我原本认为,在听音乐这件事上,最不需要的就是提心吊胆了。直到又一例隐藏恶意代码的wav音频文件曝光,隐写术的魔爪终于从png和jpg伸向wav文件。
![](https://5b0988e595225.cdn.sohucs.com/images/20191101/01c5f846fff94143aac39898ffdb8f42.jpeg)
10月17日,BlackBerry Cylance威胁研究人员最新发现:wav音频文件中嵌入模糊恶意代码。
播放时,你听到的wav文件发出的音乐没有明显的毛刺或质量问题,甚至还有点动听。背地里,音频加载程序解码并执行音频数据中的恶意代码,目标很清晰,就是挖矿。
![](http://5b0988e595225.cdn.sohucs.com/images/20191101/19903eb4daff4c8c94341d3d84ad35dd.jpeg)
无独有偶,俄罗斯Turla也用过这一招。今年6月,俄罗斯网络间谍组织Turla就创意性地将恶意代码隐藏在W**音频文件中并传输至攻击目标,这也是全球首个用W**文件传播恶意代码的攻击活动。有点不同的是,人家Turla组织不挖矿,而是用W**音频文件发起的国家级攻击活动,直接指向网络间谍入侵。
![](http://5b0988e595225.cdn.sohucs.com/images/20191101/985443c48c4344dea650275e5abfb5b5.jpeg)
Turla组织颠覆了以往文本、图片、链接等形式的局限,拉开了用W**音频文件传播恶意代码的大幕。
继Turla组织的间谍行动后,其他黑客也效仿了起来。
BlackBerry Cylance所发现的是全球首例用W**音频隐写术加密挖矿的网络攻击。受感染主机在下载并使用特定wav加载程序加载W**文件后,会绕开电脑杀毒软件与防火墙,安装XMRrig加密货币矿工应用程序,变身“挖矿机”。
BlackBerry Cylance研究与情报副总裁还补充说,现在Windows桌面和服务器上都发现这种隐写恶意代码的W**文件。简言之,个人及企业用户已暴露在了隐写术加持下的恶意攻击威胁中。
什么是隐写术?
安全员都知道,隐写术就是指将信息隐藏在另一种数据介质中的技术。例如,将纯文本隐藏在图像中,又例如将恶意代码隐藏在音频中。
![](http://5b0988e595225.cdn.sohucs.com/images/20191101/6eaa36debee34e7f982a1338c5cf671a.jpeg)
这挺鸡贼的,因为通过这种手段,暗藏恶意代码的文件就可以躲开安全软件的查杀拦截,甚至“洗白”享受白名单待遇,长久潜伏而不被发现。
隐写术在恶意程序开发中已经流行了十多年,最近开始,隐写术开始从PNG、JPG图片蔓延至W**音频文件。
我们以BlackberryCylance披露的报告威力进行分析,这类wav文件加载器可以分为以下三类:
采用最低有效位(LSB)隐写术的加载程序解码并执行PE文件。
加载程序采用基于rand()的解码算法来解码和执行PE文件。
加载程序采用基于rand()的解码算法来解码和执行shellcode。
(内容转载于FreeBuf.COM)