謹防定義文件名，讓木馬肆虐

日前，在Websense ThreatSeeker智能云的幫助下，Websense安全實驗室研究人員們發現，網絡攻擊者正在越來越多地選擇使用自定義生成的附件文件名和有密碼保護功能的ZIP文件發起大規模的網絡攻擊。他們將以銀行/金融為主題的可執行文件打包在ZIP文件中，并將文件名與目標收件人之間進行匹配，通過電子郵件進行大范圍的傳播。當該文件在受害者電腦上運行時，來自Zbot P2P家族的木馬病毒就會通過Pony下載器下載到受害者電腦上。Zbot通常是用來竊取銀行證書、個人可識別信息（PII）以及其他機密數據，以獲得犯罪收益。

安全專家們一直在積極檢測并阻止類似攻擊事件，他們于7月15日成功檢測到一起以“重要文件——WellsFargo”為主題的攻擊活動。在此次攻擊活動中，Websense云端電子郵件安全檢測并成功攔截了80000多個實例。隨后，Websense CES（云端電子郵件安全）還成功攔截了另一起攻擊活動，攻擊者們利用偽裝為由Trusteer發出的虛假電子郵件，誘騙受害者安裝Trusteer Rapport軟件更新。迄今為止，Websense CES已經成功攔截了36000多個攻擊變體。以下則是Websense CES攔截到的一封電子郵件：

安全專家表示，與之前檢測到的攻擊活動相比，此次攻擊活動的獨特之處就是攻擊者使用的是自定義生成的附件名稱。網絡犯罪分子們也在試圖不斷改進攻擊方法，以增強其攻擊的有效性。

自動創建文件名，并將該文件名與目標收件人的電子郵件用戶名進行匹配，潛在的受害者首先會看到與他們的用戶名相同的ZIP文件，在搜索引擎中搜索附件文件名也不會顯示任何可疑信息，攻擊者就是利用這種方法讓潛在的受害者更放心地打開附件。同時攻擊者們也希望可以通過這種方法規避基于附件文件名的攔截。

如果用戶在文件夾選項中選擇了“隱藏已知文件類型擴展名”，那么典型的誤導性圖標（電子郵件攻擊中常見惡意軟件的另一共同特征）會將惡意可執行附件顯示為正常文件（見圖1）。懂行的用戶會選擇顯示所有文件的擴展名，可疑附件就會暴露無遺（見圖2）。

圖1

圖2

安全專家利用ThreatScope?對附件行為進行分析后發現，Pony下載器會與hxxp：// dharmaking.net/ponyb/gate.php進行信息傳送。同時，Pony下載器還會會發送一系列GET請求，從hxxp：// liltommy.com/ep9C.exe、hxxp：// www.wineoutleteventspace.com/7UNFVh.exe、hxxp：// www.oh-onlinehelp.com/Pefyi.exe、hxxp：// video.wmd-brokerchannel.de/qAz575t.exe等多個惡意網站上下載惡意可執行文件，并且可以與合法網站進行信息傳送來掩蓋惡意活動。

此外，在更早檢測到的攻擊活動中，安全專家們注意到，除了將附件文件名與收件人用戶名配對，攻擊者們還在攻擊郵件中添加了密碼保護功能，這種方法在近幾個月的攻擊中使用相當頻繁。顯然，攻擊者的目的是規避自動分析，并在安全廠商更新惡意軟件檢測方法之前進行大規模的傳播。如下圖所示：

同樣，隱藏了文件擴展名的附件在電子郵件中也顯示為正常文件，攻擊者試圖以這種方式來減少潛在的受害者對打包在附件中的可執行文件的懷疑。如下圖所示：

最近，安全專家又檢測到一起利用虛假Trusteer電子郵件發起的攻擊活動，電子郵件主題為“重要安全更新：客戶XXX”。此次攻擊與上述攻擊活動一樣，附件名稱與收件人用戶名一致。Trusteer是一家軟件公司，攻擊者將攻擊郵件偽裝成軟件更新郵件，試圖減少潛在的受害者對附件中的可執行文件的戒心。

Websense ThreatScope報告指出，簡單的社交工程技術、已知漏洞及已知的惡意軟件家族仍廣泛應用在大大小小的攻擊中。雖然這些電子郵件誘餌非常簡單，但是攻擊者仍會利用誘餌的各種變體進行攻擊，傳統的殺毒軟件不能有效攔截此類攻擊。即使殺毒軟件廠商對軟件進行更新之后，也只有少數殺毒軟件可以識別Zbot木馬變種。而且在更新了殺毒軟件之后，一些木馬托管主機看似不再進行響應，但實際上仍會提供新的惡意二進制文件。

安全專家提醒用戶，面對這類強針對性的攻擊，一定要對來歷不明的電子郵件保持警覺，不要輕易閱讀帶有鏈接與附件的可疑郵件。除了提高用戶安全意識之外，企業也可以通過部署多層次的安全產品來防范此類攻擊，保護企業安全。