欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

移动平台流量黑产研究:色情播放器类恶意软件产业链

来源:360手机卫士 作者:佚名 时间:2017-01-08 TAG: 我要投稿

 第一章 冰山一角

随着互联网的迅猛发展和规模不断扩大,计算机网络不仅在工业、银行、科研教育等各个领域发挥重要作用,而且与我们的日常出行、购物、娱乐、社交等生活密不可分。网络在给我们带来便利的同时,也让一些不法分子嗅到了金钱的味道,产生了诸如钓鱼网站、DDOS攻击、DNS劫持、网络流量作弊、恶意程序分发等等黑色产业链。

一、异常流量

网络流量监测作为计算机网络的基础部分,在互联网大数据下通过对流量曲线的检测和分析,可以在第一时间获取特定时期内的网络负载情况、负载变化情况,直观的评估网络环境的健康程度,对于发现网络流量中的异常行为,可以提早发现问题和网络威胁,组织防范或恢复措施,避免带来严重的问题和损失。

360烽火实验室8月底发现了三组异常流量曲线,流量曲线呈现存活时间短,连续3天此消彼长的态势,访问量集中最高峰值达到近2万次。

1482913071984330.jpg

图1.1 异常流量曲线图

二、可疑链接

我们通过持续关注和分析,发现了更多(只列举其中10个)存在相似行为的网络主机,并且发现了相似的URL链接。

11.png

图1.2 可疑URL

这些可疑链接指向的文件均为名称具有诱惑性、图标暴露的色情播放器类恶意软件,并且链接都包含固定的“list/日期”格式。

三、链接重定向

链接重定向[1]就是把一个URL重定向到另一个URL上去。重定向即是把一个目录或者文件的访问请求转发至另外一个目录或者文件,当用户发出相应的访问请求时将自动跳转到指定的位置,常见的重定向有301(永久重定向)及302(暂时重定向)两种。

我们在溯源可疑下载链接的来源时发现,这些可疑链接都是在客户端请求某个链接时经过HTTP协议302码暂时重定向指向的链接。

1482913257562099.png

图1.3 重定向示意图

每个独立的下载链接之间看似不相干,但实际上都是存在相互关联的。经过一段时间的观察,我们发现客户端在不同时间内请求同一个链接时,返回的重定向页链接是不同的,并且从抽取的流量包中还发现这些网络流量中所返回的Set-Cookie的值都有一个十分明显的固定特征“cdm=http”。这种链接重定向跳转机制导致出现了上面提到的大量可疑下载链接。

1482913310462300.png

图1.4 请求同一链接重定向到不同的地址

四、分发模式

(一) 分层

通过可疑下载链接的表现形式、利用的HTTP协议302码暂时重定向特性以及流量包中的固定特征“cdm=http”,我们关联出更多网络主机间的关系

1482913379399649.png

图1.5 更多网络主机关系

它们之间关系表现为分层结构主要分为三层,中间层向上指向同一IP,向下指向多个下载链接,我们将上层命名为“IP层”,中层命名为“跳转层”,下层命名为“下载层”。

1111.png

图1.6 三层结构

(二) 控制模型

从上面的实例分析,我们抽象出一个三层控制模型,通过控制模型实现对色情播放器类恶意软件的传播。

1482913484894969.png

图1.7 三层控制模型

下载层:表现为链接每天频繁地变化,出现和消亡的周期短,短时间内访问集中爆发;
跳转层:表现为采用HTTP协议302码暂时重定向,灵活切换控制下载层,与下载层相比数量相对收敛;
IP层:表现为对跳转层的集中控制管理,与下载层和跳转层相比更为收敛,变化程度小。

第二章 始作俑者

色情播放器类恶意软件数量近几年呈现爆发式增长,软件总量达到千万量级,时刻威胁着用户手机及财产安全。“天下熙熙,皆为利来;天下攘攘,皆为利往”,这类恶意软件之所以“兴起”,它的背后一定潜伏着巨大的利益与诱惑。我们对色情播放器类恶意软件的来源、危害和传播方式进行了长期关注,揭开了其背后的黑色产业链。

一、重要线索

我们通过网络流量的分析,在“mppay.net”域名下,发现了一个APK包的渠道分发状态后台。后台页面清楚得展示出400多个渠道编号、更新日期时间和对应的下载链接。

1482913572310153.png

[1] [2] [3] [4] [5] [6]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载