0x1 前言 360互联网安全中心近日发现全球多个国家和地区的机构及个人电脑遭受到了一款新型勒索软件攻击，比于5月12日国内率先发布紧急预警，外媒和多家安全公司将该病毒命名为“WanaCrypt0r”（直译：“想哭勒索蠕虫”），常规的勒索病毒是一种趋利明显的恶意程序，它会使用非对称加密算法加密受害者电脑内的重要文件进行勒索，除非受害者交出勒索赎金，否则加密文件无法被恢复，而新的“想哭勒索蠕虫”尤其…
Eternalromance (永恒浪漫) 漏洞分析 1 环境 EXPLOIT: Eternalromance-1.3.0 TARGET: windows xp sp3 FILE: srv.sys 5.1.2600.5512 2 Exploit使用 我们可以发现工具包中有两个Eternalromance, 一个1.4.0, 另外一个是1.3.0。经过我一翻折腾也没有把1.4.0跑起来。无奈试了下1…
环境 EXPLOIT: Eternalblue-2.2.0.exe TARGET: win7 sp1 32bits srv.sys 6.1.7601.17514 srvnet.sys 6.1.7601.17514 PATCH: MS17-010 漏洞原理 srv.sys在处理SrvOs2FeaListSizeToNt的时候逻辑不正确导致越界拷贝。我们首先看下漏洞的触发点： unsigned int…
360烽火实验室 手机勒索软件是一种通过锁住用户移动设备，使用户无法正常使用设备，并以此胁迫用户支付解锁费用的恶意软件。这类大多伪装成系统类、色情类以及各式外挂类等软件诱导用户安装。尽管它们的锁屏样式、方式以及解锁方式不尽相同，但这类软件的目的却是一样的——谋财。 图1 360烽火实验室持续关注手机勒索软件 2016年360烽火实验室共捕获手机勒索软件约17万个，与20…
0x1 前言 360互联网安全中心近日捕获到一款“ceber”敲诈者木马变种，该变种与其他“ceber”敲诈者木马变种在代码执行流程上并没有太大区别。唯一值得注意的是，该木马利用CVE-2016-7255权限提升漏洞对自身进行提权。本文将分析该敲诈者对CVE-2016-7255权限提升漏洞的利用过程。 0x2 漏洞细节 出问题的代码位于win32k!xxxNextWindow中，由于…
近日，360互联网安全中心接到用户的反馈，说浏览器会莫名其妙地弹出各种广告，360浏览器也不幸背锅。这些广告的内容非常令人尴尬，比如壮阳的、防脱生发的……接到反馈后，我们的工作人员第一时间进行排查，发现广告源头来自腾讯新闻迷你首页不慎混入的一个恶意Flash，目前360已通报腾讯方面及时清除了恶意Flash。 源起“迷你首页” 相信大家对QQ的迷你首页都不会陌生，就像下图这样： 但恰恰就是这样一个…
摘 要 2016年全年，360互联网安全中心累计截获Android平台新增恶意程序样本1403.3万个，平均每天新增3.8万恶意程序样本。 2016年全年，从手机用户感染恶意程序情况看，360互联网安全中心累计监测到Android用户感染恶意程序2.53亿，平均每天恶意程序感染量约为70万人次。 根据移动端恶意程序感情况，经历2012-2014三年的高速增长期，2016年首次停止增长，说明手…
0x1 前言 在过完年开工之际，黑产从业者也回到了他们的工作岗位上，在短短的一周内，相继爆发了“纵情”敲诈者以及伪装QQ飞车外挂的“MBR”敲诈者两款国产敲诈者木马。国产敲诈者在敲诈金额，技术手段以及加密方式上都远远落后于国外的敲诈者木马，但国产敲诈者的最大优点就是能把握住卖点，比如以游戏外挂作为噱头。…
360烽火实验室 摘 要 360烽火实验室8月底发现了三组异常流量曲线，流量曲线呈现存活时间短，连续3天此消彼长的态势，访问量集中最高峰值达到近2万次。 大量可疑下载链接数指向的文件均为名称具有诱惑性、图标暴露的色情播放器类恶意软件，并且链接都包含固定的“list/日期”格式。 可疑下载链接均来自重定向跳转，流量数据包中的Set-Cookie的值都有一个十分明显的固定特征“cdm=http”…
前言 前段时间，Crysis敲诈者的同门——XTBL木马在服务器上的敲诈风波刚刚平息，新的一波Wallet服务器敲诈又再起波澜。Wallet木马最早出现在11月末，虽爆发规模不算大，但是由于是针对服务器的攻击，造成用户的损失着实不可估计。根据360互联网安全中心的分析发现，这次的Wallet虽然也是通过服务器传播，但是入侵者采用了更多样的手法——不再仅仅是对3389端口的简单扫描了，而是更有针对性…