.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
2022年，unit42觀察到，IPFS(InterPlanetary File System,星際文件系統)被廣泛用作惡意工具。 IPFS是一種全新的超媒體文本傳輸協議，可以把它理解為一種支持分佈式存儲的網站。
與任何技術一樣，IPFS也可能被攻擊者者濫用。然而，由於IPFS上的託管內容是去中心化和分佈式的，因此在定位和刪除生態系統中的惡意內容方面存在挑戰，這使其類似於bullet-proof 託管。
從2021第四季度到2022年第四季度末，Palo Alto Networks檢測到IPFS相關流量增加了893%。調查還顯示，病毒總數在同一時期增長了27000%以上。 IPFS相關流量的增加伴隨著惡意活動的顯著增加。檢測發現，2022年的許多攻擊活動涵蓋了網絡釣魚、憑證盜竊和惡意有效負載傳播。
整體流量增加從2022年第一季度開始，Palo Alto Networks的IPFS流量顯著增加，如下圖所示。 2022年第一季度，研究人員檢測到IPFS流量與2021年最後一個季度末的記錄相比增長了178%。
之後流量繼續增加：
第二季度增長85%；
第三季度增長62%；
2022年最後一個季度增長了19%；
這相當於整體增長了893%。
與IPFS相關的流量在2022年第一季度的VirusTotal上也出現了類似的增長，與2021年第四季度相比增長了6503%
之所以會出現這種增長，是因為採用了IPFS技術。新技術出現後總會有人惡意使用它。研究人員在Palo Alto Networks和VirusTotal提交的IPFS流量中觀察到的顯著增加也包括使用IPFS的惡意活動的大幅增加。
研究人員觀察到，攻擊者經常為他們的詐騙服務做廣告，使用各種宣傳。也就是說，由於IPFS分佈式文件系統的性質，IPFS為他們的活動提供了持久性。
攻擊者使用客戶IPFS鏈接銷售詐騙服務
攻擊者出售IPFS網絡釣魚頁面
攻擊者正在使用公共IPFS網關作為傳遞其惡意內容的方式。如果沒有這些互聯網可訪問網關，攻擊者將無法將IPFS網絡作為其攻擊活動的一部分。這一趨勢在許多網絡釣魚和網絡犯罪活動中使用互聯網可訪問的IPFS鏈接中可以看到，這些活動的初始攻擊媒介通常是電子郵件誘餌。
接下來，我們將詳細介紹在分析惡意使用IPFS技術時看到的一些攻擊活動。
網絡釣魚下圖顯示了IPFS與網絡釣魚相關的網絡流量呈指數級增長，尤其是在今年最後一個季度。與託管在網絡上的傳統網絡釣魚頁面不同，託管提供商或管理機構無法輕鬆刪除IPFS網絡釣魚內容。
一旦發佈到IPFS網絡，任何人都可以在自己的節點上獲取並重新發佈內容。網絡釣魚內容可以託管在多個節點上，並且必須向每個主機發出刪除內容的請求。如果任何一個主機不同意刪除，那麼內容幾乎不可能被刪除。
由於網站所有者、託管提供商或版主刪除或暫停內容，網絡釣魚活動的生存時間（TTL）通常比其他類型的網絡犯罪更短。 IPFS的結構使攻擊者能夠通過使其更具抵禦能力來延長他們的活動。
IPFS網絡釣魚URL
IPFS網絡釣魚活動與傳統網絡釣魚活動類似，攻擊者模仿合法服務和軟件（如DHL、DocuSign和Adobe）來增加進入某人收件箱的可能性。阻止這些誘惑的能力取決於接收組織的電子郵件安全性。雖然一些組織在其安全電子郵件網關和其他安全產品中製定了非常嚴格的規則，但其他組織沒有這樣做，因為擔心合法的電子郵件會受到影響。
請注意，下面顯示的名稱和徽標是攻擊者試圖冒充合法組織的作品，攻擊者的模仿並不意味著合法組織的產品或服務存在漏洞。
在下面的示例中，模仿DHL品牌的電子郵件誘餌包含一個附件。在該附件中，有一個指向實際網絡釣魚頁面的IPFS鏈接。
DHL主題的電子郵件誘餌，附件已提交給VirusTotal
一旦用戶點擊下圖所示的附件，就會預覽一張模仿Adobe PDF標識的假髮票。 “打開”按鈕實際上是一個IPFS鏈接，將用戶重定向到實際的網絡釣魚頁面，而不是打開PDF。這個頁面可以通過IPFS網關訪問。
附有DHL誘餌鏈接的附件
IPFS URL通過IPFS[.]io將用戶重定向到Adobe網絡釣魚頁面，然後嘗試竊取用戶的登錄憑據。
在DHL主題誘餌的附件中發現了IPFS釣魚鏈
與其他Web3技術一樣，常用的數據外竊取方法在IPFS網絡上是不可能的。攻擊者無法接收受害者輸入到表單中的數據，從而竊取他們的憑據。
標準的web表單使用HTML前端來顯示內容，後端使用表單處理器來收集、處理並將數據發送到web服務器。 IPFS不包含相同或類似的技術來處理這些動態功能。
使用IPFS的人只是簡單地提取或檢索數據的只讀副本，而不是與之交互。 IPFS網關後面的網絡釣魚頁面依賴於許多其他技術。
例如，攻擊者可以在收集帳戶憑證的網頁中使用嵌入式腳本代碼。他們還可以使用無頭表單，即可以填寫和收集的靜態用戶表單。表單字段被映射到JSON模型，以便通過API發送到後端系統，從而促進API驅動的竊取。這些信息是通過HTTP POST請求收集的，這些請求被發送給攻擊者，在那裡它可以被用於其他惡意目的。
Nillis.html中的未轉義腳本下圖顯示了一個模仿Microsoft的網絡釣魚示例，它以HTML頁面的形式託管。鏈接此頁面的IPFS URL為
hxxps[://]bafybeicw4jjag57bk3czji7wjznkkpbocg27qk3fjvqh5krbrfiqbksr2a[.]ipfs[.]w3s[.]link/Nills[.]html.
Nills.html的網絡釣魚頁面
要了解憑據將如何被竊取的，有必要查看網頁的源內容。
下圖顯示了一個名為WriteHTMLtoJS的函數。此函數的目的是將HTML寫入JavaScript (JS)，並對內容進行轉義。 UnescapeJS函數負責用實際的ASCII字符值解碼十六進制序列
Nills.html網頁的源代碼視圖
解碼和分析未轉義的內容會發現一對腳本標籤和一個觀察到的URL，它是app[.]headlessforms[.]cloud，網絡釣魚頁面似乎與此URL有關。
對無頭表單的分析表明，此網絡釣魚頁面使用的是一種管理用戶表單的方法，在該方法中，可以在第三方後端捕獲數據，而無需設計或開發前端web應用程序。
Nills.html的解碼視圖，其中包含憑據洩露的位置
受害者輸入帳戶用戶名和密碼憑據後，它將通過HTTPPOST請求發送。 URI末尾的字符串（GjCP9S9nke）是與無頭表單平台上的攻擊者相關聯的唯一標識令牌。
HTTP POST和捕獲的憑據
new.html中的HTTP POST另一個模仿微軟的網絡釣魚頁面也託管在IPFS上，名為new.html。關聯的IPFS釣魚URL為：
hxxp[://]bafybeifm5vcoj35hhuxf7ha3gg6asrrlrwu3bvcysgmrvygnm3qjmugwxq[.]ipfs[.]w3s[.]link/new[.]html?email=
new.html釣魚頁面
查看網頁源代碼會發現一個與前面引用的類似的JS函數，它對內容進行反轉義，將其解碼為ASCII值。 unescape函數如下圖所示。
new.html的源代碼視圖
對內容進行解碼後，會發現位於大量代碼底部附近的一個感興趣的片段，如下圖所示。
new.html URL
上圖中的代碼片段顯示了註冊到提交按鈕的點擊函數事件的外部URL (fairpartner[.]ru)。此URL將與HTTP POST請求提供的數據聯繫，如下圖所示。
fairpartner.ru的DNS請求
截止發文，研究人員還無法捕獲憑證盜竊，因為該域不再可訪問，這突出了使用第三方服務(如無頭表單)進行攻擊的優勢。
IPFS不僅被攻擊者用於網絡釣魚，它還用於惡意軟件攻擊集和勒索軟件。
眾所周知，RansomEXX等勒索軟件即服務（RaaS）運營商會使用IPFS網絡發布受害者被盜的數據。 Smoke Loader、XLoader、XMRig和OriginLogger等惡意軟件經常使用IPFS鏈接進行惡意有效負載傳遞。 IPStorm和Dark實用程序使用IPFS網絡作為基礎設施。
攻擊過程攻擊者以幾種不同的方式使用IPFS網關。可以將這些方法分類為傳播方法，或用作託管或分級有效負載的基礎設施，或者用作分散的C2信道。
以下惡意軟件家族在2022年全年一直在使用IPFS。惡意軟件家族Dark Utilities一直在使用IPFS網關來轉移惡意負載。 IPStorm使用IPFS網關作為P2P通信的C2信道。
攻擊者還使用IPFS網關提供各種惡意軟件，例如：
OriginLogger
XLoader
XMRig
Metasploit
接下來，我們將介紹這些攻擊是如何在高級別上運行的，包括IPFS是如何被用來促進惡意操作的。
OriginLoggerOriginLogger惡意軟件開始於2019年。它是Agent Tesla遠程訪問木馬的迭代版本。它是用.NET編寫的，是一個隱蔽性很強的信息竊取程序。這種攻擊通常以擊鍵和剪貼板數據為目標，這些數據通過C2通道傳送回攻擊者控制的服務器。
Unit 42的研究人員發現了一個偽裝成逾期發票的電子郵件誘餌，帶有XLL附件。打開XLL文件後，會向IPFS URL發送HTTP GET請求：
hxxps[://]ipfs[.]io/ipfs/QmXtVwamvHvXZzuEZcMn2xDsPRKN8uS17YCUzTiGx1rYnv?filename=file-05-2022.exe
此URL用於通過IPFS網關下載OriginLogger負載。
附件
下圖顯示了OriginLogger的第二個傳播示例，這封電子郵件也偽裝成過期發票，標題是“過期發票”。
這個電子郵件誘餌還有一個XLL文件附件。打開後，還會向IPFS URL發送GET請求：
hxxps[://]ipfs[.]io/ipfs/QmXtVwamvHvXZzuEZcMn2xDsPRKN8uS17YCUzTiGx1rYnv?filename=file-05-2022.exe
點擊此URL可通過IPFS網關下載OriginLogger負載。
推送包含OriginLogger有效負載的附件的電子郵件
下面列出了託管在IPFS上的一些其他OriginLogger有效負載，這些負載來自2022年5月至6月期間發生的一場活動：
hxxps[://]ipfs[.]io/ipfs/QmQBPuPxy3nZjK2yVspsUJVhutajAfRQpnjc58RAcUJFrh?filename=INV-SCL0093-05-22pdf.exe
hxxps[://]ipfs[.]io/ipfs/QmY4kDbUk8VYM8Zzn1rVgfa3c4ybma4evMBfyWwyieaZxW?filename=Sign-Reurn-pdf.exe
hxxps[://]ipfs[.]io/ipfs/QmczJ1MxQ2SH8deXBTJfFgsrApM5BShgLSh1MQry4Vxc4c?filename=REF
XLoaderXLoader惡意軟件起始於2020年，是FormBook的迭代版。 XLoader被宣傳為一種可以在Windows和macOS上運行的軟件即服務（MaaS）產品。 XLoader能竊取瀏覽器和登錄憑證，它還能夠記錄鍵盤和捕獲屏幕截圖。
Unit 42的研究人員觀察到以下與XLoader有效負載託管相關的野外（ITW）URL：
hxxp[://]bafybeiafb63z73aoz3d4jdpve2rhlwo6ujlzjyri26z63flqnara2dqwoa[.]ipfs[.]dweb[.]link/order.exe
bafybeicokadgkcohrqslwdnmtu5mcc2zmo2hveiw2bh5j5z35onsxe3cy4[.]ipfs[.]dweb[.]link
XMRigXMRig是一個自2017年以來一直活躍的惡意挖礦軟件，它是一個開源實用程序，很受各類攻擊組織的歡迎。
下圖顯示了一個ITW IPFS域，該域在2023年3月下旬為XMRig有效負載提供服務。 Unit 42的研究人員還觀察到攻擊者濫用Cloudflare的IPFS網關來託管XMRig。
ITW域正在下載XMRig有效負載
Unit 42觀察到以下與XMRig託管相關的URL：
hxxps[://]bafybeibgc3snqi6qesnhskujhjcbduu7lfhju7eppumuqhymapuwvln6tq[.]ipfs[.]nftstorage[.]link
hxxps[://]cloudflareipfs[.]com/ipns/12D3KooWDdu1TTG9JRzFisv8HBXE2Zi2qpqs1r2vb88vEE1ws5mc/phpupdate.exe
下圖顯示了XMRig的可執行PE文件屬性。
XMRig PE文件信息
MetasploitMetasploit框架是一個滲透測試工具包，自21世紀初以來就一直活躍。 Metasploit包含漏洞利用、模塊、有效負載和輔助功能。該工具包的主要用例是生成有效負載並實現代碼執行，以建立與受害者設備的通信通道。這使得使用該工具包的人能夠訪問和控制環境或用戶。
2023年3月下旬，Unit 42的研究人員觀察到一個ITW IPFS域：
hxxps[://]bafybeihtuhj7ezvjbtig75qpv43t7eh6dmcnarlm454fx5yjb4uzqbidpy[.]ipfs[.]infura-ipfs[.]io
自2022年5月26日以來，該域一直在提供Metasploit shellcode負載。 shellcode連接回IP地址51.254.127[.]82。
從IPFS域下載Metasploit負載
Metasploit shellcode逆向shell IP連接
與相同的Metasploit有效負載相關的附加ITW域：
hxxps[://]ipfs.infura[.]io/ipfs/QmejguEysvXLMaAYmXe3EXmjfnoAqMdVfn4ojto1yLTGhK
IPStormIPStorm惡意軟件自2019年以來一直活躍，它使用IPFS作為C2通道。
IPStorm使用開源庫libp2p作為網絡棧，並通過IPFS網絡進行P2P通信。可執行文件是用Golang編寫的，包含多個可用於識別惡意軟件家族的軟件包名稱。該攻擊在模塊名稱之前使用文件夾名稱/storm，如下圖所示。
b8ee3897aff6c6660557a4c73b243870020705df6c87287040bfcd68b7c8b100中使用的GO庫的屏幕截圖
Dark UtilitiesDark Utilities惡意軟件家族最初是在2022年由Cisco Talos發現的。是一個為攻擊者提供全功能C2 功能的平台，使用IPFS作為其首選的傳播渠道。此攻擊可以針對Windows