木马程序已成为一种无处不在的网络威胁。无论是个人终端设备、企业服务器，还是家庭路由器和工业控制系统，都可能成为木马的攻击目标。
面对这种难以察觉的威胁，电子数据司法鉴定已成为揭示攻击全貌的关键力量。目前，奇安信洞鉴已深度参与了20余起木马攻击案件，覆盖财务诈骗、虚假推广、信息窃取、网络操控等多种场景，我们通过对攻击行为的深入分析及取证鉴定，切实保护了企业与个人的合法权益。
01
木马程序作为一种极具隐蔽性和破坏性的网络威胁，其技术在过去数十年里不断演进，变得愈发复杂。第一代木马以基本的密码窃取功能为主，而随后的几代木马在隐蔽性、数据传输技术、规避安全软件等方面不断进步。如今的木马不仅能够绕过杀毒软件，还可以深度隐藏在系统核心中，难以被检测和清除。
同时，随着智能设备的普及，木马的目标范围早已超越传统的电脑设备，扩展到智能手机、智能手表、企业服务器、家庭路由器，甚至工业控制系统。木马常常伪装成合法软件，悄然植入到受害者设备中。一旦成功感染，木马便能窃取敏感信息、控制设备行为，甚至劫持网络流量，用于实施大规模的网络攻击。
在奇安信洞鉴参与的木马案件中，尤以财务诈骗案最为典型。诈骗者通过微信、QQ群或电子邮件传播带有木马病毒的压缩文件，一旦财务人员点击并解压，木马病毒便悄然植入其电脑。随后，骗子通过木马获取电脑控制权限，“观察”公司财务的转账和内部交流，伺机作案。更为狡猾的是，骗子还会利用受控的财务人员聊天账号，将木马病毒进一步传播至其他财务交流或公司内部群聊，扩大影响范围。
除此之外，老年人使用的手机、家庭路由器、共享充电宝等设备因防护较弱，成为了木马攻击的“重灾区”，这类设备的失守，往往导致大规模的信息泄露和网络流量劫持，危害不可小觑。
木马的肆虐背后，是一条高度组织化的黑灰产业链。上游开发者不断推出更复杂、更隐蔽的木马程序，他们与中游的犯罪团伙合作，通过社交媒体、钓鱼邮件等方式大规模传播木马，控制大量设备。下游的非法牟利者则通过这些被控制的设备实施数据贩卖、网络诈骗等犯罪行为，获取巨额非法收入。
随着这一产业链的日渐成熟，使得木马攻击成为一种系统性、组织化的网络犯罪，严重威胁着社会的网络安全。
02
为应对这些日益复杂的木马攻击，奇安信洞鉴提供了全链条的解决方案，从事件的初期响应与取证，到木马的检测、排查和溯源分析，再到最终的功能性鉴定，为执法部门和受害者提供了强有力的技术支撑和法律保障。
01
初期响应与现场取证
当木马攻击事件发生时，第一时间的响应至关重要。首要任务是迅速隔离受感染设备，防止木马进一步扩散或销毁关键证据。木马通常具备自毁机制，一旦被检测或面临清除风险，可能会自动销毁自身甚至删除系统中的重要文件。
因此，对受感染设备进行物理隔离并对其进行全盘镜像，是确保原始数据完整性和证据保全的基础。全盘镜像技术通过复制整个硬盘的内容，保留了原始数据的所有细节，为后续的分析提供了可靠的依据。
02
木马检测与排查
取证完成后，木马的检测与排查是揭示攻击行为的关键步骤，通常结合静态分析和动态分析对木马程序进行全面检测。
静态分析是通过对文件进行筛选、代码反编译，以初步识别和定位木马程序。鉴定人员会根据案件的具体情况，首先查找与案件相关的聊天记录、电子邮件以及浏览器历史记录，从中找到与木马攻击相关的可疑文件。随后，使用反编译工具对这些可疑文件进行静态分析，解析其代码结构和功能，判断其是否为木马程序，并确定其潜在的恶意行为。
动态分析则通过功能复现，观察木马的执行行为及其对系统的影响。通过在隔离环境中运行木马样本，鉴定人员能够记录木马的网络通信、文件操作和系统改动行为，记录其与外部服务器的通信情况及对系统的影响，为更深入的溯源分析奠定基础。
03
木马溯源与关联分析
木马的检测与排查完成后，溯源分析则是揭露幕后黑手的关键步骤。
通过网络流量分析，捕获并分析木马与其控制服务器之间的通信行为，识别通信模式并追踪到木马回联的服务器IP地址，进而揭示其背后的操纵者。此外，提取出的木马文件特征信息（如文件哈希值、代码片段）可以与情报平台的数据进行匹配，从而识别出其他潜在的受害者，并进一步追踪到木马的开发者。
此环节将木马攻击链条上的所有细节逐一呈现，为执法部门的后续行动提供可靠依据。
04
木马功能性鉴定与分析
当案件告破后，电子数据司法鉴定的另一项重要任务是对木马程序的控制端和受控端进行全面分析。
在受控端的分析中，鉴定人员将深入检查木马在受害设备上执行的具体操作，包括系统权限的提升、设备数据和功能的篡改等。这一分析帮助明确木马在受控设备上所造成的实际影响和潜在的危害。
控制端的分析则侧重于解析木马与其控制服务器之间的通信协议和指令集，确定攻击者能够远程执行的操作类型和范围。此外，针对控制端服务器的数据库进行深入分析，可以揭示木马攻击的规模及目标分布。
为了更全面地理解木马的运作机制，鉴定人员通常会通过实验复现的方式，将控制端和受控端结合起来，在隔离环境中模拟木马的实际运行，进一步验证木马的功能和行为。
03
案例分享：
黑帽SEO案
目前，奇安信洞鉴已深度参与并处理了20余起复杂的木马网络犯罪案件，包括打印机木马案、路由器木马案，以及多起财务诈骗木马案等。这类案件技术手段多样，攻击目标广泛，涉及终端设备、服务器、路由器等多种终端设备。
在此，以一起涉及服务器木马植入的「黑帽SEO案」为例，分享奇安信洞鉴在木马案件中的实战经验。
SEO（搜索引擎优化）本应是通过合法手段提升网站在搜索引擎中的排名，但黑帽SEO则是通过不正当手段，快速提升赌博和色情网站的排名，严重扰乱了网络秩序。
在该案件中，某地公安机关在日常网络巡查中发现多个服务器存在异常流量。经过深入调查，发现这些服务器已被非法入侵，并植入了大量恶意外链，旨在通过操控搜索引擎算法提升非法网站的SEO排名。奇安信洞鉴应公安机关之邀，展开了深入的分析与取证鉴定工作。
01
聊天记录分析：确认犯罪团伙及其变现手段
在接到委托后，奇安信洞鉴团队迅速对犯罪嫌疑人的电脑和手机进行了全面的数据提取与分析。鉴定人员重点审查了嫌疑人的聊天记录，从中发现了与另一名同伙合作的线索。警方根据这一线索，顺藤摸瓜，成功抓捕了另一名“黑客”嫌疑人。
进一步分析聊天记录后，我们揭示了两名嫌疑人的作案细节：一人负责在互联网上寻找存在漏洞的网站，并植入轻量级木马程序进行初步入侵；另一人则利用这些木马程序，进一步提升服务器权限，并在目标服务器上植入多种木马，以确保对服务器的长期控制。每当木马程序成功控制服务器后，这些服务器中的网站“后门”便被以高价出售，交易资金通过虚拟货币结算，隐蔽且难以追踪。
02
服务器数据分析：确认受害资产
在对犯罪嫌疑人的设备进行全面数据提取后，奇安信洞鉴团队对主控服务器的数据进行了详尽的分析。我们加载了服务器的镜像文件，提取了关键的日志记录、远程连接记录等数据。通过深入审查，我们成功识别出受控端的IP地址、访问时间及执行的操作命令。
随后，我们积极协助公安机关进行现场勘查与远程勘查工作，识别并确认了超过300台的受害资产，明确了受害资产的具体范围和情况。
03
功能性鉴定：确认作案手法
鉴定人员通过加载镜像文件、仿真运行木马程序，解析其具体功能和运作机制，揭示了犯罪团伙如何利用这些木马程序对服务器进行持续控制。
首先，我们模拟了攻击者的操作步骤，将恶意动态链接库注入受控端的系统进程中。通过动态验证，确认木马程序成功注入系统进程后，能够获取并提升系统权限，从而在目标服务器上保持长期存在。
接下来，在主控端的虚拟机环境中，鉴定人员配置了网络通信，使其能够与受控端系统建立联系，并运行主控端程序。通过网络监听工具监控主控端与受控端之间的通信流量，我们发现主控端程序通过UDP协议与受控端保持通信，定期发送心跳包以确保连接的稳定性。这种持续的通信机制允许主控端随时向受控端下达指令，实现远程控制。
此外，我们还测试了受控端木马程序的反向Shell连接功能，确认受控端能够主动连接至攻击者指定的服务器（即主控端），并提供一个具备管理员权限的命令行接口，从而验证了木马程序的远程控制能力。
综上所述，犯罪嫌疑人利用网站存在的安全漏洞，通过入侵手段获取网站的控制权并植入后门，将“后门”出售给黑帽SEO运营者，以此为赌博、色情等非法网站进行搜索引擎推广。奇安信洞鉴通过详尽的分析和功能性鉴定，为揭露这一复杂的网络犯罪行为提供了关键证据，助力执法机关成功侦破案件。
在全球数字化进程不断推进的背景下，木马程序的威胁不仅限于技术层面的挑战，更深刻地反映了网络安全形势的复杂性和多变性。在处理木马攻击案件的过程中，奇安信洞鉴通过全链条的应对策略，从初期的现场取证，到木马检测、溯源分析，再到最终的功能性鉴定，形成了一套完整的应对体系。
展望未来，随着木马攻击手段的不断进化，网络安全领域面临的挑战愈加严峻。为此，奇安信洞鉴不仅将继续保持技术上的前瞻性，更将深化与奇安信集团威胁情报中心、盘古实验室及盘古石取证服务体系的合作，协同创新，共同攻克疑难案件，为社会构建一个更加安全、稳定的数字生态体系提供坚实保障。
奇安信集团旗下有北京、上海、西安三家司法鉴定所：北京网神洞鉴科技有限公司司法鉴定所、盘石软件（上海）有限公司计算机司法鉴定所与陕西洞鉴云侦科技有限公司司法鉴定所。其中，上海所是上海第一家通过 CNAS 认证认可的民营计算机类司法鉴定机构。三所均通过了CMA资质认定，是目前国内少数能够通过自主研发软件进行取证与分析的电子数据司法鉴定机构，具有独立的实验室场所，其中包括：案件受理区、数据恢复区、手机取证区、计算机取证区、屏蔽室、无尘工作间和物证室，并配备多种国内外先进的技术设备检验及辅助设备。经过多年的时间积累和发展，现拥有一批胜任鉴定工作的专业技术人员，以专业的技能和丰富的经验，来开展电子数据司法鉴定工作。开展的鉴定服务范围包括：电子数据司法鉴定、计算机证据固定和获取、手机终端取证与分析、数据恢复、密码破解以及涉及电子设备的民事调查等。
鉴定热线&地址：
010-56509288（北京）
北京市西城区西直门外南路26号院1号-奇安信安全中心B1
021-52658848（上海）
上海市闵行区合川路2555号科技绿洲三期五-3号楼4层
029-86196688（西安）
陕西省西安市经济技术开发区凤城二路1幢经发大厦B座10607室
原文始发于微信公众号（奇安信洞鉴）：以黑帽SEO案为例，解析木马攻防战
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论