银狐团伙再出新招，Web漏洞成切入点

2024-12-10 18:10:04
我要分享


微信扫码分享

关于银狐

银狐木马是一种针对企事业单位管理人员、财务人员、销售人员及电商卖家进行钓鱼攻击的恶意软件。该家族木马主要通过伪装成与工作相关的文件，如发票、财税文件等，诱骗用户点击下载和执行，从而实现对目标计算机的远程控制。

银狐通常利用“查_看_uninstall.exe”、“11月名单.exe”等文件名来针对性地误导其目标受害群体，并通过QQ、微信等即时通信软件发送钓鱼文件或网站链接，最终实现受害用户的主动执行。

漏洞挂马

近期，360发现一个被长期跟踪监控的银狐木马团队在传播手段上又有了新的变化。除了继续通过以往的传播途径外，该团队还进一步新增了对政企网站的挂马攻击。具体而言，他们是利用了正规网站中所存在的已公开漏洞，将银狐木马和钓鱼页面植入到网站中，再进行传播。这些政企网站就成了银狐木马的“传播源”，被攻击的网站包括政府网站、企事业单位网站和多家大型国企网站。这些网站的网址，一般会受到聊天软件和安全软件的信任，利用这些网站进行挂马，更容易突破防御进行传播，也更容易获得用户信任。

被攻击者利用的，主要是Web应用的上传漏洞。利用图片，附件等的上传接口，很多应用对上传接口检测不严格，对上传文件的访问没有限制，造成攻击者上传病毒文件或挂马页面，之后获取到访问链接，就能够直接传播和发起攻击。

目前发现已被利用的网站漏洞有KindEditor、WordPress、UEditor、ThinkPHP等数十款热门Web应用漏洞。以下360近期发现的一些较为典型的攻击案例。

利用UEditor漏洞上传恶意载荷到某博物馆页面

UEditor是国内一款被广泛使用的Web前端编辑器，但其某些早期版本中存在上传漏洞，攻击者则可以利用这些漏洞上传恶意文件，其中也包括了可被执行的恶意代码脚本,攻击者便有机会利用这一点来获取Web服务器的管理权限。

在我们的检测数据中，发现国内某博物馆的主页便使用了带有漏洞的UEditor编辑器，这也导致了其主页被黑客篡改并植入了银狐木马。一旦有用户访问该页面，便会执行恶意链接并跳转到某盘的木马下载共享链接进行木马下载操作。

由于该网站属于是正规网站，可信度较高，用户难免放松警惕执行了木马，最终导致用户的机器遭到银狐木马的感染和控制。

图1. 用户从某博物馆页面下载银狐木马载荷

利用KindEditor漏洞上传恶意载荷

与UEditor有所区别，另一款广受青睐的Web前端编辑器KindEditor在某些版本中存在的上传漏洞仅允许攻击者可以上传.txt和.html文件。但这已然存在着可乘之机——因为这些文件可以嵌套暗链接或XSS攻击代码，所以攻击者同样可以通过构造恶意的html文件来实现跳转、钓鱼等恶意行为。

某公司是智慧机器人、智能控制器一体化解决方案的集成商，产品广泛应用于航天、5G通讯、人工智能、医疗设备、轨道交通、智能卫浴、工业控制、新能源等众多领域。根据360大数据排查，该公司的网站便是由于使用了带有漏洞的KindEditor编辑器而导致被攻击者利用挂载了银狐木马，当该公司的客户或远控访问其主页时，便会下载银狐木马到设备中。该网站被植入的恶意载荷列表如图：