环境 EXPLOIT: Eternalblue-2.2.0.exe TARGET: win7 sp1 32bits srv.sys 6.1.7601.17514 srvnet.sys 6.1.7601.17514 PATCH: MS17-010 漏洞原理 srv.sys在处理SrvOs2FeaListSizeToNt的时候逻辑不正确导致越界拷贝。我们首先看下漏洞的触发点： unsigned int…
360烽火实验室 手机勒索软件是一种通过锁住用户移动设备，使用户无法正常使用设备，并以此胁迫用户支付解锁费用的恶意软件。这类大多伪装成系统类、色情类以及各式外挂类等软件诱导用户安装。尽管它们的锁屏样式、方式以及解锁方式不尽相同，但这类软件的目的却是一样的——谋财。 图1 360烽火实验室持续关注手机勒索软件 2016年360烽火实验室共捕获手机勒索软件约17万个，与20…
0x1 前言 360互联网安全中心近日捕获到一款“ceber”敲诈者木马变种，该变种与其他“ceber”敲诈者木马变种在代码执行流程上并没有太大区别。唯一值得注意的是，该木马利用CVE-2016-7255权限提升漏洞对自身进行提权。本文将分析该敲诈者对CVE-2016-7255权限提升漏洞的利用过程。 0x2 漏洞细节 出问题的代码位于win32k!xxxNextWindow中，由于…
近日，360互联网安全中心接到用户的反馈，说浏览器会莫名其妙地弹出各种广告，360浏览器也不幸背锅。这些广告的内容非常令人尴尬，比如壮阳的、防脱生发的……接到反馈后，我们的工作人员第一时间进行排查，发现广告源头来自腾讯新闻迷你首页不慎混入的一个恶意Flash，目前360已通报腾讯方面及时清除了恶意Flash。 源起“迷你首页” 相信大家对QQ的迷你首页都不会陌生，就像下图这样： 但恰恰就是这样一个…
摘 要 2016年全年，360互联网安全中心累计截获Android平台新增恶意程序样本1403.3万个，平均每天新增3.8万恶意程序样本。 2016年全年，从手机用户感染恶意程序情况看，360互联网安全中心累计监测到Android用户感染恶意程序2.53亿，平均每天恶意程序感染量约为70万人次。 根据移动端恶意程序感情况，经历2012-2014三年的高速增长期，2016年首次停止增长，说明手…
0x1 前言 在过完年开工之际，黑产从业者也回到了他们的工作岗位上，在短短的一周内，相继爆发了“纵情”敲诈者以及伪装QQ飞车外挂的“MBR”敲诈者两款国产敲诈者木马。国产敲诈者在敲诈金额，技术手段以及加密方式上都远远落后于国外的敲诈者木马，但国产敲诈者的最大优点就是能把握住卖点，比如以游戏外挂作为噱头。…
360烽火实验室 摘 要 360烽火实验室8月底发现了三组异常流量曲线，流量曲线呈现存活时间短，连续3天此消彼长的态势，访问量集中最高峰值达到近2万次。 大量可疑下载链接数指向的文件均为名称具有诱惑性、图标暴露的色情播放器类恶意软件，并且链接都包含固定的“list/日期”格式。 可疑下载链接均来自重定向跳转，流量数据包中的Set-Cookie的值都有一个十分明显的固定特征“cdm=http”…
前言 前段时间，Crysis敲诈者的同门——XTBL木马在服务器上的敲诈风波刚刚平息，新的一波Wallet服务器敲诈又再起波澜。Wallet木马最早出现在11月末，虽爆发规模不算大，但是由于是针对服务器的攻击，造成用户的损失着实不可估计。根据360互联网安全中心的分析发现，这次的Wallet虽然也是通过服务器传播，但是入侵者采用了更多样的手法——不再仅仅是对3389端口的简单扫描了，而是更有针对性…
0x1前言 Locky敲诈者木马算是敲诈者木马中传播时间较长，变种较多的一款。在最近一段时间里，其变种Thor、Aesir开始频繁出现。这些Locky变种之间的核心加密功能代码几乎是相同的，只是改动了加密的后缀名，不过相比较老版本的Locky敲诈者，此类新变种在自我防御机制上有了较大改变，例如利用全局原子表代替注册表项存储标志字符串以应对对于相关注册表项的检测。不过即使填补了旧版Locky的坑，L…
360烽火实验室 一． 概述 近日，360烽火实验室发现有数千个样本感染了一种名为“DressCode”的恶意代码，该恶意代码利用实下流行的SOCKS代理反弹技术突破内网防火墙限制，窃取内网数据。这种通过代理穿透内网绕过防火墙的手段在PC上并不新鲜，然而以手机终端为跳板实现对企业内网的渗透还是首见[1]。 SOCKS是一种网络传输协议，SOCKS协议位于传输层与应用层之间，所以…