黑客施展“花式取名”大法，借罗技软件漏洞下发远控木马

2019-10-25 12:28:59
我要分享


微信扫码分享

人们耳熟能详的外设巨头罗技（Logitech）创立于1981年，相比于这栋超级大厦“坚如磐石”的硬件生态，它家的软件却显得有些“百密一疏”。近日，360安全大脑监测发现，不法黑客团伙已盯上这家科技巨头，并利用其软件中一个老版本模块的漏洞，精心构造了一个裹挟恶意代码的迷惑圈套，大肆传播远控木马。

此次利用罗技软件漏洞传播的远控木马，先是伪装成迷惑性文档，再借助QQ、微信等即时通讯软件扩散，并释放木马窃取用户私密信息，严重侵犯人身和财产安全。不过广大用户无需过分担心，360安全大脑已第一时间拦截该木马攻击，为避免遭遇不法黑客入侵，用户可下载安装360安全卫士保护数据和财产安全。

漂在微信QQ中的钓鱼压缩包，远控木马魔盒“一开即启”

在黑客圈子，远控木马可以说十分常见，怎么这次就扩散全网？关键就在于不法黑客团伙的千层套路。360安全大脑朔源分析发现，居心叵测的黑客团伙，将整个漏洞利用套件打包成极具诱惑性的压缩包，例如白领必看的“客户资料.rar”，再通过微信、QQ等广撒全网。当不明真相的用户解开压缩包后，会看到四份文件（如下图），其中“身份证正面.com” 正是存在着漏洞的罗技软件模块。一旦点开，黑客就能利用该漏洞潜进目标电脑，释放并执行恶意代码。

当然，诡诈的黑客团伙为了骗到更多人，还施展了“花式取名”大法。360安全大脑监测显示，包括“小企鹅.exe”、“运行我上线.exe”、“声卡待遇合作表.exe”、“ios安卓上架价格.exe”、“QQ图2019setup.com”、“支付订单setup.com”、“充值单号setup.com”、“ICP备案截图setup.com”在内的数十个“陷阱”文件，实际均为包含漏洞的罗技软件模块。

（部分伪装诱导文件名称）

至于远控木马究竟有何危害？今年3月，厦门警方就破获了一起通过远控木马，实施远程查看，操纵目标电脑，进而盗取钱财的案件；5月，360安全大脑也拦截到伪装成“个人信用申请表格”文件的远控木马，不法分子通过控制目标电脑，挪用受害者巨额游戏币并转卖获利；总的来说，利用远控木马，不法分子可任意窃取个人信息、账号密码、机密文件，盗取钱财、转移数字货币等，进而威胁个人人身及财产安全。

先用罗技“缓冲区溢出”漏洞，再用“数字签名”障眼法

罗技的程序代码，在处理配置数据过程中，存在一个经典“缓冲区溢出漏洞”，而这个漏洞其实是开发者没有严格对待数据临时缓冲区的长度造成的。如下图所示，规定存放配置数据的缓冲区buf数组的长度为520（十六进制为0x208），然而在实际使用时并没有保持一致，拷贝的目标数据最大长度反而增大到0x3ff，导致了越界拷贝情况的发生。