通过木马感染才能窃取目标机密的时代一去不复返了。八月问世的键盘记录器ScanBox也许开启了“窃听工具”的新纪元，攻击者将ScanBox恶意Javascript代码植入存在漏洞的网站上，就可以将用户的键盘记录全部截获下来。
ScanBox软件简介
普华永道(PwC)的Chris Doman和Tom Lancaster表示：“ScanBox非常的危险，它不需要像传统恶意软件一样植入计算机硬盘才能窃取机密，它只需要你的浏览器执行javascript代码就能进行键盘记录。”他们在周一的报告中发布了四个不同的攻击案例，每个案例都是由不同的人利用ScanBox发起的攻击。
八月，AlienVault实验室发布了ScanBox，这款工具的主要功能是信息窃取。除了键盘记录功能以外，它还能列举系统中安装的软件列表，包括安全软件、Adobe Flash及Adobe Reader的版本号，Office的版本号，以及Java环境的版本号。这些系统信息会被ScanBox加密，通过后门传到主控服务器上。
AlienVault实验室的老大Jaime Blasco写道：“这是一个非常强大的框架，它会帮助你发现更多的潜在目标，然后更加轻松地发起后续攻击。”
FreeBuf科普：什么是水坑攻击
水坑是由RSA安全公司命名的一种计算机攻击策略。它的受害者通常都是一些特定的组织，如机构组织、工业组织、区域组织。攻击者主要是先观察哪些网站使用并感染了恶意病毒，然后再有针对性的去实施攻击。#p#
攻击案例枚举
同时进行的不止这些，利用“水坑攻击”向网站植入ScanBox以后，会跟上一系列的后续攻击。然而，受害者并不止于AlienValult实验室于八月发现的那些工业目标。一个月前，该漏洞代码通过code.googlecaches.com的漏洞，攻击了中国的维族激进分子。然后在十月还发现另外两场攻击。其中一场是通过news.foundationssl.com上的漏洞，对美国某个政府网站发起的。另一场则是借助qoog1e.com对一家韩国的酒店网站发起的攻击。
Doman和Lancaster称：
“这些行动给我们最明显的警示是，不止一个组织在使用这种框架(虽然该框架使用范围不止于此，某些黑客盯上了大量的组织机构，某些人对特定地区部门更感兴趣)”
谁才是攻击者
普华永道(PwC)研究员同时还表示，他们发现同一类代码中的实现了不同功能。
比如，在那四个受攻击的网站(PwC周一发布的报告中的四个案例)中运行的同一类恶意代码，A、B两个网站和C、D两个网站的代码实现有着一定区别。在前两个网站中它可能只是独立的代码块，而在另外两个网站上，它得通过插件才能实现。
PwC的报告写道：“我们并没有发现这些黑客之间有什么直接联系，没有使用诸如相同的域名或IP地址等特征。对于都在GoDaddy注册的那些网站，也没有发现什么特别的联系。”
黑客之间的资源分享导致代码特征重叠
“在一些攻击案例中，某些黑客传播分享的资源，其实是由黑客组织通过“水坑攻击”窃取到的。当然，这些资源也有可能是那四个案例幕后的黑客组织;或者是那些目标定位广阔，试图从不同目标上收集恶意代码的黑客组织。”Doman和Lancaster说。
同时他们还认为：“在我们看来，最有可能的是那些黑客组织分享资源导致了特征重叠(小编：分析不出来就明说嘛)。在不同的黑客组织发现他们拥有相同的目标后，他们会共享恶意软件库、人员、甚至有时是同一批主机，所以这会造就许多相似特征。分享如ScanBox之类的框架降低了攻击者的门槛，使攻击者能轻松地达到更好的攻击效果。”
原文链接：http://threatpost.com/four-distinct-watering-hole-attacks-dropping-scanbox-keylogger/109061
