AG公司云
暗云III木马程序清静威胁通告
2017-06-15
克日 ，一款名为暗云III的木马被发明在网络上有大面积的攻击行为 ，该木马通过下载站点大规模撒播 ，随后会熏染磁盘MBR来实现开机自动 ，大宗用户被检测到受熏染。
攻击者可以将受熏染的用户可以作为僵尸网络来举行漫衍式拒绝服务攻击（DDoS） ， 挟制流量来牟利等。
参考链接：
http://www.freebuf.com/articles/system/134017.html
https://www.leiphone.com/news/201706/7pcuo6TVrAJO5UY4.html
木马行为概述
攻击者通过patch正常的游戏微端将shellcode捆绑到正常的程序中来举行推广撒播。通过差别的patch代码 ，差别的shellcode将会被执行 ，包括替换原本加载的资源并挪用新的shellcode来加载PE文件 ，该PE文件会对种种条件举行判断 ，只有切合条件才会下载暗云III的熏染程序到外地。这些条件包括检测是否为虚拟机 ，是否位于网吧 ，是否检测到杀毒软件等。在知足这些条件后 ，暗云程序会熏染并修改MBR ，实现在系统中潜在并在系统每次运行时挪用其内的另一shellcode。该shellcode会随后下载更多的�？橐约吧柚梦募� ，攻击者可以通过设置文件对熏染的主机宣布指令。
建议计划
1. 用户行为
- 用户应该提高上网清静意识 ，在官方站点下载应用软件 ，以免下载到被木马熏染的软件。
- 按期备份主要的文件及数据 ，包管敏感信息的清静。
2. 终端防护产品
用户应该在当田主机上装置终端防护产品 ，如金山V8+企业清静终端 ，实时发明与查杀恶意软件。
3. 软件检测
在未装置终端防护软件的情形下 ，针对从网络下载下来的不明软件可以通过NSFOCUS威胁剖析中心（https://poma.nsfocus.com/）举行信誉剖析或者提交TAC产品举行清静监测。
4. 服务类
- 短期服务：AG公司科技工程师现场木马后门整理服务。确保马上消除网络内相关危害点 ，控制事务影响规模 ，提供事务剖析报告。
- 中期服务：提供3-6个月的危害监控与巡检服务（IPS+TAC+人工服务）。恒久对此恶意样本举行检测 ，�；た突低城寰�。
- 恒久服务：基于行业营业危害解决计划（威胁情报+攻击溯源+专业清静服务）
