通过文件同步服务 黑客可偷偷控制计算机

文件同步服务过去常常支持企业组织内部的移动员工，它也可能成为一个薄弱环节，攻击者可以钻其空子，潜伏在中招的网络里面而不被察觉。

安全公司Imperva的研究人员发现，如果攻击者对文件同步服程序运行在其中的计算机获得了有限的访问权，不用实际窃取用户名称和密码，轻而易举就能劫持Dropbox、Google Drive、微软OneDrive和Box等提供的服务的用户帐户。

一旦帐户被劫持，攻击者就可以利用帐户窃取存储在里面的数据，并且远程控制中招的计算机，根本不用可能被反病毒或其他安全产品检测出来的任何恶意软件程序。

Imperva的研究人员发现，他们打量的所有文件同步应用程序都通过用户首次登录后生成的访问令牌，提供了继续访问用户的云存储帐户这一便利。这些令牌存储在用户计算机上的特殊文件、Windows注册表或Windows凭据管理器中，这取决于具体使用的应用程序。

研究人员研发了一款名为Switcher的简单工具，其作用就是执行研究人员所说的“双开关”(double switch)攻击。

Switcher可以通过恶意电子邮件附件或充分利用浏览器插件中安全漏洞的路过式下载漏洞，部署在系统上。如果钻了这个漏洞的空子，程序甚至没必要写入到磁盘上。它可以直接装入到计算机的内存中，不需要高级权限就能执行其例程。

Switcher先为目标文件同步应用程序复制一份用户的访问令牌，然后换成对应于攻击者控制的帐户的访问令牌。然后，它重启应用程序，那样它就能与攻击者的帐户实现同步。

之前保存的用户令牌被复制到同步文件夹，那样攻击者就能收到一份用户令牌，随后Switcher应用程序恢复回来，迫使应用程序回过头来与用户的实际帐户关联起来，双开关一名由此而来。

然而，由于攻击者现在有了一份用户的访问令牌，他就能在自己的计算机上使用Switcher，并与用户的实际帐户进行同步，获得一份存储在帐户里面的所有文件。

如果让Switcher创建一项计划任务或者Windows管理规范(WMI)事件：某个特定的文件出现在同步文件夹中时，就会触发事件，可以让攻击进入到下一步。攻击者就可以创建该文件，含有由计划任务执行的命令。

即便Switcher删除自己或者从内存中清除出去，这种机制也将让攻击者获得对计算机的永久性远程访问权。执行命令、将输出保存到同步文件夹后，攻击者就能删除它，还能删除触发文件，以图掩盖行踪。

如果攻击者寻求的不是偷偷潜伏或获得永久性访问权，另一种可能的攻击场景就是加密用户帐户中的所有文件，索要赎金才能解密文件——近些年来，勒索软件程序采用了这一手法，屡试不爽。

据Imperva的首席技术官Amichai Shulman声称，针对文件同步服务的这些攻击很难被反病毒程序检测出来，因为Switcher并不执行任何可能被解读为恶意软件行为的不寻常活动。

他表示，该程序只由短短10行代码组成，可以读取和写入其他应用程序也修改的文件和注册表键。他补充道，落在后面的WMI任务也很常见，因为另外许多应用程序会因各种原因创建WMI任务。

此外，Switcher甚至可能不存储在磁盘上，为攻击创造条件后会删除自己。

在网络边界处运行的安全产品无法阻止这种流量，因为该流量在默认情况下已加密，由企业组织批准的已知的、合法的文件同步应用程序所生成。

眼下，接受测试的服务没有一个通知用户其帐户从新的位置加以访问，就像一些网站所做的那样。据Imperva的研究人员声称，其中一些服务允许用户查看其帐户的近期活动，这有可能揭露来自非同寻常的位置或IP填的未授权访问，但是出现这种情况时，它们并不实际通过电子邮件来提醒用户。

即便可以检测出这种威胁，恢复正常也问题重重，因为在一些情况下，访问令牌依然有效，即便用户更改了密码。研究人员在将于黑帽安全大会上发布的一份报告中表示，在这种情形下想恢复如初，唯一的办法就是，实际删除帐户，创建一个新帐户。

攻击者已经表示出有兴趣滥用备受信赖的云服务或社交媒体网站，既为了向外泄露数据，又为了夺取指挥与控制权。去年12月，Blue Coat的安全研究人员报告，军队、外交和商界等部门遭到了一起攻击活动，它利用瑞典的一项文件同步服务(名为CloudMe)来夺取指挥与控制权。安全公司FireEye最近报告，一个名叫Hammertoss的俄罗斯网络间谍团伙利用云存储服务，向外泄露众多机构组织的数据。

在近日于拉斯维加斯召开的BSides安全大会上，Gabriel Butterick、Dakota Nelson和Byron Wasti这三名软件开发人员发布了一种框架，利用发布在推特、SoundCloud和Tumblr等社交媒体网站上的图片、音频片段和文本消息，就能为恶意软件建立一条经过加密的秘密通信通道。

Shulman表示，也许一些云存储提供商会在将来改进安全，但是这改变不了基本问题：对用户来说有用的任何服务对攻击者来说同样有用。攻击者最终会找到办法来攻破端点系统，但是大多数时候，他们的目标是利用它们作为跳板，进而攻击机构组织的数据库和文件服务器，而这些系统上存储着令人关注的信息。他表示，正由于如此，公司监控、严格控制对重要数据的访问显得至关重要。

英文：File sync services provide covert way to control hacked computers