我们能相信自己的眼睛吗？MMPC最新日志

一晴空

http://blogs.technet.com/b/mmpc/ ... lieve-our-eyes.aspx原文链接
前几天，我们的一个客户提交一个样品（SHA1：fbe71968d4c5399c2906b56d9feadf19a35beb97，被检测为TrojanDropper：Win32/Vundo.L）。该木马劫持主机“ vk.com “和” vkontakte.ru “（在俄罗斯的社交网站），并将其重定向到92.38.209.252，用了一个不平常的方式实现
一个常用的方法劫持网站，通常是将其位于％SYSTEMROOT％\ SYSTEM32 \ DRIVERS \ etc目录中添加一个Windows hosts文件中的条目 。然而，当我们打开这个文件，对受影响的计算机，它并不包含任何有关“ vk.com“和“ vkontakte.ru“的条目，你可以看到在下面的例子 :
但是，当我们显示隐藏文件时，可以看到另一个“hosts”文件。它是隐藏的，如下面的例子:

有两个文件完全相同的名称，在“主机”，etc目录！怎么能这样呢？
正如我们所知，目录包含两个具有相同名称的文件是不可能的。当我们文件名复制到记事本，保存为Unicode文本文件，并打开十六进制编辑器，我们看到以下情形（上层为第一个“hosts”文件，较低的为第二个“hosts”文件） :

对于Unicode（UTF - 16），0x006F是在ASCII 0x6F中的字母“O”一样。但是，什么是Unicode的0x043E？我们可以发现它在Unicode图表（范围：0400 - 04FF）。以下是此表的一部分。

我们可以看到，0x043E的Unicode是一个Cyrillic字符，
所以隐藏的“hosts”文件，它看起来非常像英文字母“O” 。其实真正的主机文件 。当我们打开这个文件，我们可以看到，两个项目已被添加到文件的末尾：


这不是第一次了，我们已经看到了黑客使用Unicode字符，以误导人们。在2010年8月，中国的黑客透露投入运行一个可执行文件，以误导人们使用Unicode控制字符的把戏。黑客使用Unicode控制字符0x202E（RLO）的扭转一个特殊的文件名称，更改的文件名在Windows资源管理器的外观部分。

例如，有一个名为“picgpj.exe “的文件，如下：

“gpj.exe”这个名字的一部分，是特制的。当插入一个RLO字符在“gpj.exe”文件前，整个名字变为以下所示：

黑客还通常使用包含图标的图片文件。粗心的人把它当作一个图片文件，盲目双击打开它，从而运行可执行文件。显然，这没有用到unicode，只是社工学

我们能相信我们的眼睛吗？答案是... ... 并非总是如此
在HIPS区就有一篇关于unicode文章
反转后缀命名解析及过程
参见：http://bbs.kafan.cn/thread-1007705-1-1.html

吴伟宁

黑客童鞋什么都想得出来

飞霜流华

至于你信不信，我反正不信

恩，很难防的......不过，目前而言，似乎这种“漏洞”，使用的不多，但愿自己永远不会遇到....

andoyi

经典回复：“至于你信不信，我反正信了”

coco2006

深奥啊

柳生月如

乃观察很细致啊，学习了，貌似乃天天都在换头像，嘿嘿。

一晴空

那个，在HIPS区就有一篇文章
反转后缀命名解析及过程
参见：http://bbs.kafan.cn/thread-1007705-1-1.html

飞霜流华

一晴空 发表于 2011-8-14 17:08
那个，在HIPS区就有一篇文章
反转后缀命名解析及过程
参见：http://bbs.kafan.cn/thread-1007705-1-1.htm ...

我在扫描区每天换一只狮子，乃也在外面天天换个头像~~
这个还是建议添加到帖子里，在8楼，容易被人漏掉~~

一晴空

wy1091727248 发表于 2011-8-14 17:18
我在扫描区每天换一只狮子，乃也在外面天天换个头像~~
这个还是建议添加到帖子里，在8楼，容易被人漏掉~ ...

这次的头像很不错。暂时不换了
恩，对，把那个加到帖子里