趨勢科技最近看到一些來自SOGOMOT和MIRYAGO家族的惡意軟體會用不尋常的方式來更新自己：它們會下載包含加密過設定檔案/二進位程式的JPEG檔案。不僅如此，我們認為這手法至少從2010年中就開始了。我們所看到的這惡意軟體最值得注意的地方是它會隱藏自己的設定檔。這些JPEG檔案放在亞太地區的網站上，並且被用在針對這地區的APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)目標攻擊上。
分析JPEG更新
雖然JPEG檔的內容加密過，我們還是可以解密並分析這些檔案的內容。我們可以將它們分成三類：
- 設定檔案（A型）
- 設定檔案（B型）
- 二進位內容（無論是DLL或EXE檔案）
第一種設定檔（A型）跟我們在其他惡意軟體所看到的類似。它包含讓惡意軟體可以執行來自攻擊者指令的資訊，更改設定/模組，並進行自我更新。這些設定內有其他惡意JPEG檔案的網址。此外，這些檔案顯示攻擊者可能已經成功入侵了目標組織，因為有些資料涉及特定的機器或個人。
第二種設定檔（B型）似乎和防毒軟體有關。它包含來自不同廠商的多種防毒產品程序名稱，以及目標網路內的主機名稱資料。這裡是一份B型檔案的部分，解碼後為：
Virus=*avp.exe*,*kavmm.exe*,*klserver.exe*|Kaspersky|*nod32kui*,*ekrn.exe*|ESET|*frameworkService*,
*mcshield*|McAfee|*smc.exe*,*rtvscan.exe*|Symantec|*kwatch.exe*,*kxeserv.exe*,*kxescore.exe*|Kingsoft|
*ravtask.exe*,*ravmond.exe*|Rising|*avguard*,*sched.exe*|Avira|*kvsrvxp*|jiangming|*avgrsx.exe*,
*avgwdsvc.exe*|AVG|*tmlisten*,*ntrtscan.exe*,*tmntsrv*|Trend Micro|*360sd.exe*|360sd|
*zhudongfangyu.exe*|360safe|*qqpcrtp.exe*,*qqpctray.exe*|QQPCMGR|
這個設定檔比遠小於A型設定檔。此設定內的某些值也證明了感染已經到了攻擊的第二階段。
除了設定檔案外，JPEG格式檔案也包含了可執行檔案，可能是惡意軟體本身的更新，或是想要安裝到受影響系統上的新惡意軟體。
JPEG檔案託管和外觀
這些JPEG檔案放在許多網站上，大多分佈在亞太地區。有某些網站看來是合法的內容，意味著可能是被入侵後託管這些檔案。
下面是我們所看到部分JPEG檔案的截圖：
趨勢科技已經獲得這些JPEG檔案的多個樣本，並且基於這些樣本，我們認為這種更新模式最早用在2010年6月，並且使用至今。更新的頻率也都大不相同：有些幾乎是每日更新，有些的更新間隔會隔了數月。
資料外洩
使用解密過設定檔案的資料，我們可以取得該惡意軟體所發送的電子郵件。這些郵件包含名稱為tplink2.bin的加密附件檔。此檔案包含以下資料：
- 受感染機器網路上的主機名稱和IP地址
- 惡意軟體所存取過的JPEG檔案列表
- 作業系統的詳細資訊，包括已安裝的安全更新
@原文出處：JPEG Files Used For Targeted Attack Malware作者：Jayronn Christian Bucu（資深研究工程師）
還不是趨勢科技粉絲嗎?想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚加入粉絲,各種粉絲專屬驚奇好禮,不定期放送中
按<這裡>下載 2013台灣進階持續性威脅白皮書
◎ 歡迎加入趨勢科技社群網站
