JSBotnet来袭，上网浏览需谨慎

　　概况
　　近日360安全大脑监测到一批通过网页检测用户行为，窃取网民信息的窃密程序。攻击者利用虚假色情网站，通过在其网页中植入Cloud9JavaScriptBotnet来控制用户浏览器，之后窃取浏览器Cookie、进行键盘记录、发起挖矿，甚至利用用户电脑发起DDoS攻击并通过远程投递漏洞利用代码执行载荷进而完全控制用户电脑。
　　Cloud9JavaScriptBotnet是一个基于JavaScript脚本的多功能远程控制程序（RAT），该恶意软件早在2017就已经出现在黑客论坛（https：hackforums。net）上。攻击者通常使用网页挂马的方式传播，但也有一些攻击者会通过伪装成正常浏览器扩展来进行传播。下图展示了，某站点页面引入恶意JS文件campaign。js（Cloud9Botnet）
　　键盘记录
　　campaign。js被加载后首先会检测操作系统及浏览器，识别浏览器类型后脚本使用onkeypress事件添加一个新的事件监听器，当按下键盘按键时会触发该事件，相应的按键值就会赋到一个变量中。键盘记录数据以及当前网页上表单数据都会被发送到CC，用户在被插入恶意代码页面中的按键操作，都将被黑客记录。
　　远控控制
　　JS文件在30秒超时后调用pingHome函数，该函数向CC发送GET请求获取控制端返回的命令。并根据返回结果执行进一步功能。
　　该恶意软件根据接收到的命令所能执行的主要功能有：
　　lFTPFlood攻击
　　lCookie窃取
　　l键盘记录
　　l向指定站点发送POST请求
　　lPOSTFlood攻击
　　l执行指定JavaScript代码
　　l静默加载网页（广告页面）
　　l执行页面挖矿
　　l点击劫持（iframe跟随鼠标）
　　l发送漏洞利用攻击，如：
　　lCVE20160189（IE浏览器）
　　lCVE20146332
　　lCVE20167200（Edge浏览器）
　　l47层混合DDos攻击（随机大小POSTFlood攻击）
　　部分受控功能说明
　　1。数据窃取
　　攻击者会窃取浏览器Cookie、获取剪切板数据并发送回传
　　2。漏洞利用攻击
　　攻击者使用了CVE20160189、CVE20146332、CVE20167200漏洞利用代码，对不同浏览器发起攻击
　　3。DDoS攻击
　　JS执行后可以向任何地址发送POST请求。如果攻击者控制大量用户浏览器，则可以发起大规模的DDoS攻击
　　4。其他功能
　　还包括如点击劫持、破解MD5SHA1哈希以及执行CC服务器下发的任意JS脚本
　　总结
　　Cloud9Botnet售卖者还提供了控制台模块，攻击者利用控制台能够实现对被攻击设备的管理，其部分功能包括：命令功能示例、当前执行任务、捕获日志、编辑执行任务、在线Bot列表、网络日志。
　　感染此类恶意扩展或无意中访问到这类站点，不仅会泄露隐私，还可能造成浏览器被迫挖矿，成为攻击的肉鸡发动各类攻击。更有风险被投递漏洞攻击代码，造成整个电脑被黑客控制。
　　对于此类攻击，建议用户开启安全软件的网页防护功能，避免在不知情情况下，电脑被攻击。
　　安全建议
　　360安全大脑提醒：
　　1。不要随意打开陌生人发布的链接，对于安全软件拦截的网站不要继续访问；
　　2。安装浏览器扩展选择官方或者大的平台渠道安装；
　　3。对于来路不明的扩展及时禁用或删除；
　　4。怀疑被感染的设备，可使用360终端安全进行扫描查杀。
　　IOCs
　　www。810hao〔。〕com
　　www。811hao〔。〕com
　　www。812hao〔。〕com
　　zmsp〔。〕top
　　70〔。〕66〔。〕139〔。〕68