5 月 1 日消息,網絡安全公司 ESET 昨日(4 月 30 日)發(fā)布博文,報道稱黑客組織 TheWizards 利用 IPv6 網絡功能,發(fā)起“中間人攻擊”(AitM),劫持軟件更新以安裝 Windows 惡意軟件。
報告指出該組織利用 IPv6 協(xié)議中的“無狀態(tài)地址自動配置”(SLAAC)功能,實施“SLACC 攻擊”。IT酷哥注:SLAAC 無需依賴 DHCP 服務器,支持設備自動配置 IP 地址和默認網關。
該黑客組織通過其定制工具 Spellbinder,發(fā)送偽造的路由器通告(RA)消息,誘導附近系統(tǒng)自動獲取新的 IPv6 地址、DNS 服務器及默認網關。而這個網關實際上是“Spellbinder”工具的 IP 地址,讓攻擊者能攔截通信并將流量重定向至其控制的服務器。
“Spellbinder”通過名為“AVGApplicationFrameHostS.zip”的壓縮文件傳播,解壓后偽裝成合法軟件目錄“% PROGRAMFILES%/AVG Technologies”。其中包含惡意文件“wsc.dll”,借助合法工具“winpcap.exe”加載“Spellbinder”至內存。
感染后,該工具監(jiān)控特定域名流量,尤其是騰訊、百度、迅雷、優(yōu)酷、愛奇藝、金山、芒果 TV、風行、有道、小米、小米MIUI、PPLive、美圖、奇虎 360 和暴風(按照原文排序)等中國軟件更新服務器相關的域名。一旦發(fā)現(xiàn)連接請求,它會重定向下載惡意更新,安裝后門程序“WizardNet”,讓攻擊者持續(xù)控制設備并安裝更多惡意軟件。
本文鏈接:http://www.tebozhan.com/showinfo-26-147990-0.htmlIPv6 網絡功能被濫用,劫持騰訊、百度等軟件更新重定向下載惡意軟件
聲明:本網頁內容旨在傳播知識,若有侵權等問題請及時與本網聯(lián)系,我們將在第一時間刪除處理。郵件:2376512515@qq.com