搜索

[28685] 2020-12-16_漏洞利用图谱–通过查找作者的指纹来寻找漏洞利用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-12-16_漏洞利用图谱–通过查找作者的指纹来寻找漏洞利用 漏 洞 利 用 图 谱 – 通 过 查 找 作 者 的 指 纹 来 寻 找 漏 洞 利 用 O t s 安 全   2 0 2 0 - 1 2 - 1 6 研 究 者 ： 研 究 者 ： 伊 泰 · 科 金 （ I y a l   I t k i n ） 伊 泰 · 科 恩 （ I t a y   C o h e n ） 在 过 去 的 几 个 月 中 ， 我 们 的 漏 洞 和 恶 意 软 件 研 究 团 队 共 同 努 力 ， 专 注 于 恶 意 软 件 内 部 的 漏 洞 利 用 ， 尤 其 是 漏 洞 利 用 者 本 身 。 从 一 个 事 件 响 应 案 例 开 始 ， 我 们 构 建 了 W i n d o w s 最 活 跃 的 漏 洞 利 用 开 发 人 员 之 一 的 档 案 ， 称 为 “   V o l o d y a   ” 或 “   B u g g i C o r p   ” 。 到 目 前 为 止 ， 我 们 设 法 跟 踪 了 他 们 W i n d o w s 内 核 本 地 特 权 升 级 （ L P E ） 漏 洞 中 的 1 0 多 个 （ ！ ） ， 其 中 许 多 漏 洞 在 开 发 时 为 零 天 。 背 景 就 像 所 有 好 的 故 事 一 样 ， 我 们 的 故 事 始 于 事 件 响 应 案 例 。 在 分 析 针 对 我 们 的 一 个 客 户 的 复 杂 攻 击 时 ， 我 们 注 意 到 该 恶 意 软 件 执 行 了 一 个 很 小 的 6 4 位 可 执 行 文 件 。 该 样 本 包 含 不 寻 常 的 调 试 字 符 串 ， 这 些 调 试 字 符 串 指 向 试 图 利 用 受 害 者 计 算 机 上 的 漏 洞 的 尝 试 。 更 重 要 的 是 ， 样 品 具 有 哪 些 大 声 宣 告 ， 并 清 除 该 二 进 制 文 件 的 目 标 吃 剩 的 P D B 路 径 ： 。 由 于 没 有 C V E - 2 0 1 9 - 0 8 5 9 的 此 实 现 的 任 何 在 线 资 源 ， 我 们 意 识 到 ， 我 们 并 不 是 在 寻 找 可 公 开 使 用 的 P o C ， 而 是 在 寻 找 真 实 的 开 发 工 具 。 这 激 发 了 我 们 进 行 更 深 入 的 挖 掘 。 对 漏 洞 进 行 逆 向 工 程 非 常 简 单 。 二 进 制 文 件 很 小 ， 并 且 调 试 消 息 在 那 里 指 导 我 们 。 它 利 用 了 “ 售 后 使 用 ” （ U A F ） 漏 洞 来 获 取 对 父 进 程 的 更 高 特 权 。 我 们 很 快 做 出 了 一 个 有 趣 的 观 察 ： 漏 洞 利 用 程 序 和 恶 意 软 件 本 身 似 乎 不 是 同 一 个 人 编 写 的 。 代 码 质 量 ， 缺 乏 混 淆 ， P D B 和 时 间 戳 都 表 明 了 这 一 结 论 。 图 图 1 ： ： 对 的 调 用 ， 如 C u t t e r 所 示 。 漏 洞 分 布 1 0 1 我 们 倾 向 于 将 特 定 恶 意 软 件 家 族 背 后 的 人 们 视 为 一 个 完 整 的 单 元 。 可 以 想 象 ， 每 个 组 件 都 是 由 一 个 人 ， 团 队 或 团 队 编 写 的 。 事 实 是 ， 由 民 族 国 家 或 罪 犯 编 写 先 进 的 恶 意 软 件 ， 涉 及 具 有 不 同 技 能 的 不 同 人 群 。 一 个 民 族 国 家 的 网 络 间 谍 组 织 可 能 在 不 同 的 团 体 和 分 支 机 构 拥 有 数 百 甚 至 数 千 名 员 工 。 组 织 中 的 每 个 工 人 都 有 特 定 的 角 色 ， 并 经 过 特 殊 的 技 术 培 训 和 多 年 的 专 业 知 识 进 行 了 微 调 。 在 这 样 的 组 织 中 ， 编 写 通 用 组 件 的 工 作 量 在 专 业 团 队 之 间 分 解 ， 由 不 同 的 团 队 负 责 初 始 访 问 ， 收 集 敏 感 数 据 ， 横 向 移 动 等 。 目 标 是 在 其 恶 意 软 件 中 嵌 入 漏 洞 利 用 模 块 的 运 营 实 体 不 能 仅 依 靠 恶 意 软 件 开 发 人 员 。 找 到 漏 洞 并 可 靠 地 利 用 漏 洞 ， 最 有 可 能 由 专 门 从 事 特 定 角 色 的 特 定 团 队 或 个 人 完 成 。 就 其 本 身 而 言 ， 恶 意 软 件 开 发 人 员 并 不 真 正 在 乎 其 幕 后 工 作 方 式 ， 他 们 只 想 集 成 此 模 块 并 完 成 此 工 作 即 可 。 为 了 使 工 作 分 工 ， 两 个 团 队 都 需 要 就 一 些 A P I 达 成 共 识 ， 这 将 成 为 不 同 组 件 之 间 的 桥 梁 。 这 种 集 成 A P I 并 不 是 国 家 行 为 者 独 有 的 ， 而 是 漏 洞 利 用 的 “ 自 由 市 场 ” 中 的 常 见 功 能 。 无 论 是 涉 及 地 下 论 坛 ， 漏 洞 利 用 经 纪 人 ， 还 是 令 人 讨 厌 的 网 络 公 司 ， 它 们 . . . c v e - 2 0 1 9 - 0 8 5 9 x 6 4 R e l e a s e C m d T e s t . p d b C r e a t e W i n d o w E x C r e a t e W i n d o w E x
都 向 客 户 提 供 有 关 如 何 将 漏 洞 利 用 方 法 集 成 到 恶 意 软 件 中 的 说 明 。 从 本 质 上 讲 ， 这 个 集 成 点 是 我 们 要 在 研 究 中 重 点 关 注 的 关 键 方 面 。 假 设 利 用 漏 洞 的 作 者 独 立 工 作 ， 并 且 仅 将 其 代 码 / 二 进 制 模 块 分 发 给 恶 意 软 件 作 者 ， 我 们 决 定 专 注 于 他 们 进 行 更 改 。 通 过 分 析 嵌 入 在 恶 意 软 件 样 本 中 的 漏 洞 利 用 程 序 ， 我 们 可 以 了 解 有 关 漏 洞 利 用 程 序 作 者 的 更 多 信 息 ， 希 望 通 过 在 将 其 产 品 分 发 给 编 写 恶 意 软 件 的 同 行 时 研 究 他 们 的 编 码 习 惯 和 其 他 留 下 的 线 索 来 区 分 他 们 。 指 纹 利 用 开 发 人 员 我 们 不 打 算 关 注 整 个 恶 意 软 件 ， 而 是 寻 找 恶 意 软 件 家 族 或 参 与 者 的 新 样 本 ， 而 是 希 望 提 供 另 一 种 观 点 ， 并 决 定 专 注 于 漏 洞 利 用 开 发 人 员 编 写 的 这 几 个 功 能 。 从 事 件 响 应 案 例 中 获 得 这 个 小 的 6 4 位 二 进 制 文 件 看 起 来 是 一 个 有 希 望 的 开 端 。 该 二 进 制 文 件 除 了 利 用 C V E - 2 0 1 9 - 0 8 5 9 之 外 没 有 做 任 何 其 他 事 情 ， 并 且 不 基 于 公 开 共 享 的 源 代 码 或 P O C 。 由 于 可 执 行 文 件 是 由 漏 洞 利 用 作 者 以 外 的 其 他 人 编 写 的 代 码 精 炼 而 成 ， 因 此 它 非 常 适 合 我 们 进 行 指 纹 识 别 。 此 外 ， 可 执 行 文 件 与 臭 名 昭 著 的 犯 罪 软 件 恶 意 软 件 的 主 要 二 进 制 文 件 是 分 开 的 ， 这 使 我 们 相 信 ， 这 种 利 用 不 是 恶 意 软 件 开 发 人 员 内 部 开 发 的 。 带 着 这 种 希 望 ， 我 们 开 始 寻 找 更 多 由 同 一 作 者 编 写 的 漏 洞 利 用 程 序 。 我 们 首 先 从 已 经 拥 有 的 二 进 制 文 件 中 收 集 简 单 的 工 件 ： 字 符 串 ， 内 部 文 件 名 ， 时 间 戳 和 P D B 路 径 。 第 一 个 结 果 立 即 出 现 - 一 个 与 6 4 位 示 例 完 全 匹 配 的 3 2 位 可 执 行 文 件 。 具 体 来 说 ， 如 它 们 的 时 间 戳 和 嵌 入 式 P D B 路 径 所 示 ， 它 们 是 同 时 ， 从 相 同 的 源 代 码 编 译 在 一 起 的 。 现 在 我 们 有 了 这 两 个 样 本 ， 我 们 能 够 制 定 我 们 应 该 寻 找 的 东 西 。 为 了 对 这 一 漏 洞 的 作 者 进 行 指 纹 识 别 ， 我 们 将 目 光 投 向 了 以 下 方 面 ： 二 进 制 文 件 中 的 独 特 工 件 硬 编 码 值 （ 加 密 常 数 ， “ 垃 圾 ” 值 ， 例 如 0 x 1 1 2 2 3 3 4 4 ） 数 据 表 （ 通 常 是 特 定 于 版 本 的 配 置 ） 字 符 串 （ G D I 对 象 名 称 ： “   M y W i n d o w ” ， “   M y C l a s s _ 5 6 ” ， “   f i n d m e 1 ” 等 ） P D B 路 径 代 码 段 漏 洞 利 用 的 流 程 代 码 的 结 构 及 其 中 的 功 能 特 定 于 版 本 的 配 置 ： 提 供 给 客 户 的 A P I 选 项 选 项 1 ： ： 主 要 漏 洞 利 用 流 程 几 乎 没 有 分 支 选 项 ＃ 选 项 ＃ 2 ： ： 针 对 不 同 版 本 的 O S 的 多 个 扭 曲 和 旋 钮 模 块 化 ： 模 块 化 ： 功 能 分 离 结 构 ： 结 构 ： 分 离 以 清 除 阶 段 （ 初 始 化 ， 配 置 ， 喷 涂 ， 令 牌 交 换 等 ） 全 局 变 量 ： 全 局 变 量 ： 哪 些 信 息 存 储 在 全 局 变 量 中 ？ （ 操 作 系 统 版 本 ？ 操 作 系 统 版 本 枚 举 ？ 只 是 特 定 的 字 段 偏 移 量 ？ ） 字 段 偏 移 量 ： 字 段 偏 移 量 ： 哪 些 字 段 特 别 重 要 ？ 首 选 系 统 调 用 ： 首 选 系 统 调 用 首 选 系 统 调 用 ： 首 选 系 统 调 用 集 优 选 的 泄 漏 技 术 （ ， 等 ） 首 选 提 升 技 术 （ 如 何 执 行 代 币 替 换 ？ ） 堆 喷 涂 技 术 （ 使 用 A c c e l e r a t o r T a b l e s ？ W i n d o w s ？ B i t m a p s ？ ） S y s c a l l 包 装 器 内 联 组 装 H M V a l i d a t e H a n d l e g S h a r e d I n f o
专 有 加 密 功 能 / 实 现 独 特 的 功 能 实 现 技 术 和 习 惯 构 架 图 图 2 ： ： 我 们 将 寻 找 的 与 利 用 漏 洞 相 关 的 工 件 集 。 考 虑 到 这 些 属 性 ， 我 们 回 顾 了 我 们 拥 有 的 两 个 样 本 ， 并 标 记 了 一 些 我 们 认 为 独 特 的 工 件 。 即 使 我 们 只 有 两 个 小 的 二 进 制 文 件 （ 本 质 上 是 相 同 的 ） ， 我 们 仍 然 能 够 创 建 搜 寻 规 则 来 查 找 该 开 发 人 员 编 写 的 更 多 示 例 。 令 我 们 惊 讶 的 是 ， 我 们 能 够 找 到 比 想 象 中 更 多 的 东 西 。 一 个 接 一 个 地 出 现 了 几 十 个 样 本 ， 并 且 每 个 样 本 都 改 进 了 我 们 的 狩 猎 规 则 和 方 法 。 通 过 对 样 本 的 仔 细 分 析 ， 我 们 能 够 了 解 哪 些 样 本 利 用 了 哪 个 C V E ， 并 以 此 为 基 础 创 建 了 时 间 表 ， 以 了 解 该 漏 洞 是 在 暴 露 之 前 写 为 0 天 ， 还 是 1 天 基 于 补 丁 扩 散 和 类 似 技 术 实 现 的 。 到 目 前 为 止 ， 仅 基 于 我 们 的 指 纹 识 别 技 术 ， 而 没 有 进 一 步 的 情 报 ， 我 们 就 可 以 将 1 0 多 个 C V E 归 因 于 同 一 个 漏 洞 利 用 开 发 人 员 。 后 来 ， 公 开 报 道 透 露 了 我 们 的 目 标 漏 洞 利 用 销 售 者 的 名 称 ： V o l o d y a （ 又 名 V o l o d i m i r ） ， 以 前 称 为 B u g g i C o r p 。 似 乎 我 们 不 是 唯 一 的 跟 踪 此 漏 洞 的 卖 家 ， 卡 巴 斯 基 报 道 关 于 他 们 的 一 些 相 关 信 息 的 几 个 场 合 。 此 外 ， E S E T 在 其 V B 2 0 1 9 关 于 B u h t r a p 的 演 讲 中 还 提 到 了 V o l o d y a 的 一 些 重 要 线 索 。 根 据 卡 巴 斯 基 的 说 法 ， V o l o d y a 最 初 以 其 “   B u g g i C o r p ” 绰 号 成 为 头 条 新 闻 ， 当 时 他 们     在 臭 名 昭 著 的 E x p l o i t   [ 。 ] 网 络 犯 罪 论 坛 上 宣 传 了 W i n d o w s   0 天 的 待 售 广 告 ， 起 价 为 9 5 , 0 0 0 美 元 。 多 年 来 ， 价 格 上 涨 ， 他 们 的 某 些 W i n d o w s   L P E   0 天 漏 洞 利 用 软 件 的 售 价 高 达 2 0 万 美 元 。 正 如 卡 巴 斯 基 报 告 中 所 发 表 的 ， 后 来 得 到 我 们 的 确 认 ， V o l o d y a 将 漏 洞 利 用 软 件 卖 给 了 犯 罪 软 件 和 A P T 团 体 。 我 们 将 在 “ 客 户 ” 一 章 中 详 细 讨 论 演 员 的 客 户 。 演 员 的 功 绩 尽 管 我 们 的 一 些 最 初 的 狩 猎 规 则 需 要 进 行 一 些 微 调 ， 但 即 使 是 立 即 收 到 的 结 果 ， 我 们 也 感 到 非 常 惊 讶 。 经 过 进 一 步 的 校 准 后 ， 我 们 设 法 找 到 了 许 多 示 例 ， 所 有 示 例 都 是 W i n d o w s 中 的 本 地 特 权 升 级 （ L P E ） 漏 洞 。 从 这 些 样 本 中 ， 我 们 能 够 确 定 演 员 所 利 用 的 C V E 的 以 下 列 表 。 边 注 ： 边 注 ： 在 对 漏 洞 进 行 分 类 期 间 ， 我 们 在 确 定 给 定 漏 洞 是 作 为 0 天 还 是 1 天 利 用 时 选 择 了 保 守 的 方 法 。 如 果 其 他 安 全 供 应 商 将 狂 放 的 漏 洞 归 因 于 我 们 的 演 员 ， 那 么 它 就 是 0 天 。 如 果 我 们 发 现 足 够 的 证 据 表 明 我 们 的 样 本 之 一 确 实 是 在 野 外 流 通 的 漏 洞 利 用 程 序 ， 就 像 就 像 卖 方 在 其 报 告 中 所 描 述 的 那 样 ， 那 么 我 们 也 将 其 标 记 为 此 类 。 在 所 有 其 他 情 况 下 ， 我 们 将 该 漏 洞 标 记 为 被 利 用 的 1 天 ， 宁 愿 使 用 0 天 计 数 的 下 限 ， 而 不 是 错 误 地 超 过 正 确 的 数 字 。 C V E - 2 0 1 5 - 2 5 4 6 分 类 ： 分 类 ：   1   D a y 基 本 描 述 ： 基 本 描 述 ： x x x S e n d M e s s a g e
（ -   ） 中 的 免 费 使 用 后 0 D a y 供 应 商 报 告 ： 供 应 商 报 告 ： F i r e E y e 在 以 下 恶 意 软 件 样 本 中 发 现 ： 在 以 下 恶 意 软 件 样 本 中 发 现 ：   U r s n i f ， B u h t r a p 我 们 的 漏 洞 利 用 示 例 使 用 了 与 初 始 报 告 中 所 述 不 同 的 内 存 整 形 技 术 ： 喷 射 W i n d o w s 而 不 是 A c c e l e r a t o r   T a b l e s 。 此 外 ， 我 们 最 早 ， 最 基 本 的 漏 洞 利 用 示 例 包 含 以 下 P D B 路 径 ， 表 明 作 者 已 经 知 道 此 漏 洞 的 C V E - I D ： “   C ： …   v o l o d i m i r _ 8     c 2     C V E - 2 0 1 5 - 2 5 4 6   _ V S 2 0 1 2     x 6 4     R e l e a s e     C m d T e s t   . p d b ” C V E - 2 0 1 6 - 0 0 4 0 分 类 ： 分 类 ：   1 D a y 基 本 描 述 ： 基 本 描 述 ： 0 D a y 供 应 商 报 告 中 的 供 应 商 报 告 中 的 未 初 始 化 内 核 指 针 ： 不 适 用 ： 不 适 用 。 在 以 下 恶 意 软 件 样 本 中 在 以 下 恶 意 软 件 样 本 中 从 未 被 野 外 利 用 为 0 D a y ： ：   U r s n i f 此 漏 洞 利 用 已 用 于 单 个 样 本 ， 该 样 本 还 包 含 先 前 描 述 的 C V E - 2 0 1 5 - 2 5 4 6 漏 洞 。 如 果 目 标 是 W i n d o w s   8 之 前 的 W i n d o w s 版 本 ， 则 选 择 此 漏 洞 利 用 。 否 则 ， 将 使 用 C V E - 2 0 1 5 - 2 5 4 6 。 C V E - 2 0 1 6 - 0 1 6 7 分 类 ： 分 类 ： 0 D a y 基 本 描 述 ： 基 本 描 述 ： 0 D a y 供 应 商 报 告 中 供 应 商 报 告 中 免 费 使 用 后 ： ： F i r e E y e 。 在 以 下 恶 意 软 件 样 本 中 发 现 ： 在 以 下 恶 意 软 件 样 本 中 发 现 ： P U N C H B U G G Y 我 们 的 漏 洞 利 用 示 例 与 有 关 野 生 漏 洞 利 用 的 技 术 报 告 完 全 吻 合 。 C V E - 2 0 1 6 - 0 1 6 5   * 分 类 ： 分 类 ：   0 D a y 基 本 描 述 ： 基 本 描 述 ： 0 D a y 供 应 商 报 告 中 供 应 商 报 告 中 的 免 费 使 用 后 ： ： 由 卡 巴 斯 基 卡 巴 斯 基 找 到 ， 但 未 公 开 发 布 任 何 报 告 在 以 下 恶 意 软 件 样 本 中 找 到 ： 在 以 下 恶 意 软 件 样 本 中 找 到 ：   U r s n i f 这 是 一 个 有 趣 的 案 例 。 我 们 的 演 员 的 0 D a y （ C V E - 2 0 1 6 - 0 1 6 7 ） 已 于 2 0 1 6 年 4 月 由 M i c r o s o f t 修 补 。 同 一 补 丁 也 修 复 了 C V E - 2 0 1 6 - 0 1 6 5 ， 该 漏 洞 也 被 广 泛 使 用 。 为 了 寻 找 新 的 漏 洞 进 行 利 用 ， 我 们 的 演 员 可 能 对 M i c r o s o f t 的 修 补 程 序 进 行 了 补 丁 修 补 ， 并 发 现 了 一 个 他 们 认 为 是 0 D a y 修 补 的 漏 洞 。 此 漏 洞 源 自 其 先 前 漏 洞 ： 中 使 用 的 修 补 功 能 。 * 我 们 从 他 们 的 漏 洞 利 用 示 例 中 有 多 个 迹 象 表 明 ， 漏 洞 利 用 者 或 者 至 少 他 们 的 客 户 确 定 他 们 出 售 了 C V E - 2 0 1 6 - 0 1 6 5 的 漏 洞 利 用 。 可 悲 的 事 实 是 ， 在 分 析 了 漏 洞 利 用 之 后 ， 我 们 可 以 说 被 利 用 的 漏 洞 是 一 个 不 同 的 漏 洞 。 x x x S e n d M e s s a g e t a g P O P U P M E N U W M I D a t a D e v i c e   I O C o n t r o l W i n 3 2 k ! x x x M N D e s t r o y H a n d l e r W i n 3 2 k ! x x x M N D e s t r o y H a n d l e r W i n 3 2 k ! x x x M N D e s t r o y H a n d l e r
图 图 3 ： ： 调 试 字 符 串 指 示 C V E - 2 0 1 6 - 0 1 6 5 周 围 的 混 乱 ， 如 C u t t e r 所 示 。 造 成 这 种 混 乱 的 原 因 可 能 是 M i c r o s o f t 发 布 了 解 决 多 个 漏 洞 的 单 个 修 补 程 序 ， 并 且 它 们 是 唯 一 在 每 个 代 码 修 补 程 序 与 为 此 发 布 的 C V E 之 间 具 有 完 整 映 射 的 修 补 程 序 。 C V E - 2 0 1 6 - 7 2 5 5 分 类 ： 分 类 ：   0 D a y 基 本 描 述 ： 基 本 描 述 ： 内 存 损 坏 0 D a y 供 应 商 报 告 ： 供 应 商 报 告 ： 报 告 者 谷 歌 ， 通 过 技 术 报 告 趋 势 科 技 下 列 恶 意 软 件 样 本 中 发 现 ： 下 列 恶 意 软 件 样 本 中 发 现 ： 归 因 于 A P T 2 8 （ 又 名 花 式 熊 ， S e d n i t ） 。 后 来 由 U r s n i f ， D r e a m b o t ， G a n d C r a b ， C e r b e r ， M a z e 使 用 我 们 的 漏 洞 利 用 示 例 与 有 关 野 生 漏 洞 利 用 的 技 术 报 告 完 全 吻 合 。 后 来 ， 这 种 勒 索 软 件 被 不 同 的 勒 索 软 件 参 与 者 广 泛 使 用 。 此 外 ， 我 们 还 看 到 了 针 对 此 特 定 漏 洞 的 其 他 利 用 ， 它 们 也 以 1 天 的 价 格 出 售 给 其 他 勒 索 软 件 参 与 者 。 注 意 ： 注 意 ： 我 们 有 多 种 间 接 证 据 认 为 ， 这 0 D a y 是 B u g g i C o r p 在 2 0 1 6 年 5 月 发 布 到 e x p l o i t   [ 。 ] 的 著 名 广 告 中 提 到 的 那 一 天 。 C V E - 2 0 1 7 - 0 0 0 1 分 类 ： 分 类 ： 0 D a y 基 本 描 述 ： 基 本 描 述 ： 0 D a y 供 应 商 报 告 中 供 应 商 报 告 中 的 免 费 使 用 后 ： 不 适 用 ： 不 适 用 。 在 以 下 恶 意 软 件 样 本 中 在 以 下 恶 意 软 件 样 本 中 从 未 被 用 作 野 外 零 日 攻 击 ： ： 归 因 于 T u r l a 。 后 来 由 U r s n i f 使 用 在 归 因 于 T u r l a （ F i r e E y e ） 的 操 作 中 用 作 1 天 。 C V E - 2 0 1 7 - 0 2 6 3 分 类 ： 分 类 ：   0 D a y 基 本 描 述 ： 基 本 描 述 ： 0 D a y 供 应 商 报 告 中 供 应 商 报 告 中 的 免 费 使 用 后 ： ： E S E T 在 以 下 恶 意 软 件 样 本 中 发 现 ： 在 以 下 恶 意 软 件 样 本 中 发 现 ： 归 因 于 A P T 2 8 （ 又 名 F a n c y   B e a r ， S e d n i t ） 我 们 的 漏 洞 利 用 示 例 与 有 关 野 生 漏 洞 利 用 的 技 术 报 告 完 全 吻 合 。 N t U s e r S e t W i n d o w L o n g P t r R e m o v e F o n t R e s o u r c e E x W w i n 3 2 k ! x x x D e s t r o y W i n d o w
C V E - 2 0 1 8 - 8 6 4 1   * 分 类 ： 分 类 ：   0 D a y 基 本 描 述 ： 基 本 描 述 ： 0 D a y 供 应 商 报 告 中 的 供 应 商 报 告 中 的 双 倍 免 费 ： 不 适 用 ： 不 适 用 。 在 以 下 恶 意 软 件 样 本 中 在 以 下 恶 意 软 件 样 本 中 从 未 被 野 外 利 用 为 0 D a y ： ：   M a g n i b e r 再 一 次 ， 识 别 使 用 过 的 1 天 通 常 比 识 别 0 D a y 困 难 。 这 次 ， 我 们 找 不 到 任 何 可 能 暗 示 参 与 者 认 为 他 们 正 在 利 用 的 漏 洞 是 什 么 的 示 例 。 * 我 们 确 定 此 特 定 漏 洞 是 由 M i c r o s o f t 在 2 0 1 8 年 1 2 月 修 补 的 。 在 扫 描 了 此 修 补 程 序 中 解 决 的 漏 洞 列 表 之 后 ， 我 们 可 以 确 定 M i c r o s o f t 将 其 标 记 为 C V E - 2 0 1 8 - 8 6 4 1 ， 但 我 们 不 知 道 当 然 。 更 新 ： 更 新 ：   2 0 2 0 年 6 月 2 4 日 ， 卡 巴 斯 基 在 其 博 客 中 发 布 了 通 过 M a g n i t u d e 漏 洞 利 用 工 具 包 分 发 的 漏 洞 利 用 分 析 。 卡 巴 斯 基 在 他 们 的 博 客 文 章 中 分 析 了 M a g n i b e r 使 用 的 L P E 漏 洞 ， 并 将 其 归 因 于 V o l o d y a ， 并 估 计 可 能 是 C V E - 2 0 1 8 - 8 6 4 1 。 代 表 卡 巴 斯 基 的 这 一 独 立 结 论 加 强 了 我 们 的 初 步 估 计 。 C V E - 2 0 1 9 - 0 8 5 9 分 类 ： 分 类 ：   0 D a y 基 本 描 述 ： 基 本 描 述 ： 0 D a y 供 应 商 报 告 中 供 应 商 报 告 中 的 免 费 使 用 后 ： ： 卡 巴 斯 基 在 以 下 恶 意 软 件 样 本 中 发 现 ： 在 以 下 恶 意 软 件 样 本 中 发 现 ： 用 作 要 注 入 或 加 载 的 独 立 组 件 。 我 们 无 法 将 其 归 因 于 任 何 特 定 的 A P T   / 恶 意 软 件 。 我 们 的 漏 洞 利 用 示 例 与 有 关 野 生 漏 洞 利 用 的 技 术 报 告 完 全 吻 合 。 我 们 的 研 究 始 于 在 客 户 网 络 中 发 现 的 这 种 漏 洞 利 用 的 单 个 样 本 。 在 我 们 后 来 发 现 的 样 本 之 一 ， 我 们 可 以 看 到 这 清 楚 P D B 字 符 串 ： “ X ： 工 具   0 天 天   2 0 1 8 年 年 9 月 月 8 日 日   6 4   发 布 R u n P S . p d b ” ， 在 我 们 最 初 的 反 对 到 P D B 串 示 例 ： “   S ：   W o r k     I n j e c t     c v e - 2 0 1 9 - 0 8 5 9     R e l e a s e     C m d T e s t . p d b ” 。 C V E - 2 0 1 9 - 1 1 3 2   * 分 类 ： 分 类 ：   0 D a y 基 本 描 述 ： 基 本 描 述 ： 在 空 指 针 引 用 （ ） 0 D a y 的 供 应 商 报 告 ： 的 供 应 商 报 告 ： E S E T 以 下 恶 意 软 件 样 品 中 发 现 ： 以 下 恶 意 软 件 样 品 中 发 现 ： 归 因 于 B u h t r a p * 我 们 有 多 个 理 由 认 为 这 是 V o l o d y a 的 另 一 次 0 天 漏 洞 利 用 ， 因 为 报 告 中 的 多 个 技 术 细 节 与 他 们 的 典 型 漏 洞 利 用 方 法 相 符 。 此 外 ， 该 漏 洞 报 告 其 中 嵌 入 了 以 下 P D B 路 径 ： “   C ：   w o r k     v o l o d i m i r _ 6 5   … p d b ” 。 但 是 ， 这 是 我 们 列 表 中 唯 一 尚 未 发 现 样 本 的 漏 洞 利 用 程 序 ， 因 此 我 们 不 能 确 定 该 漏 洞 利 用 方 式 的 归 属 。 C V E - 2 0 1 9 - 1 4 5 8 分 类 ： 分 类 ：   0 D a y 基 本 描 述 ： 基 本 描 述 ： 窗 口 切 换 中 的 内 存 损 坏 0 D a y 供 应 商 报 告 ： 供 应 商 报 告 ： K a s p e r s k y （ （ 初 始 报 告 ， 详 细 报 告 ） 在 以 下 恶 意 软 件 样 本 中 找 到 ： 在 以 下 恶 意 软 件 样 本 中 找 到 ： 归 因 于 操 作 W i z a r d O p i u m 我 们 的 漏 洞 利 用 与 关 于 野 外 漏 洞 利 用 的 技 术 报 告 不 一 致 。 此 外 ， 卡 巴 斯 基 在 详 细 的 报 告 中 指 出 ： “ 有 趣 的 是 ， 在 补 丁 发 布 仅 一 周 后 ， 我 们 又 发 现 了 该 漏 洞 的 另 一 天 1 天 利 用 漏 洞 ， 表 明 利 用 此 漏 洞 非 常 简 单 。 ”   实 际 上 ， 我 们 的 样 本 可 追 溯 到 卡 巴 斯 基 初 次 报 告 后 的 6 天 。 w i n 3 2 k ! x x x T r a c k P o p u p M e n u E x C r e a t e W i n d o w E x w i n 3 2 k ! x x x M N O p e n H i e r a r c h y t a g P O P U P M E N U
漏 洞 摘 要 下 表 总 结 了 我 们 列 出 的 漏 洞 ： C V E 是 是 0 D a y ？ ？ C V E - 2 0 1 5 - 2 5 4 6 没 有 C V E - 2 0 1 6 - 0 0 4 0 没 有 C V E - 2 0 1 6 - 0 1 6 5   * 没 有 C V E - 2 0 1 6 - 0 1 6 7 是 是 C V E - 2 0 1 6 - 7 2 5 5 是 是 C V E - 2 0 1 7 - 0 0 0 1 没 有 C V E - 2 0 1 7 - 0 2 6 3 是 是 C V E - 2 0 1 8 - 8 6 4 1   * 没 有 C V E - 2 0 1 9 - 0 8 5 9 是 是 C V E - 2 0 1 9 - 1 1 3 2   * 是 是 C V E - 2 0 1 9 - 1 4 5 8 没 有 作 者 的 指 纹 现 在 ， 我 们 发 现 了 来 自 V o l o d y a 的 1 0 多 种 不 同 的 攻 击 ， 我 们 可 以 对 其 进 行 更 详 细 的 审 查 ， 并 熟 悉 演 员 的 工 作 习 惯 。 从 一 开 始 我 们 就 很 清 楚 ， 我 们 的 参 与 者 可 能 有 一 个 简 单 的 模 板 ， 他 们 可 以 为 不 同 的 漏 洞 利 用 程 序 部 署 ， 因 为 每 个 漏 洞 利 用 程 序 的 功 能 流 程 ， 甚 至 不 同 功 能 的 顺 序 都 在 大 多 数 漏 洞 利 用 程 序 之 间 共 享 。 在 本 节 中 ， 我 们 描 述 了 一 组 关 键 特 征 ， 这 些 特 征 反 映 了 V o l o d y a 在 创 建 利 用 模 板 时 所 做 出 的 不 同 实 现 选 择 。 我 们 将 它 们 的 实 现 与 昵 称 P l a y B i t 的 另 一 位 漏 洞 利 用 编 写 者 的 实 现 进 行 比 较 。 通 过 这 种 比 较 ， 我 们 旨 在 概 述 漏 洞 利 用 各 部 分 中 存 在 的 各 种 实 现 选 项 ， 从 而 使 每 个 作 者 的 实 现 选 择 集 成 为 他 们 思 维 和 工 作 方 式 的 独 特 “ 签 名 ” 。 P l a y B i t （ 又 名 l u x o r 2 0 0 8 ） 使 用 我 们 用 来 追 踪 V o l o d y a 漏 洞 的 相 同 技 术 ， 我 们 设 法 追 踪 了 P l a y B i t 编 写 的 5 种 W i n d o w s   L P E   1 - D a y 漏 洞 ， 以 及 作 者 多 年 来 销 售 的 其 他 工 具 。 我 们 从 R E v i l 勒 索 软 件 使 用 的 单 个 示 例 C V E - 2 0 1 8 - 8 4 5 3 开 始 ， 并 使 用 P l a y B i t s 的 独 特 指 纹 来 寻 找 更 多 漏 洞 。 我 们 发 现 以 下 W i n d o w s   L P E 漏 洞 由 作 者 实 施 为 1 天 ： C V E - 2 0 1 3 - 3 6 6 0 C V E - 2 0 1 5 - 0 0 5 7 C V E - 2 0 1 5 - 1 7 0 1 C V E - 2 0 1 6 - 7 2 5 5   – 这 是 V o l o d y a 的 0 D a y C V E - 2 0 1 8 - 8 4 5 3 从 技 术 上 讲 ， P l a y B i t 还 出 售 了 针 对 C V E - 2 0 1 9 - 1 0 6 9 （ 一 个 S a n d b o x E s c a p e r 漏 洞 ） 和 C V E - 2 0 2 0 - 0 7 8 7 的 两 个 漏 洞 。 但 是 ， 我 们 忽 略 这 些 漏 洞 ， 因 为 它 们 不 是 内 存 损 坏 漏 洞 ， 而 是 不 同 服 务 中 的 漏 洞 ， 因 此 具 有 不 同 的 结 构 。 注 意 ： 注 意 ： 将 在 即 将 发 布 的 博 客 文 章 中 发 布 对 P l a y B i t 的 更 深 入 分 析 以 及 它 们 开 发 和 出 售 的 各 种 漏 洞 。
布 尔 提 升 （ i n t   t a r g e t _ p i d ） V o l o d y a 的 所 有 利 用 示 例 中 的 A P I 始 终 相 同 。 无 论 该 漏 洞 是 嵌 入 在 恶 意 软 件 样 本 中 还 是 独 立 的 P O C ， 该 漏 洞 利 用 都 具 有 以 下 签 名 的 单 个 A P I 函 数 ： 图 图 4 ： ： 调 用 e l e v a t e （ t a r g e t _ p i d ） 函 数 ， 如 C u t t e r 所 示 。 该 漏 洞 利 用 程 序 本 身 不 包 含 将 s h e l l c o d e 注 入 另 一 个 进 程 的 任 何 功 能 ， 也 没 有 任 何 类 似 功 能 。 它 将 S Y S T E M 特 权 授 予 所 需 的 进 程 ， 仅 将 其 P I D 作 为 参 数 。 S l e e p （ 2 0 0 ） 该 功 能 在 被 恶 意 软 件 调 用 后 的 第 一 件 事 就 是 持 续 2 0 0 毫 秒 的 持 续 时 间 。 图 图 5 ： ： 通 过 调 用 来 开 始 利 用 漏 洞 ， 如 C u t t e r 所 示 。 尚 不 清 楚 为 什 么 在 漏 洞 利 用 模 板 中 存 在 。 我 们 怀 疑 这 是 为 了 避 免 不 必 要 的 不 稳 定 ， 尤 其 是 因 为 其 中 大 多 数 漏 洞 利 用 都 是 基 于 时 间 安 排 （ U A F ， 种 族 ） 。 因 此 ， 稍 等 片 刻 以 使 与 I   /   O 和 内 存 访 问 相 关 的 活 动 结 束 ， 可 以 提 高 稳 定 性 。 由 于 该 漏 洞 利 用 程 序 是 恶 意 软 b o o l   e l e v a t e ( i n t   t a r g e t _ p i d ) e l e v a t e ( ) S l e e p ( ) S l e e p ( 2 0 0 ) S l e e p ( 2 0 0 )
件 的 一 部 分 ， 因 此 在 漏 洞 利 用 程 序 执 行 之 前 ， 所 有 与 恶 意 软 件 相 关 的 代 码 都 会 导 致 C P U   / 磁 盘 /   R A M 的 短 暂 峰 值 ， 因 此 在 继 续 进 行 实 际 漏 洞 利 用 之 前 让 情 况 有 所 缓 和 可 能 是 有 意 义 的 。 对 于 短 期 峰 值 负 载 （ 在 启 动 新 进 程 ， 从 磁 盘 读 取 / 写 入 文 件 等 时 自 然 会 发 生 ） ， 它 应 该 足 以 等 待 2 0 0 m s 。 尽 管 我 们 在 最 近 的 示 例 中 注 意 到 这 种 模 式 的 变 化 ， 但 仍 可 以 在 我 们 发 现 的 9 个 漏 洞 中 找 到 该 功 能 。 与 与 P l a y B i t 的 比 较 ： 的 比 较 ：   P l a y B i t 在 其 利 用 中 没 有 任 何 此 类 功 能 。 操 作 系 统 指 纹 该 漏 洞 利 用 程 序 从 其 美 丽 的 睡 眠 中 醒 来 后 ， 便 会 立 即 识 别 并 校 准 目 标 W i n d o w s 的 版 本 ， 以 便 为 尽 可 能 多 的 O S 版 本 提 供 支 持 。 从 我 们 的 样 本 中 ， 似 乎 作 者 使 用 两 种 技 术 来 查 询 操 作 系 统 ： 解 析 n t d l l . d l l 的 标 头 这 是 最 常 用 的 技 术 。 使 用 句 柄 i n t o 可 以 找 到 到 的 偏 移 量 ， 从 中 可 以 解 析 和 字 段 。 G e t V e r s i o n E x （ ） 该 技 术 通 常 与 以 前 的 技 术 一 起 使 用 ， 并 且 仅 在 2 0 1 6 年 至 2 0 1 7 年 初 的 示 例 中 使 用 。 这 可 能 是 由 于 该 A P I 现 在 已 弃 用 。 图 图 6 ： ： 调 用 以 获 取 W i n d o w s 版 本 ， 如 C u t t e r 所 示 。 在 这 两 种 技 术 中 ， 目 标 都 是 同 时 查 询 操 作 系 统 的 主 要 版 本 和 次 要 版 本 ， 并 相 应 地 配 置 利 用 程 序 的 全 局 变 量 。 尽 管 大 多 数 漏 洞 利 用 程 序 都 支 持 广 泛 的 W i n d o w s 版 本 ， 但 V o l o d y a 似 乎 从 不 关 心 目 标 的 特 定 S e r v i c e   P a c k ， 也 不 必 关 心 它 是 否 是 W i n d o w s 服 务 器 。 除 了 对 仅 用 于 C V E - 2 0 1 9 - 1 4 5 8 的 漏 洞 的 特 定 W i n d o w s   1 0 构 建 版 本 感 兴 趣 之 外 ， 我 们 的 a c t o r 仅 使 用 主 要 版 本 和 次 要 版 本 ， 仅 此 而 已 。 比 较 比 较 P l a y B i t ： ： 再 一 次 ， 使 用 时 ， 通 常 与 从 进 程 环 境 块 （ P E B ） 本 身 的 主 要 和 次 要 号 码 的 后 附 加 的 解 析 ， 如 可 以 在 图 7 中 可 以 看 出 不 仅 用 于 P E B 代 替 ， 也 P l a y B i t 从 输 出 中 提 取 其 他 信 息 ， 例 如 计 算 机 的 S e r v i c e   P a c k ， 甚 至 检 查 目 标 计 算 机 是 否 使 用 服 务 器 操 作 系 统 。 n t d l l . d l l I M A G E _ N T _ H E A D E R S M a j o r O p e r a t i n g S y s t e m V e r s i o n M i n o r O p e r a t i n g S y s t e m V e r s i o n G e t V e r s i o n E x W ( ) G e t V e r s i o n E x ( ) n t d l l . d l l G e t V e r s i o n E x ( )
图 图 7 ： ： 从 P E B 中 提 取 主 要 版 本 和 次 要 版 本 ， 如 C u t t e r 所 示 。 这 是 两 个 演 员 在 作 案 手 法 上 的 明 显 区 别 。 它 们 不 仅 以 不 同 的 方 式 提 取 相 同 的 信 息 ， 而 且 V o l o d y a 对 信 息 的 兴 趣 远 不 如 P l a y B i t ， 即 使 它 们 都 利 用 相 同 的 漏 洞 （ C V E - 2 0 1 6 - 7 2 5 5 ） 。 通 常 ， 两 个 参 与 者 都 拥 有 详 细 的 特 定 于 版 本 的 配 置 ， 一 旦 确 定 了 O S 版 本 ， 它 们 就 会 从 中 加 载 相 关 信 息 。 两 者 之 间 的 主 要 区 别 在 于 ， V o l o d y a 漏 洞 利 用 程 序 中 的 代 码 流 很 少 依 赖 于 操 作 系 统 版 本 ， 而 P l a y B i t 则 使 用 多 种 依 赖 于 操 作 系 统 版 本 的 i f - c h e c k s 来 合 并 多 个 扭 曲 和 旋 钮 。 反 过 来 ， 这 会 影 响 他 们 对 确 切 版 本 详 细 信 息 的 不 同 兴 趣 。 内 核 地 址 泄 漏 在 绝 大 多 数 漏 洞 利 用 中 ， 参 与 者 使 用 内 核 指 针 泄 漏 原 语 来 调 整 漏 洞 利 用 。 在 除 C V E - 2 0 1 9 - 1 4 5 8 之 外 的 所 有 漏 洞 利 用 中 ， 此 泄 漏 原 语 都 是 众 所 周 知 的 H M V a l i d a t e H a n d l e 技 术 。 是 的 内 部 未 导 出 函 数 ， 可 被 各 种 功 能 （ 例 如 ） 利 用 ， 并 且 可 用 于 获 取 所 有 W i n d o w s 版 本 （ 直 到 W i n d o w s   1 0   R S 4 ） 中 不 同 W i n d o w 对 象 的 内 核 地 址 。 这 项 技 术 是 众 所 周 知 的 ， 甚 至 早 在 2 0 1 1 年 就 已 使 用 ， 因 此 大 多 数 开 发 教 程 都 选 择 专 门 解 析 以 查 找 的 地 址 。 令 人 惊 讶 的 是 ， 在 可 用 于 查 找 的 数 十 种 不 同 功 能 中 ， 演 员 仅 遵 循 了 著 名 的 教 程 并 选 择 了 使 用 。 令 人 惊 讶 的 是 ， 多 年 来 ， 这 种 通 用 的 开 发 技 术 仍 然 运 作 良 好 ， 没 有 给 演 员 任 何 动 力 去 尝 试 通 过 选 择 诸 如 的 鲜 为 人 知 的 “ 隐 藏 ” 功 能 。 该 泄 漏 为 我 们 提 供 了 以 下 内 容 ： 我 们 窗 口 的 内 核 地 址 。 我 们 （ 该 字 段 ） 的 内 核 地 址 。 在 利 用 过 程 中 的 多 个 步 骤 中 将 使 用 此 信 息 ： 在 指 向 / 创 建 伪 内 核 结 构 时 使 用 地 址 。 确 保 我 们 的 内 核 地 址 是 有 效 的 U n i c o d e 字 符 串 （ 不 包 含 两 个 连 续 的 '   x 0 0 ' 字 节 ） 。 H M V a l i d a t e H a n d l e ( ) u s e r 3 2 . d l l i s M e n u ( ) i s M e n u ( ) H M V a l i d a t e H a n d l e ( ) H M V a l i d a t e H a n d l e ( ) i s M e n u ( ) C h e c k M e n u R a d i o I t e m ( ) T H R E A D _ I N F O p t i
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理