越危险之处越"安全":瑞星黑客决战卡卡网

guyou888

越危险之处越"安全":瑞星黑客决战卡卡网

来自：MACD论坛(bbs.macd.cn) 作者：guyou888 浏览：1822 回复：0

瑞星官方网站于7月26日被黑客入侵并“挂马”，由于瑞星官网在其杀毒软件客户端上存在文字连接，此次黑客入侵事件可能导致大量瑞星用户被“黑”。目前，瑞星方面已经对这起挂马攻击行为进行拦截， 并阻止木马病毒的下载。

黑客攻击详情 此次黑客入侵所选攻击目标包括微软尚未提供补丁的Office 0day漏洞以及FireFox3.5版漏洞等多个漏洞，黑客挂马主要是通过网站的WEB漏洞入侵。另外，黑客可能已经获得了该网站的高级权限，并能随意在网页中添加恶意代码。 病毒表现形式 用户浏览瑞星部分页面后，电脑将自动下载运行“机器狗”木马变种，能破坏杀毒软件并穿透系统还原，使网游和网银账号面临极大的失窃风险。


瑞星官网被挂马网页中包含的恶意代码

入侵诱因 此次黑客入侵可能是一起黑客团伙恶意报复行为，由于瑞星“云安全”系统监控并拦截挂马网站攻击，被断了财路的黑客团伙则不断攻击瑞星网站。此前一直有黑客团伙对瑞星网站进行不间断的扫描，寻找攻击入口。 目前，瑞星公司已经对官方网站卡卡网服务器进行修复和整理，卡卡网恢复正常访问。


瑞星：已清除网页中的脚本病毒

赛迪观点 此次黑客将木马隐藏在瑞星官方网站中，选择了最危险的地方隐藏自己，使得大量瑞星用户面临风险。好在目前黑客入侵行为已基本得到控制，才没有给更多用户带来威胁。

瑞星声明原文 瑞星声明：警告黑客团伙停止作恶 卡卡网可以正常访问 7月27日中午，瑞星“云安全”系统成功截获黑客团伙向“瑞星卡卡”网站植入木马，瑞星随即对网站服务器进行修复和整理，目前卡卡网可以正常访问。被挂马网页位于瑞星卡卡网，访问人群多为瑞星用户，因为瑞星软件完全能够拦截这起挂马攻击行为，并阻止木马病毒的下载，请广大用户无须恐慌。 瑞星工程师认为，这是一起明显的黑客团伙恶意报复行为，由于瑞星“云安全”系统能够全面监控并拦截挂马网站攻击，被断了财路的黑客团伙一直在攻击瑞星网站。自7月初以来，某黑客团伙利用位于118.123.11.29（代理地址）的服务器对瑞星网站进行不间断的扫描，寻找攻击入口。 瑞星已将相关资料上报公安部门，并警告该团伙悬崖勒马，停止对瑞星以及其它网站的攻击。 瑞星互联网攻防实验室将该黑客组织命名为“X团伙”，自6月份开始，瑞星工程师与“X团伙”进行过多轮交手，先后通过卡卡社区公布过三个被该团伙侵入的网站分析日志，帮助数十个网站管理员弥补漏洞，防范此类攻击。并且，瑞星工程师还通过“云安全”系统，对“X团伙”的攻击信息随时进行密切跟踪，随时把其使用的代理服务器IP及挂马地址加入到黑名单，这样即使其攻陷了一些网站植入病毒，用户访问这些网站时杀毒软件也会进行拦截，完全可以确保用户不会中毒。 根据瑞星“云安全”系统数据，“X团伙”进入7月份以来，已经攻击了200多个网站，以政府网站、高校网站和娱乐网站为主，受害用户甚至包括某省政府门户网站、检察院网站及公安网站。该团伙通常会先利用傀儡服务器对被害网站进行嗅探、扫描和渗透，然后利用SQL注入获取服务器权限，再把挂马网站地址嵌入到网页中，这样当用户访问受害网站时，就会被木马程序侵入。 仅7月21日当天，该团伙就先后使用了59.54.54.92和118.123.11.29两个IP地址的服务器进行攻击，前者甚至是位于江西九江电信IDC机房的服务器，通常这种服务器运算能力强，而且IDC机房的带宽也大，攻击能力强悍。通过大量的扫描和嗅探，该团伙终于在卡卡网站一个访问量较小的网页频道上找到了薄弱点，对其进行了注入攻击。幸好由于发现及时，而且瑞星杀毒软件已经能够拦截嵌入的恶意网址，从而使得此次攻击并未影响太多普通用户。
目前，瑞星公司已经掌握了大量的证据，包括该团伙使用的服务器地址、IP、攻击过的网站列表，受害用户的数量等，并已经把这些数据上报给了公安部门。等待该团伙的，必将是覆灭的下场。