還能愉快的玩耍嗎？惡意木馬開始盯上密碼管理軟件

背景

《安全科普：你的密碼在誰(shuí)的手里？》引起了廣泛討論，為了保護(hù)密碼安全，作者給出了以下安全建議：

請(qǐng)注意第二、第三條：盡量做到每個(gè)網(wǎng)站使用不同的賬號(hào)密碼，使用密碼管理軟件Keepass……

KeePass Password Safe是專門為了解決人類記不得眾多密碼的問(wèn)題所產(chǎn)生的，它包含了一個(gè)強(qiáng)大的密碼產(chǎn)生引擎與加密儲(chǔ)存機(jī)能，能夠提供一個(gè)安全的密碼儲(chǔ)存空間。通過(guò)KeePass等密碼管理軟件，我們能夠輕松地實(shí)現(xiàn)“一賬號(hào)一密碼”，解決一個(gè)賬號(hào)被盜全網(wǎng)遭殃的悲劇。

網(wǎng)絡(luò)罪犯?jìng)冇肋h(yuǎn)在見(jiàn)著拆招�，F(xiàn)在，他們又盯上了密碼管理軟件。

密碼管理軟件：網(wǎng)絡(luò)罪犯?jìng)兊男履繕?biāo)

據(jù)IBM Trusteer的研究者報(bào)道，攻擊者們會(huì)使用一種鍵盤記錄器來(lái)竊取密碼管理軟件主密碼。攻擊者設(shè)計(jì)了一個(gè)Citadel木馬配置文件，當(dāng)用戶使用密碼管理軟件Password Safe和KeePass時(shí)，該文件會(huì)立即啟動(dòng)鍵盤記錄器。

針對(duì)密碼管理軟件的攻擊會(huì)更加流行

對(duì)重要數(shù)據(jù)而言，密碼通常不會(huì)被當(dāng)作一種安全的認(rèn)證機(jī)制，因?yàn)槿菀子洃浀拿艽a就一定容易被猜解。于是密碼管理軟件就應(yīng)運(yùn)而生了。

密碼管理軟件可以允許用戶為每個(gè)單獨(dú)的賬戶創(chuàng)建不同且復(fù)雜的密碼，還會(huì)為其存儲(chǔ)的信息進(jìn)行加密。但這項(xiàng)技術(shù)并非牢不可破，今年夏天就有安全研究者在一些密碼存儲(chǔ)程序中發(fā)現(xiàn)了漏洞。

雖然當(dāng)下該惡意軟件的影響很小，但是IBM Trusteer的研究員稱，以密碼管理軟件為攻擊目標(biāo)的事件將來(lái)一定會(huì)流行的。一旦攻擊者獲取了密碼管理軟件主密碼，那么他就可以用這個(gè)主密碼完全掌控這臺(tái)機(jī)器和這臺(tái)機(jī)器上的所有網(wǎng)上賬戶。網(wǎng)絡(luò)犯罪者們已經(jīng)越來(lái)越熱衷于竊取那些放置于在線密碼存儲(chǔ)服務(wù)中的密碼。

入侵途徑

只要運(yùn)行開源密碼管理軟件Password Safe或者KeePass ，Citadel木馬配置文件就會(huì)驅(qū)動(dòng)惡意軟件啟動(dòng)鍵盤記錄器，記錄用戶輸入的信息。在獲得密碼管理軟件主密碼之后，惡意軟件會(huì)把這些敏感信息發(fā)送到攻擊者們已經(jīng)入侵的web服務(wù)器上。

到目前為止我們還不清楚這種攻擊的最終目標(biāo)是什么，攻擊者是誰(shuí)，只知道它當(dāng)前的目標(biāo)是竊取密碼管理軟件主密碼。能自動(dòng)生成隨機(jī)密碼的密碼管理器有助于增強(qiáng)在線賬號(hào)的安全性，但如果密碼管理器的主密碼失竊，其保存的所有密碼將會(huì)同時(shí)失竊，影響要比單一賬戶被攻陷嚴(yán)重得多。