您当前的位置是:  首页 > 资讯 > 国际 >
 首页 > 资讯 > 国际 >

疑似俄国黑客发展新RAT,可突破HTTPS加密追踪上网行踪

2019-10-08 16:16:52   作者:   来源:CTI论坛   评论:0  点击:


  安全研究人员发现一个具备新式攻击手法的RAT程式,能修改浏览器元件而拦截加密HTTPS流量,达到监视上网行动的目的。
  HTTPS的安全性存在於浏览器和网站之间的资讯交换,以加密防护使第三方不得存取。卡巴斯基研究人员4月发现一只被称为Reductor的远端存取木马(RAT)程式,则是用来突破这段防护。
  Reductor包含两阶段攻击面向。第一是利用名为COMPfun恶意程式下载软件模组到受害系统上,COMPfun和俄罗斯APT黑客组织Turla有关。攻击第二阶段则发生在当受害PC从其他合法网站下载软件过程中。研究人员相信攻击者有能力在合法软件下载途中加入恶意元件,以致於抵达PC时已带有恶意程式。因此研究人员认为Reductor背後的黑客组织,已经可控制受害者的网络 通道。
  当Reductor植入受害系统时,能变造已安装的数位凭证、并修改PC浏览器(包括Chrome或Firefox)的「伪随机数生成器」(pseudo-random number generation,PRNG)元件。PRNG用途是在浏览器和HTTPS网站进行TLS交握时,产生乱数以便加密主机和用户端间的流量。
  研究人员指出,这也是Reductor厉害之处,因为他们完全没有动到网络 封包,而是分析Firefox程式码及Chrome的二进位码,在行程记忆体中加上相应的PRNG函式,对每道HTTPS流量加上独特软、硬件辨识码,这个过程被称为patch。当浏览器被patch之後,PRNG产生的数值变得不那麽随机,黑客就得以接收及辨识所有从浏览器存取的资讯和行为。过程中受害者无从察觉,让攻击者得以长期监控而不被发现。
  研究人员表示这类对浏览器加密动手脚的攻击手法也是现所首见,虽然他们尚无法断定Reductor背後攻击者身份,但以其技术之高明判断,应该也是国家支持的黑客组织所为。研究人员呼吁所有企业小心为上,确保敏感资料的安全性。
【免责声明】本文仅代表作者本人观点,与CTI论坛无关。CTI论坛对文中陈述、观点判断保持中立,不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考,并请自行承担全部责任。