里可以在u盤上貼上，“簡歷u盤”，“照片u盤”等字樣;
- 普通員工：多是想偷窺別人的隱私，那就要從人性的本質(zhì)出發(fā)了，在u盤上貼上“種子盤”、”我的私房照”等字樣;
總之，誘導(dǎo)人性，最大程度提高插入率。讓他們對各類安全教育宣傳視而不見，也就達到我們的目的了。
階段二 誘導(dǎo)用戶主動運動病毒
這里就不說主動運行的病毒了，autorun已被玩爛，試問哪個公司的安全團隊還沒解決這個問題?那可以拖出去斃了!
這里只說讓用戶乖乖的運行病毒，這里的套路和第一步一樣，無外乎就是根據(jù)不同人的需要制定不同的方案。下面我們僅從技術(shù)手段看下怎么讓用戶運行病毒。
先準備下：
1. 準備病毒
我們先制作一個假的病毒，筆者喜歡用pyhon寫簡單的功能，然后轉(zhuǎn)成exe，就行。隨便寫個嚇唬人的messagebox吧，如下：
然后轉(zhuǎn)換成exe，如下：
2. 準備圖標
這個就不細說了，系統(tǒng)圖標，網(wǎng)上找得到一堆，隨便選一個吧：
誘惑類圖標，美女之類的，我們自己做下即可(這里避免三俗，接下里的演示就不用這類圖標了)：
這樣我們的前期準備就ok了。下面我們看怎么誘導(dǎo)用戶打開。
3. 誘導(dǎo)用戶打開運行病毒
(1) 方法1 誘惑圖標的可執(zhí)行文件
直接修改可執(zhí)行文件圖標，誘導(dǎo)用戶打開
細心的同學(xué)肯定看到了，pyinstall的默認圖標還是挺陌生的，這種情況下一般的用戶都會注意到，而且用戶看到exe的后綴也會提高警惕，所有，直接讓用戶運行的最有利條件是：
- 圖標誘導(dǎo)性或吸引力
- exe后綴隱藏(默認隱藏，或看不到)
不過這里這里我們僅探討修改圖標的方法，隱藏exe就盼著用戶默認隱藏后綴名或眼神不好吧，哈哈。
方法如下：
一種是在py轉(zhuǎn)成exe的時候就指定圖標(當然如果c++之類的編譯的時候直接指定圖標即可)
另一種是用圖標修改工具，如Restorator、ResourceHacker。先刪除資源，然后添加資源即可：
第二種，自解壓運行可執(zhí)行文件，修改圖標。
選擇自解壓：
配置：
效果：
最后把文件名改一下，多加空格，隱藏后綴，效果更好：
(2) 方法2 誘惑的快捷方式
快捷方式指向病毒目錄中的可執(zhí)行文件，就可以解決圖標問題和顯示后綴exe的問題了。
以上就是兩種筆者常用的實現(xiàn)方式，方法雖然簡單，但是很多apt團隊也是用類似方案的，效果確實不錯。有興趣的同學(xué)，歡迎提出更多方案。
最后，可能大家注意到了，這里沒有說免殺。畢竟這已經(jīng)是大家的基本素養(yǎng)了，何況，這種誘惑人性的東東很多同學(xué)都是看到殺軟報毒都會主動加白的!可笑的案例比比皆是。所以很多時候連免殺都不做也沒問題。
說完了，各種實現(xiàn)方案，發(fā)揮思路，看看怎么防御和檢測。
二、U盤釣魚的防御和檢測
答案可能顯而易見了，那就是加強用戶教育，這個落地的苦就不說了，搞安全同學(xué)都知道，讓別人聽你的，那是最難的。所以筆者提出一個變態(tài)的思路。
不允許u盤內(nèi)程序運行，但可以拷貝到本地運行。為實現(xiàn)這個目標，看看怎么技術(shù)實現(xiàn)。
這個比較簡單，利用組策略就行了：
基本就可以控制病毒程序被執(zhí)行了。
當然，除了可執(zhí)行文件外，還有各類腳本，如vbs、js。這類腳本都是調(diào)用系統(tǒng)的解析程序，如wscrip等進行解析，而解析程序在系統(tǒng)盤并不在u盤內(nèi)，所以我們的域策略控制可執(zhí)行的這種方式無法攔截。但這類方式正因為是調(diào)用系統(tǒng)程序進行解析，所以它的圖標是不能更改，所以迷惑性也不高。
如果必須攔截，那按照筆者思路，這里需要判定u盤插入，然后自動配置域策略，禁止對應(yīng)u盤盤符內(nèi)的vbs，js等后綴程序的執(zhí)行就可以阻止了。這就涉及到dlp了，就不展開說了。
綜上，簡要的說了下u盤釣魚的實現(xiàn)和防御，當然只要你思路足夠開闊，還有很多方式可以更好的誘導(dǎo)用戶，或者繞過防御。入侵和對抗本來就是在不斷演進，這也是安全技術(shù)最大的樂趣所在。如有疑問，歡迎探討。
分享題目：U盤釣魚的實現(xiàn)和防范
URL分享：http://m.fisionsoft.com.cn/article/dhddddj.html
