首页 ›资讯› 安全 › 查看内容

黑客上演“换头术”：行业知名软件VSDC遭遇劫持攻击

2018-7-11 00:41 |来自: 互联网 2614 0

摘要: 360互联网安全中心发现国外知名音视频编辑器VSDC官网（http://www.videosoftdev.com）的软件下载链接遭到劫持，通过被劫持的链接下载软件的用户计算机中将被植入窃密木马、键盘记录器和远控木马。遭到劫持的站点访问 ...

360互联网安全中心发现国外知名音视频编辑器VSDC官网（http://www.videosoftdev.com）的软件下载链接遭到劫持，通过被劫持的链接下载软件的用户计算机中将被植入窃密木马、键盘记录器和远控木马。

遭到劫持的站点访问量较大

VSDC音视频编辑器在国外小有名气，其官网http://www.videosoftdev.com在Alexa全球排名前两万之中。此次遭到劫持的下载链接正是VSDC最为知名的软件Free Video Editor的下载链接（http://downloads.videosoftdev.com/video_tools/video_editor_x64.exe和http://downloads.videosoftdev.com/video_tools/video_editor_x32.exe），从Alexa给出的搜索热度看，Free Video Editor是搜索热度最高的VSDC产品。

图1 Free Video Editor是搜索热度最高的VSDC产品

正常的下载链接遭替换

这次下载链接劫持事件在三个时段发生。6月19日凌晨1点30分开始发生第一次下载链接劫持；7月2日18点黑客更换了劫持指向的域名后开始第二次劫持，这次劫持规模较小，可能是黑客为后续的行动进行测试；7月6日17点左右开始第三次劫持，劫持指向的域名与第二次劫持相同，此次劫持规模较大。

图2 VSDC下载链接劫持时间线

一般情况下，用户从VSDC下载Free Video Editor是通过页面http://www.videosoftdev.com/free-video-editor/download进入的。用户点击页面中的“Download Video Editor”按钮之后，站点将根据用户选择的版本跳转至http://downloads.videosoftdev.com/video_tools/video_editor_x64.exe或http://downloads.videosoftdev.com/video_tools/video_editor_x32.exe执行下载。然而在此次劫持事件中，当用户点击“Download Video Editor”按钮后页面跳转至hxxp://5.79.100.218/_files/file.php（6月29日发生的劫持）或hxxp://drbillbailey.us/tw/file.php（7月2日之后发生的劫持），并从这两个站点上下载假的Free Video Editor。

图3 下载链劫持发生时与正常情况下对比图

图4 劫持指向的站点

向用户计算机中植入窃密木马、键盘记录器和远控木马

下载链接被劫持时，用户下载的假的Free Video Editor并非exe格式的可执行文件，而是一个Javascript脚本，为了躲避杀毒软件的查杀，脚本进行了多层混淆。解开混淆后的脚本内容如图5所示。

图5 解开混淆后的Jabvascript脚本内容

这段脚本借助Powershell从hxxp://185.25.51.133/_files/file1.exe，hxxp://185.25.51.133/_files/file2.exe和hxxp://185.25.51.133/_files/file3.exe下载三个文件到计算机中执行，这些文件同样经过多层混淆，在下文中将用file1，file2和file3表示这三个文件。

file1是个窃密木马，窃取用户计算机中保存的密码、虚拟货币钱包等敏感信息，包括Electrum钱包、Skype本地存储、Telegram账号密码、Steam账号密码和屏幕截图。这些信息将被发送到hxxp://system-check.xyz/index.php。

图6 file1窃取敏感信息代码截图

file2是一个键盘记录器，会记录用户所有的键盘输入并发送到hxxp://wqaz.site/log/index.php。

图7 file2发送键盘输入代码截图

file3是一个Hidden VNC远控木马。Hidden VNC是在受害用户计算机中创建一个新的Windows桌面以隐藏黑客对计算机鼠标、键盘操作的技术，这项技术被各大流行银行木马所使用。File3也是使用Hidden VNC技术的远控木马，C&C为hxxps://185.25.51.152:443。