中文字幕在线观看,亚洲а∨天堂久久精品9966,亚洲成a人片在线观看你懂的,亚洲av成人片无码网站,亚洲国产精品无码久久久五月天

Palo Alto Networks:MyDoom病毒2019依舊肆虐

2019-08-29    來源:IT運維網(wǎng)

容器云強勢上線!快速搭建集群,上萬Linux鏡像隨意使用

最新博文全文如下:
臭名昭著的MyDoon計算機蠕蟲,早在2004年便被首次發(fā)現(xiàn),其位列最具破壞性計算機病毒前十名,估計損失達380億美元。盡管已經(jīng)“風光”不再,現(xiàn)在的MyDoom在整個網(wǎng)絡(luò)威脅環(huán)境中仍占有一席之地。比如距離現(xiàn)在最近的2017年,在Palo Alto Networks的雙月威脅報告中我們記錄了發(fā)生在歐洲、中東以及非洲地區(qū)的MyDoom活動。
 
在過去幾年中,MyDoom的生存保持相對穩(wěn)定,在我們看到的帶有惡意軟件附件的郵件當中,平均約占1.1%。此外,我們每個月都記錄到有成千上萬個MyDoom樣本。大多數(shù)MyDoom郵件來自于在中國注冊的IP地址,其次是來自于美國。這些郵件在全世界范圍內(nèi)傳送,其目標主要為高科技產(chǎn)業(yè)、批發(fā)及零售行業(yè)、醫(yī)療行業(yè)、教育以及制造業(yè)。
 
本文跟蹤了近幾年MyDoom病毒的活動情況,并聚焦2019年上半年的發(fā)展趨勢。
 
MyDoom2015-2018年的活動情況
 
MyDoom的傳播方法是通過使用SMTP (Simple Mail Transfer Protocol, 簡單郵件傳輸協(xié)議)的電子郵件來擴散。我們對兩組郵件進行了對比,一組是帶有MyDoom附件的郵件,另外一組是包含其他任意類型惡意軟件附件的郵件,在2015至2018年的四年當中,我們發(fā)現(xiàn)平均有1.1%的惡意郵件含有MyDoom。對于同一時期的個體惡意軟件樣本, MyDoom占全部個體惡意附件的21.4%。
 
為什么MyDoom郵件比MyDoom附件的占比低如此之多?這是因為,許多惡意郵件帶有同一惡意樣本并將其發(fā)送至成百上千個接受方。而MyDoom為多態(tài),我們發(fā)現(xiàn)它針對每個郵件都有不同的文件哈希。因此,盡管MyDoom郵件數(shù)量相對較少,但在樣本數(shù)量上與其他通過郵件來傳播的惡意樣本來比較是相對較高的。表1即為2015至2018年的統(tǒng)計數(shù)據(jù),
 
1:2015-2108年間的MyDoom統(tǒng)計數(shù)據(jù)
年度 MyDoom 郵件 含有惡意軟件的郵件總數(shù) MyDoom 郵件占比 MyDoom 樣本 惡意軟件樣本總數(shù) MyDoom 樣本占比
2015 574,674 27,599,631 2.1% 87,119 615,386 14.2%
2016 589,107 77,575,376 0.8% 142,659 960,517 14.9%
2017 309,978 79,599,864 0.4% 95,115 340,433 27.9%
2018 663,212 64,919,295 1.0% 150,075 528,306 28.4%
               

 

1. 2015MyDoom活躍水平

 

 

2. 2016MyDoom活躍水平

 

3. 2017MyDoom活躍水平

 

4. 2018MyDoom活躍水平

 
MyDoom2019年的活動情況
 
2019年上半年MyDoom的活躍程度,與2018年全年平均水平基本持平,僅在郵件和惡意軟件樣本占比方面略微高一點。見表2,
 
2, 2019年上半年MyDoom數(shù)據(jù)
MyDoom 郵件 含有惡意軟件的郵件總數(shù) MyDoom 郵件占比 MyDoom 樣本 惡意軟件樣本總數(shù) MyDoom 樣本占比
2019年1月-6月 465,896 41,002,585 1.1% 92,932 302,820 30.1%
 

5. 2019年上半年MyDoom活躍水平

 
不止一個月里有574個MyDoom樣本出現(xiàn),因此下表3中的MyDoom惡意軟件樣本總數(shù)與上一表中整個六個月期間的MyDoom樣本總數(shù)不同。

3, 2019年上半年各個月MyDoom數(shù)據(jù)
月份 MyDoom 郵件 MyDoom惡意軟件樣本
2019年一月 54,371 14,441
2019年二月 47,748 11,566
2019年三月 80,537 18,789
2019年四月 92,049 17,278
2019年五月 113,037 15,586
2019年六月 78,154 15,846


6. 圖表顯示20191月至6月間的MyDoom活躍水平

 
那么這些郵件來自于何處?在2019上半年中我們發(fā)現(xiàn)IP地址排在前十名的國家和地區(qū)包括,
 

●     中國大陸: 349,454 封郵件
●     美國: 18,590 封郵件
●     英國: 10,151 封郵件
●     越南: 4,426 封郵件
●     韓國: 2,575 封郵件
●     西班牙: 2,154 封郵件
●     俄羅斯: 1,007 封郵件
●     印度: 657 封郵件
●     臺灣地區(qū): 536 封郵件
●     哈薩克斯坦: 388 封郵件

 

7. 2019年上半年MyDoom郵件出現(xiàn)的國家/地區(qū)
 

目標國家比來源國家更加多樣且分布均勻,排在前十名的國家和地區(qū)分別是,

●    中國大陸: 72,713 封郵件
●    美國: 56,135 封郵件
●    臺灣地區(qū): 5,628 封郵件
●    德國: 5,503 封郵件
●    日本: 5,105 封郵件
●    新加坡: 3,097 封郵件
●    韓國: 1,892 封郵件
●    羅馬尼亞: 1,651 封郵件
●    澳大利亞: 1,295 封郵件
●    英國: 1,187 封郵件

 

 

8. 2019年上半年MyDoom郵件發(fā)送的目標國家和地區(qū)
 

那么,在這期間排在前十位最容易受到攻擊的行業(yè)是,
 

●        高科技: 212,641封郵件
●        批發(fā)零售:84,996 封郵件
●        醫(yī)療: 49,782 封郵件
●        教育: 37,961 封郵件
●        制造: 32,429 封郵件
●        專業(yè)及法律服務(wù): 19,401 封郵件
●        電信: 4,125 封郵件
●        金融: 2,259 封郵件
●        運輸及物流: 1,595 封郵件
●        保險: 796 封郵件

 
當然以上結(jié)果很容易受到客戶規(guī)模的影響。但是,這一數(shù)據(jù)顯示中國和美國既是多數(shù)MyDoom的來源國,也是這一病毒的目標國。
 
MyDoom的特征
 
多年以來,MyDoon的傳播有著相同的特征。2019年2月,人工智能和網(wǎng)絡(luò)安全公司Cylance對MyDoom采樣進行了分析,發(fā)現(xiàn)現(xiàn)在的MyDoom樣本都有著類似的特征。通常情況下,郵件發(fā)送MyDoom病毒,會偽裝成郵件發(fā)送失敗后返回的報告,郵件標題為,
 

●        發(fā)送失敗
●        郵件發(fā)送報告
●        郵件系統(tǒng)錯誤 – 郵件返回
●        郵件可能無法收到
●        郵件返回:數(shù)據(jù)格式錯誤
●        郵件返回:詳細信息參考記錄

 
另外,我們還經(jīng)?吹組yDoom郵件的標題字母排列混亂,有些標題還會呈現(xiàn)出以下這種形式,
 

●        Click me baby, one more time
●        hello
●        Hi
●        say helo to my litl friend

 
以下圖9、圖10和圖11,來自于2019年7月 MyDoom 郵件樣本的截屏,

 

9. 20197月的一份MyDoom郵件樣本 (1)


10. 20197月的一份MyDoom郵件樣本 (2)


11. 20197月的一份MyDoom郵件樣本 (3)

 
這些MyDoom郵件的附件都是可執(zhí)行文件,或者是壓縮包中含有可執(zhí)行文件。MyDoom惡意軟件可將Windows 主機感染為惡意軟件自動發(fā)送機器人,然后將MyDoom郵件發(fā)送至不同郵件地址,即使受感染的Windows主機沒有郵件客戶端,也將發(fā)送惡意郵件。此外,MyDoom的另外一個特征,是試圖通過TCP接口1042來連接多個不同IP地址。
 

 

12. 2019715日來自某受MyDoom感染主機的郵件流量

 

13. 某個受MyDoom感染的主機試圖通過TCP端口1042進行連接

 
在某個Windows 7主機,MyDoom自我復制后并放置于路徑AppData\Local\Temp directory as lsass.exe, 但在Windows注冊表中惡意軟件是無法持續(xù)的。在某個Windows XP主機中,MyDoom可執(zhí)行文件自我復制并放置于路徑C:\Windows\lsass.exe下,通過HKEY_LOCAL_MACHINE路徑下的注冊表以及SOFTWARE\Microsoft\Windows\CurrentVersion\Run路徑下一個名為Traybar的數(shù)據(jù)倉庫工具來實現(xiàn),如圖14所示,
 

14MyDoom在某個Window XP主機上的持續(xù)性


結(jié)論
 
盡管早在2004年便被發(fā)現(xiàn),MyDoom在今天仍然活躍,這足以證明其初始破壞性該有多么強大。多年來,仍有大量的基礎(chǔ)設(shè)施受到感染,我們在今天的威脅環(huán)境中仍能繼續(xù)看到MyDoom的存在。此外,盡管在惡意郵件當中含有MyDoom病毒的比例相對較小,但這一病毒始終存在。
 
基于對我們所掌握數(shù)據(jù)的分析,大多數(shù)受到MyDoom感染的基礎(chǔ)設(shè)施其IP地址大多來自中國,而美國則緊跟其后。盡管MyDoom病毒全球傳播并指向多個國家,但中國和美國仍然是兩個主要接收MyDoom郵件的國家。高科技產(chǎn)業(yè)是其最大攻擊目標。
 
Palo Alto Networks(派拓網(wǎng)絡(luò))的Threat Prevention Platform可輕松檢測到該惡意軟件,從而有效保護客戶免受MyDoom影響。同時,AutoFocus用戶可借助MyDoom標簽來追蹤MyDoom意圖。
 
入侵指標
 
MyDoom EXE Samples from July 2019  自2019年7月以來的MyDoom可執(zhí)行文件樣本
1b46afe1779e897e6b9f3714e9276ccb7a4cef6865eb6a4172f0dd1ce1a46b42
48cf912217c1b5ef59063c7bdb93b54b9a91bb6920b63a461f8ac7fcff43e205
50dfd9af6953fd1eba41ee694fe26782ad4c2d2294030af2d48efcbcbfe09e11
6a9c46d96f001a1a3cc47d166d6c0aabc26a5cf25610cef51d2b834526c6b596
9e4c6410ab9eda9a3d3cbf23c58215f3bc8d3e66ad55e40b4e30eb785e191bf8


Palo Alto Networks(派拓網(wǎng)絡(luò))威脅情報團隊Unit 42

標簽: MyDoom病毒 

版權(quán)申明:本站文章部分自網(wǎng)絡(luò),如有侵權(quán),請聯(lián)系:west999com@outlook.com
特別注意:本站所有轉(zhuǎn)載文章言論不代表本站觀點!
本站所提供的圖片等素材,版權(quán)歸原作者所有,如需使用,請與原作者聯(lián)系。

上一篇:機器學習賦予主機安全免疫力

下一篇:Radware與全球領(lǐng)先SaaS提供商簽署數(shù)百萬美元混合云DDoS保護協(xié)議