Cookie Maker:隐藏在Google Docs中的恶意网络

一、前言FortinetGuard实验室最近发现了使用Google Docs的一次攻击活动,攻击者在此次攻击活动中打着Fortinet以及FortiGuard的旗号。当我们检查文档样本时,我们发现这个恶意网络中存在一条非常长的重定向链,并且这条重定向链的最后一跳会根据受害者的IP及user-agent特征而有所区别。这个恶意网络针对的是所有主流操作系统平台:Windows、Android以及MacOS。在本文中,我们分析了此次攻击活动流经的跳转路径,以及针

一、前言FortinetGuard实验室最近发现了使用Google Docs的一次攻击活动,攻击者在此次攻击活动中打着Fortinet以及FortiGuard的旗号。当我们检查文档样本时,我们发现这个恶意网络中存在一条非常长的重定向链,并且这条重定向链的最后一跳会根据受害者的IP及user-agent特征而有所区别。这个恶意网络针对的是所有主流操作系统平台:Windows、Android以及MacOS。在本文中,我们分析了此次攻击活动流经的跳转路径,以及针对Windows平台的恶意样本。在本文末尾,我们分析了追踪溯源相关信息,尝试寻找隐藏在这些攻击活动背后的黑手。 二、恶意文档2018年夏季,有研究人员发现带有基于特定链接访问策略的Google文档可能会被爬虫索引入库。这样一来,许多单位的内部文档就可以被公开访问。比如有个真实案例,俄罗斯银行关于招聘政策的一份摘要文档就引起了人权人士的关注。在该文档中,招聘方阐述了一项政策,禁止招聘带有特定宗教信仰或者性取向的某些人群。还有包含明文密码的许多文档被公之于众。由于我们可以在Google文档网页中搜索“password”,轻松检索到这类文档,因此问题变得非常糟糕。当然如果现在大家迫不及待想偷窥别人的隐私,可能得三思而后行,至少先阅读完本文再说,事情并没表面上看起来那么简单。当FortiGuard实验室团队听到这个消息后,我们亲自动手搜索了一次,想看看有没有Fortinet内部文档被公之于众。我们并没有发现泄露的内部文档,只发现了Fortinet设备的默认密码(我们在文档中使用的都是同一个密码,这并非秘密信息)。话虽如此,我们的努力并没有白费,因为我们还发现了一些有趣的东西。比如,搜索“Fortiguard”关键词后的结果如下:图1. Google搜索“Fortiguard”的结果我们在Google上找到了168条结果(有趣的是,Google搜索结果实际上与用户IP所属国家有关)。在168条搜索结果中,实际上有超过150条与攻击者构造的文档有关(比例超过了90%,是不是迫不及待想阅读这些“私密”文件)。搜索“Fortinet”关键词后,我们可以找到750个结果。大家可以在本文附录找到其中一些文档的链接。文档链接数之所以比搜索结果数量要少,是因为许多搜索结果指向的是同一个文档。随着调查的进一步深入,大家可以理解攻击者如何实现这种效果。此外,Fortinet并非牵扯其中的唯一单位。我们发现如果在Google中搜索网络安全领域中的知名厂商,还可以看到一百多个(甚至更多)恶意文档。此时我们意识到我们面对的是一次攻击活动,攻击者已经将数千个恶意文档插入Google Docs中。 三、恶意文档分析分析了许多这类恶意文档后,我们发现这些文档采用不同的语言编写,但主要语言为英语及俄语。尽管存在语言差异,但这些文档都具备相同的结构。文档都包含一个大标题,然后跟着一小张图片(主题不一定与标题相关),然后是使用大字体的一个超链接。这类文档如下图所示:图2. 恶意文档样本在超链接下面有许多空白空间,攻击者通过这种方式来隐藏插入在文档底部的“垃圾文本”。然而,这种“垃圾文本”的目的是借助各种不同的关键词,使爬虫能够成功索引这类文件。这也解释了为什么Google搜索结果数量会比实际的Google文档数量要少,因为许多链接指向的是同一个文档。图3. 某个恶意文档稳步的“垃圾文本”样例 四、分析恶意链接如果受害者点击恶意文档中的超链接,那么浏览器会执行一系列重定向操作。根据GET请求中user-agent字段的不同以及用户IP地址的不同,所访问的最终目的地也有所不同。重定向链在这一章节中,我们将分析恶意样本所生成的重定向链,恶意样本标题为“Fortiguard web filtering bypass software free download”。该文档如图2左上角所示。分析其他文档上的链接后我们也能得到类似结果。首先,使用新加坡VPN IP地址(我们使用的地址)及Google Chrome浏览器所对应的User-Agent信息(我们所使用的浏览器)后,我们能看到如下一条重定向链:1. hxxp://vbtrst[.]pro/dnew?k=Fortiguard+web+filtering+bypass+software+free+download2. hxxp://sxkwor[.]space/rtb/s/APEN2FuhOAAA4dsBAFNHGQASAGmZEJMA3. hxxp://11fileupload-2[.]xyz/it…fA==4. hxxp://static.21.101.69.159.clients.your-server[.]de/file?f=ae…05&utm_source=APEN2FuhOAAA4dsBAFNHGQASAGmZEJMA&utm_medium=14497&utm_campaign=default5. hxxps://thimbleprojects[.]org/dedzsumkoi/528138/?method=blob&type=download&name=Rm9ydGlndWFyZF93ZWJfZmlsdGVyaW5nX2J5cGFzc19zb2Z0d2FyZV9mcmVlX2Rvd24ucmFy&v=eyJ0cmFuc2FjdGlvbl9pZCI6IjU0ODAyMjI1NiIsInRva2VuIjoiOWM0MDVmOTIwYTdhYTI2ODE0MzdkMjRkZGRhNTM2YTUifQ%3D%3D6. hxxps://4requests[.]org/findic.php?v=eyJ0cmFuc2FjdGlvbl9pZCI6IjU0ODAyMjI1NiIsInRva2VuIjoiOWM0MDVmOTIwYTdhYTI2ODE0MzdkMjRkZGRhNTM2YTUifQ=="下面我们来看一下每个URL中存在的一些特殊参数:1、 “hxxp://vbtrst[.]pro/dnew?k=Fortiguard+web+filtering+bypass+software+free+download“第一个链接的参数非常明显,重复了文档的标题。2、 “hxxp://sxkwor[.]space/rtb/s/*APEN2FuhOAAA4dsBAFNHGQASAGmZEJMA*”

  • 发表于 2021-04-10 13:00
  • 阅读 ( 438 )
  • 分类:互联网

0 条评论

请先 登录 后评论
孤独剑客
孤独剑客

2668 篇文章

你可能感兴趣的文章

相关问题