近日，騰訊安全聯合實驗室旗下反病毒實驗室的哈勃分析系統，發布了《六月威脅情報態勢報告——DarkComet惡意網絡協議篇》(以下簡稱《報告》)。《報告》顯示，哈勃分析系統對六月捕獲到的威脅情報進行協議解析后發現，DarkComet是按惡意網絡協議分類后最為活躍的木馬，該木馬以最新版本的變種為主，服務器主要分布在土耳其和俄羅斯。
六月DarkComet木馬趨勢變化圖
據了解，DarkComet木馬誕生于2008年，又稱“暗黑彗星”木馬，是國外有名的后門類木馬（也被稱為RAT，Remote Access Tool）。木馬運行后可執行大量的惡意行為，不僅記錄并上傳受害者輸入的密碼、攝像頭的內容等隱私信息，還可根據服務器的指令執行下載文件、啟動程序、運行腳本等控制操作，甚至還能以被控制的電腦作為跳板，對其它目標發起DDoS等網絡攻擊。2012年，木馬作者停止了對于這款木馬的更新，最新版本停留在5.4.1。
DarkComet木馬與服務器通信協議示例
《報告》指出，木馬在使用惡意網絡協議與C&C服務器進行通信的過程中，最顯著的特征存在于收發的網絡數據包之中。由于協議規定了數據包的內容和格式，只有滿足這些規范的數據包，才能被網絡通信的另一方解碼，將信息和指令順利地傳遞過去。而DarkComet木馬在與服務器進行通信時，所有的數據均會使用RC4算法進行加密和解密。當木馬和服務器使用同樣的密鑰時，就能互相接收對方的消息，在加密算法的保護之下，木馬和服務器會使用預定義的命令字進行通信和交流。
DarkComet協議常用命令示例
《報告》顯示，根據網絡包特征匹配對應的密鑰，發現目前活躍的DarkComet木馬以最新版本為主。
DarkComet常見默認密鑰及對應加密數據
哈勃分析系統在分析DarkComet木馬連接的C&C服務器情報時發現，目前活躍的木馬基本都會使用動態域名作為服務器域名使用，其中DarkComet木馬使用到的動態域名以“ddns.net”和“duckdns.org”為主，占比超過了50%。
DarkComet木馬使用動態域名分布
此外，通過解析域名對應的IP，進一步定位C&C服務器的地理位置發現，土耳其是DarkComet相關C&C服務器數量最多的國家，占到總量的30.2%，其次是俄羅斯和美國。
DarkComet木馬C&C服務器分布Top10國家
根據《報告》結果，哈勃分析系統建議用戶，始終從正規網站或官方網站下載和使用軟件，不要輕信小型網站、網盤分享的文件，也不要輕信群、論壇等社交渠道推薦的軟件，對于不放心的軟件，可以使用哈勃分析系統（https://habo.qq.com/）對其進行檢測，及時發現風險。此外，可安裝并使用安全類軟件，并隨時留意保持其處于可用狀態，例如開啟必要的安全防御措施、及時更新版本等，還可以配合使用一些防火墻類軟件，對于符合已知的惡意網絡協議特征的網絡數據包進行監控和攔截。
京公網安備 11010502049343號