黑客冒充火绒域名 黑客利用云服务器漏洞投放后门病毒
黑客可以通过域名前置攻击，隐藏真正的C&C服务器域名，从而欺骗安全检测设备、误导分析人员的溯源分析。除所述后门病毒外，我们监测到近期还有很多此类具备域名前置的病毒样本在传播。
值得警惕的是，黑客选取用来冒名顶替的域名都是有较高信任度的域名，以此获取信任躲避审查。除了火绒以外，所有在该云平台上使用CDN服务的厂商都有可能会受到此类攻击的影响。
实际上，为了避免此类攻击，基于Google、亚马逊等云服务提供商早已在2018年和2020年禁用域名前置。目前，我们已经将该情况反馈至相关漏洞平台，并同步给所述云厂商，该厂商也已确认此事，表示将于近日修复该逻辑漏洞。
1、详细攻击方式分析
根据火绒工程师排查分析，病毒通过域名前置技术，最终访问真实的C&C服务器的主机名为http://down1.huorong.cn，该主机名对应的CNAME响应指向病毒要连接到的源站地址为（121.199.1.32）。
而该主机名在早期已被黑客抢注，其所指向的C&C服务器源站地址（121.199.1.32）与火绒无关。除此之外，我们还发现了更多此类曾被C&C服务器所使用的主机名，此类主机名与火绒均无任何关联。相关主机名及CNAME，如下图所示：
曾被C&C服务器所使用的主机名
上述CNAME与源站地址对应关系，如下图所示：
上述CNAME与源站地址对应关系
病毒与C&C服务器通讯流程，如下图所示：
病毒与C&C服务器通讯流程
病毒与C&C服务器通讯数据包内容示意图，如下图所示：
病毒与C&C服务器通讯数据包内容示意图
2、本次出现病毒代码分析
前文中所述病毒样本为使用域名前置技术的Cobalt Strike后门病毒，该病毒在请求远程恶意代码和获取后门指令时均使用了域名前置技术。病毒请求远程恶意代码时所使用的域名前置逻辑，如下图所示：
病毒请求远程恶意代码时所使用的域名前置逻辑
远程恶意代码下载地址为：hxxps://http://down1.huorong.cn/2IF119（该下载地址只在云服务商的CDN集群内部有效），该数据为混淆后的Cobalt Strike后门shellcode代码。调用shellcode相关恶意代码逻辑，如下图所示：
调用shellcode相关恶意代码逻辑
shellcode入口与原始代码解密相关代码，如下图所示：
shellcode入口与原始代码解密相关代码
解密后的shellcode主要用于解密后门病毒的原始代码，相关代码逻辑，如下图所示：
解密后门病毒的原始代码
原始PE镜像在映射过程中会跳过PE头数据，所以在内存中执行时不会出现完整的映射后PE镜像。原始PE为后门病毒，部分后门指令处理逻辑代码，如下图所示：
部分后门指令处理逻辑代码
3、同源样本分析
除此之外，还有更多此类病毒样本利用此类方式下发远程恶意代码。相关病毒行为，如下图所示：
相关样本恶意行为
经分析，我们发现此类样本与报告中所述样本存在同源性，且shellcode下发流程与shellcode混淆形式也完全相同。与报告中提到的shellcode下发方式相同，都是直接将shellcode以二进制形式下发到受害人终端，且数据没有经过任何加密。两者的shellcode入口代码也存在一定的相似性，代码对比情况如下图所示：
shellcode对比图
4、附录
病毒样本hash
推荐站点
牛嘎视频解析
牛嘎vip视频解析网提供最专业的vip会员视频解析，具体包括有：vip电影和vip电视剧免费看、全民解析VIP视频免费看、在线解析、vip视频解析、优酷vip解析、爱奇艺vip解析、腾讯vip解析、乐视vip解析、全网影视vip、芒果vip解析等。
niuga.cn户户通卫星直播中心
户户通,国家新闻出版广电总局广播电视卫星直播管理中心,广播电视卫星直播管理中心,卫星直播管理中心,卫星直播中心。 国家广播电视总局广播电视卫星直播管理中心（简称：卫星直播中心）成立于2011年10月，是经中央编办批准设立的总局直属事业单位。主要负责卫星直播节目平台的建设、播出、运行、管理；组织开展卫星直播广播电视公共服务工作；服务管理卫星直播广播电视用户，受理用户反馈意见和投诉；推进卫星直播广播电视新技术新业态创新融合发展；制订卫星直播技术发展规划，跟踪研究相关新技术,组织技术开发和应用研究；承办总局交办的其他事项。
www.huhutv.com.cnGBT乐赏游戏空间
GBT乐赏游戏空间网站其实是一个共享网盘，其中整理了2006年到现在的各种热门的大型单机游戏，网站内是以时间分类的文件夹。由于是共享网盘，所以网站目前不支持游戏检索，但可以使用“Ctrl+F”进行页面搜索。
gbtgame.ysepan.comopenAI
OpenAI 的知名度在今年 1 月初还仅限于科技圈内，但伴随着 ChatGPT 的全球火爆，OpenAI 进入公众视野。OpenAI 自推出 ChatGPT 预览版之后，网站访问量快速攀升，目前已跻身全球 TOP50 网站。 OpenAI 网站在去年 11 月的全月访问量为 1830 万，主要访问人群是技术社区。而在今年 1 月份，该网站的访问量突破了 6.72 亿，增长了 3572%。 OpenAI is an AI research and deployment company. Our mission is to ensure that artificial general intelligence benefits all of humanity.
openai.com互联网档案馆
互联网档案馆（网址web.archive.org），是一个公益项目，专门收集互联网上的各种信息，例如视频、音频、网页等等并存储在他家的服务器中。 互联网档案馆（英语：Internet Archive）是美国的一个由Alexa创始人布鲁斯特·卡利创办于1996年的非营利性的、提供互联网多媒体资料文件阅览服务的数字图书馆，总部位于加利福尼亚州旧金山的列治文区，其使命是“普及所有知识”（英语：universal access to all knowledge.）[注 1][注 2]。该“档案馆”提供的数字资料有如网站、网页、图形材料音乐、视频、音频、软件、动态图像和数百万书籍等的永久性免费储存及获取的副本。 迄至2012年10月，其信息储量达到10PB（即10,240TB）[5][6]。除此之外，该档案馆也是网络开放与自由化的倡议者之一。 ——摘自维基百科 其中值得关注的就是他们的网页备份项目。这个项目已经做到了对于非常多的网页，对于每一个版本都留下了历史记录。即通过这个项目可以访问大多数网页的任意时间节点的版本，即使这个网站本身已经关停. 为了将这个由字符组成的文明尽可能地保存下来，美国的一家名为互联网档案馆（Internet Archive）的非营利性数字图书馆，收集了大量的网页、视频、音频、软件和电子书。 互联网档案馆从 1996 年起利用网络爬虫抓取了大量网页并存档，至今已经超过 3510 亿个网页，其称为「时光机」（Wayback Machine）项目。 「时光机」的页面非常简洁，只有一个输入栏和搜索按钮，有点像 Google 等搜索引擎。在输入栏输入你想「回到过去」的网站，选择想要穿越日期，就能查看当天被保存下来的网页截图。
web.archive.org阿里研究院
阿里研究院成立于2007年，是国内互联网企业中第一家内设研究智库。过去12年，阿里研究院见证、参与和推动了电子商务、数字经济的发展，已成为在国内外数字经济和数字治理研究领域具有广泛影响力的企业智库。 阿里研究院秉承开放、分享、透明、责任的互联网精神，扎根阿里巴巴数字经济体丰富的商业生态，依托海量的数据和案例，洞察新知、共创未来，引领着数字经济和数字治理研究。
www.aliresearch.com全历史
全历史(Allhistory）以AI知识图谱为核心引擎，通过高度时空化、关联化数据的方式构造及展现数字人文内容，尤其是历史知识。让用户沉浸在纵横开阔、左图右史的（历史、人文、社科等）知识海洋中。
www.allhistory.com易搜-网盘搜索
易搜（网站）一个在线网盘资源搜索网站，界面清爽干净而且完全免费，一键聚合四大网盘资源搜索，非常给力！ 易搜(yiso.fun)，一个在线网盘资源搜索网站，一次搞定四大平台！直接在输入框里输入关键词即可开始检索，可以选择特定的搜索线路，或者直接搜索四大网盘资源。
yiso.fun软仓
软仓是一个集合专业软件的导航网站，免费下载供学习使用，本站承诺无毒无广告，纯公益项目，不以此盈利. 软仓是一款免费的设计软件分享网站，收录的都是设计软件，已收录 385 个专业软件，包括 Adobe 系列、AutoCAD、平面设计、三维设计、影视动画、建筑设计、机械设计、电子电路。 软件都是学习版，基本更新到了最新版本，提供了百度网盘下载链接，直接点击即可获取保存或下载。 开发者承诺网站永远免费下载，永远保持网站面貌干净整洁，纯公益项目，不以此盈利为建站目的，全凭兴趣爱好。
www.ruancang.net