针对Tor网络恶意代码分析.docVIP

一、背景 Tor(The Oninon Router)提供一个匿名交流网络平台，它使得用户在浏览网页或访问其它网络服务时不会被跟踪。作为该网络的一部分即所谓的“暗网”(darknet)，是指只能通过Tor网络访问的服务器群组，这些服务器提供包括社区论坛、电子邮件等多种服务。虽然提供这些服务都是无恶意的，初衷是用来关注侵犯人权问题，但是由于匿名的原因吸引了很多有犯罪意图的人，比如传播儿童色情。事后执法部门也不能追踪到犯罪者的源IP地址。 2013年，在“暗网”服务器上发现了一款恶意软件，它利用特定Web浏览器上的安全漏洞在用户电脑上执行一段代码。该代码收集一些用户信息，发往弗吉尼亚州的服务器，之后自毁。就恶意软件的特征来讲，它没有明显的恶意意图。初步推断是FBI植入，他们在弗吉尼亚州有办事处，曾经也派专人开发过恶意程序，可能是他们创建了它—现在看来是真的。 二、对Shellcode的逆向分析 1、漏洞利用 漏洞利用代码用javascript编写，利用一个出名的firefox浏览器的特定版本(Tor网络预装的firefox)的漏洞。该漏洞利用代码经过了模糊处理，但通过快速扫描可以看到一长串十六进制字符，这些字符是shellcode的前几个标志性字节，即call操作码(shellcode经常以一个jump或call开始,因此知道了这些操作码使得识别shellcode变得容易起来)。 我