病毒预警正文
病毒预报 第八百一十一期
发布时间:2019-10-21

国家计算机病毒应急处理中心通过对互联网的监测,发现名为“Novter”的新型僵尸网络,该僵尸网络采用无文件技术,隐蔽性较强,主要通过广告流量欺诈获利。其传播攻击活动起始于2019年3月,主要受害者分布在美国和欧洲地区,并仍然在不断向更多地区传播扩散。经溯源分析,该僵尸网络可能是由KovCoreG僵尸网络的运营者开发和运营的。

攻击者主要利用钓鱼网站,以Adobe Flash播放器安装包为诱饵,利用社会工程学欺骗用户下载安装。用户下载恶意安装包后,会下载执行恶意HTA程序,进而从远程服务器下载被加密处理的恶意的PowerShell脚本代码(基于开源项目“Invoke-PSInject”)。该恶意脚本能够利用CMSTPLUA COM接口绕过Windows UAC保护机制,并关闭Windows Defender防护软件和Windows Update更新程序。同时,该恶意脚本还会在内存中释放执行Novter后门程序,能够根据攻击者的指令实现进程操作、文件操作、自更新等恶意功能,并具有较强的对抗沙箱等自动化分析能力。Novter采用了模块化结构,具有三个主要的功能模块,功能分别如下: (1)显示虚假的技术支持页面以欺骗受害用户; (2)滥用WinDivert网络数据包分析工具,拦截杀毒软件的网络通信; (3)使用NodeJS和io模块开发的代理服务器模块“Nodster”,实现代理服务器网络,为实施流量欺诈创造条件。

值得注意的是,攻击者为了掩盖其流量欺诈行为,故意将产生虚假网络点击的客户端伪造成Android设备,以干扰检测和分析。






联系方式: 
国家计算机病毒应急处理中心 
计算机病毒防治产品检验中心 

关闭