搜索

[11642] 2017-08-09_Office高级威胁漏洞在野利用分析

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2017-08-09_Office高级威胁漏洞在野利用分析 O f f i c e 高 级 威 胁 漏 洞 在 野 利 用 分 析 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 0 8 - 0 9 高 级 威 胁 漏 洞 背 景 高 级 威 胁 漏 洞 背 景 在 高 级 威 胁 攻 击 中 ， 黑 客 远 程 投 递 入 侵 客 户 端 最 喜 欢 的 漏 洞 是 在 高 级 威 胁 攻 击 中 ， 黑 客 远 程 投 递 入 侵 客 户 端 最 喜 欢 的 漏 洞 是 o f f i c e 文 档 漏 洞 ， 就 在 刚 刚 结 束 不 久 的 黑 帽 子 大 会 文 档 漏 洞 ， 就 在 刚 刚 结 束 不 久 的 黑 帽 子 大 会 上 ， 最 佳 客 户 端 安 全 漏 洞 奖 颁 给 了 上 ， 最 佳 客 户 端 安 全 漏 洞 奖 颁 给 了 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 ， 这 个 漏 洞 是 时 下 漏 洞 ， 这 个 漏 洞 是 时 下 o f f i c e 漏 洞 领 域 最 热 门 的 安 全 漏 洞 ， 最 漏 洞 领 域 最 热 门 的 安 全 漏 洞 ， 最 佳 客 户 端 安 全 漏 洞 这 个 荣 誉 归 于 佳 客 户 端 安 全 漏 洞 这 个 荣 誉 归 于 R y a n   H a n s o n 、 、 H a i f e i   l i 、 、 B i n g   S u n 以 及 未 知 的 黑 客 。 以 及 未 知 的 黑 客 。 图 1 C V E - 2 0 1 7 - 0 1 9 9 是 O f f i c e 系 列 办 公 软 件 中 的 一 个 逻 辑 漏 洞 ， 和 常 规 的 内 存 破 坏 型 漏 洞 不 同 ， 这 类 漏 洞 无 需 复 杂 的 利 用 手 法 ， 直 接 就 可 以 在 o f f i c e 文 档 中 运 行 任 意 的 恶 意 脚 本 ， 使 用 起 来 稳 定 可 靠 。 微 软 在 今 年 4 月 安 全 更 新 中 对 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 进 行 了 修 复 ， 但 安 全 补 丁 的 修 复 及 防 御 仍 然 可 以 绕 过 ， 在 7 月 微 软 的 安 全 更 新 中 又 修 复 了 同 样 类 型 的 新 漏 洞 C V E - 2 0 1 7 - 8 5 7 0 。 在 S y s c a n 3 6 0   2 0 1 7 西 雅 图 安 全 会 议 上 ， H a i f e i   l i 和 B i n g   S u n 的 议 题 《 M o n i k e r 魔 法 ： 直 接 在 M i c r o s o f t O f f i c e 中 运 行 脚 本 》 详 细 解 析 了 这 类 漏 洞 的 原 理 ， 本 文 就 不 再 赘 述 ， 下 面 开 始 着 重 分 析 这 些 漏 洞 的 在 野 利 用 情 况 。 野 外 利 用 的 第 一 个 野 外 利 用 的 第 一 个 R T F 版 本 版 本 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 在 第 一 次 被 公 开 时 ， 野 外 最 早 利 用 的 样 本 是 以 w o r d 文 档 的 形 成 进 行 传 播 利 用 ， 由 于 o f f i c e 文 档 后 缀 关 联 的 宽 松 解 析 特 性 ， 更 改 其 他 文 档 后 缀 名 ， 攻 击 仍 然 可 以 成 功 ， 所 以 野 外 利 用 的 大 部 分 恶 意 文 档 的 真 实 文 件 格 式 是 R T F 格 式 ， 但 恶 意 文 档 的 后 缀 名 却 是   d o c   、 d o c x 等 后 缀 ， 该 攻 击 具 有 较 强 的 伪 装 欺 骗 特 性 。 在 野 外 利 用 样 本 文 件 格 式 中 有 一 个 关 键 字 段 o b j u p d a t e ， 这 个 字 段 的 作 用 是 自 动 更 新 对 象 ， 当 受 害 者 打 开 o f f i c e 文 档 时 就 会 加 载 远 程 U R L 的 对 象 ， 对 远 程 服 务 器 触 发 一 个 H T T P 请 求 ， 恶 意 服 务 器 会 对 针 对 客 户 端 的 h t t p 请 求 强 制 返 回 C o n t e n t - t y p e 为 a p p l i c a t i o n / h t a 响 应 ， 最 终 客 户 端 o f f i c e 进 程 会 将 远 程 的 文 件 下 载 当 作 h t a 脚 本 运 行 ， 整 个 攻 击 过 程 稳 定 且 不 需 要 受 害 者 的 任 何 交 互 操 作 。
图 2 野 外 利 用 的 第 二 个 野 外 利 用 的 第 二 个 P P S X 版 本 版 本 由 于 R T F 版 本 的 漏 洞 利 用 大 量 使 用 ， 各 家 安 全 软 件 检 出 率 也 都 比 较 高 ， 攻 击 者 开 始 转 向 另 外 一 种 o f f i c e 文 档 格 式 进 行 攻 击 ， 攻 击 者 发 现 p p s x 格 式 的 幻 灯 片 文 档 也 可 以 无 交 互 触 发 漏 洞 ， 该 利 用 方 式 的 原 理 是 利 用 幻 灯 片 的 动 画 事 件 ， 当 幻 灯 片 的 一 些 预 定 义 事 件 触 发 时 可 以 自 动 触 发 导 致 漏 洞 利 用 。 如 下 图 ， 一 个 流 行 的 攻 击 样 本 中 嵌 入 的 恶 意 动 画 事 件 ： 图 3 事 件 会 关 联 一 个 o l e l i n k 对 象 ， 原 理 类 似 r t f 版 本 ， 如 下 x m l 中 的 字 段 。 图 4 但 对 象 会 嵌 入 的 是 一 个 带 有 s c r i p t 协 议 头 的 远 程 地 址 ， 而 u r l 地 址 中 的 X M L 文 件 是 一 个 恶 意 s c t 脚 本 。
图 5 当 受 害 者 打 开 恶 意 幻 灯 片 文 档 时 就 会 自 动 加 载 远 程 U R L 的 对 象 ， 对 远 程 服 务 器 发 起 一 个 H T T P 请 求 将 文 件 下 载 到 本 地 ， 最 终 客 户 端 o f f i c e 进 程 会 将 下 载 到 本 地 的 文 件 当 作 s c t 脚 本 执 行 。 最 新 流 行 的 第 三 个 最 新 流 行 的 第 三 个 D O C X 版 本 版 本 近 期 我 们 发 现 有 部 分 真 实 文 件 格 式 是 D o c x 格 式 的 文 档 加 入 了 C V E - 2 0 1 7 - 0 1 9 9 的 漏 洞 利 用 ， 攻 击 者 非 常 巧 妙 的 将 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 的 R T F 文 件 作 为 一 个 源 嵌 入 到 了 D o c x 格 式 的 文 档 中 ， 这 样 导 致 d o c x 文 件 在 打 开 时 是 自 动 去 远 程 获 取 包 含 0 1 9 9 漏 洞 的 r t f 文 件 ， 再 触 发 后 面 的 一 连 串 攻 击 行 为 ， 这 样 的 攻 击 增 加 了 安 全 软 件 的 查 杀 难 度 ， 一 些 杀 毒 软 件 毫 无 察 觉 ！ 如 下 图 ， 我 们 会 发 现 d o c x 格 式 的 文 档 嵌 入 了 一 个 远 程 的 文 档 对 象 ： 图 6 打 开 文 档 后 会 自 动 打 开 远 程 的 恶 意 R T F 文 件 ！
图 7 我 们 可 以 看 到 在 野 利 用 的 R T F 样 本 在 V T 上 的 检 出 率 为 3 1 / 5 9 。 图 8 而 最 新 流 行 的 D O C X 版 本 的 检 出 率 仅 为 5 / 5 9 。 图 9 最 新 发 现 的 最 新 发 现 的 “ 乌 龙 乌 龙 ” 样 本 样 本 上 周 我 们 在 外 界 发 现 了 多 例 标 注 为 C V E - 2 0 1 7 - 8 5 7 0 的 o f f i c e 幻 灯 片 文 档 恶 意 样 本 ， 同 时 有 安 全 厂 商 宣 称 第 一 时 间 捕 获 了 最 新 的 o f f i c e 漏 洞 ， 但 经 过 分 析 我 们 发 现 该 样 本 仍 然 是 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 野 外 利 用 的 第 二 个 P P S X 版 本 ， 通 过 对 一 例 典 型 样 本 进 行 分 析 ， 我 们 发 现 样 本 使 用 的 p a y l o a d 是 L o k i   B o t 窃 密 类 型 的 木 马 病 毒 ， 是 一 起 有 针 对 性 的 窃 密 攻 击 。
图 1 0 该 样 本 使 用 p o w e r s h e l l 下 载 执 行 s h e l l . e x e 下 载 地 址 为   h x x p : / / 1 9 2 . 1 6 6 . 2 1 8 . 2 3 0 : 3 5 5 0 / r a t m a n . e x e S h e l l . e x e   是 一 个 混 淆 的 . N E T 程 序 图 1 1 S h e l l . e x e 会 内 存 解 密 执 行 L o k i   B o t 功 能 ， 这 时 L o k i   B o t 木 马 会 窃 取 各 种 软 件 的 信 息 。
图 1 2 图 1 3 如 , 窃 取 F i r e f o x 信 息
图 1 4 窃 取 c h r o m e   3 6 0 B r o w s e r 等 浏 览 器 信 息 图   1 5
窃 取 各 类 F T P 软 件 的 信 息 图 1 6 最 后 提 交 窃 取 的 相 关 数 据 到 远 程 服 务 器 h x x p : / / w w w . a l l s t r o y k a . e l e k o . b y / l i b r a r i e s / d o m i t / d u b / f r e . p h p 图 1 7 “ 乌 龙 乌 龙 ” 样 本 样 本 I O C 总 结 和 漏 洞 防 护 建 议 总 结 和 漏 洞 防 护 建 议 目 前 流 行 的 o f f i c e 高 级 威 胁 漏 洞 趋 向 于 稳 定 的 逻 辑 漏 洞 ， C V E - 2 0 1 7 - 0 1 9 9 仍 然 是 主 流 利 用 漏 洞 类 型 ， 该 漏 洞 会 针 对 不 同 u r l h x x p : / / [ w w w . a l l s t r o y k a . e l e k o . b y / l i b r a r i e s / d o m i t / d u b / f r e . p h p ] ( h t t p : / / w w w . a l l s t r o y k a . e l e k o . b y / l i b r a r i e s / d o m i t / d u b / f r e . p h p ) h x x p : / / 1 9 2 . 1 6 6 . 2 1 8 . 2 3 0 : 3 5 5 0 / r a t m a n . e x e h x x p : / / 1 9 2 . 1 6 6 . 2 1 8 . 2 3 0 : 3 5 5 0 / l o g o . d o c m d 5 : f 2 2 6 0 d 0 6 3 e 3 a a 2 2 7 5 a c c 5 9 6 8 7 e 2 6 3 e 9 c       S h e l l . e x e e 8 a d 2 a 5 6 5 0 b a 9 b 8 9 c 4 4 3 8 9 f 7 8 d a 2 0 5 c 8       p p s x
文 档 格 式 利 用 有 不 同 变 种 ， 同 时 新 的 C V E - 2 0 1 7 - 8 5 7 0 漏 洞 也 在 蠢 蠢 欲 动 。 面 对 恶 意 文 档 攻 击 ， 广 大 用 户 需 要 提 高 安 全 意 识 ， 不 要 轻 易 打 开 不 明 来 路 的 o f f i c e 文 档 ， 同 时 针 对 如 下 流 行 的 o f f i c e 办 公 软 件 ， 使 用 3 6 0 安 全 卫 士 安 装 最 新 的 安 全 补 丁 ， 修 复 C V E - 2 0 1 7 - 0 1 9 9 和 C V E - 2 0 1 7 - 8 5 7 0 漏 洞 。 *   本 文 作 者 ： 3 6 0 安 全 卫 士 ， 转 载 请 注 明 F r e e B u f . C O M 阅 读 原 文 |   M i c r o s o f t   O f f i c e   2 0 0 7   S e r v i c e   P a c k   3   | |   - - -   | |   M i c r o s o f t   O f f i c e   2 0 1 0   S e r v i c e   P a c k   2   ( 3 2 - b i t   e d i t i o n s )   | |   M i c r o s o f t   O f f i c e   2 0 1 0   S e r v i c e   P a c k   2   ( 6 4 - b i t   e d i t i o n s )   | |   M i c r o s o f t   O f f i c e   2 0 1 3   R T   S e r v i c e   P a c k   1   | |   M i c r o s o f t   O f f i c e   2 0 1 3   S e r v i c e   P a c k   1   ( 3 2 - b i t   e d i t i o n s )   | |   M i c r o s o f t   O f f i c e   2 0 1 3   S e r v i c e   P a c k   1   ( 6 4 - b i t   e d i t i o n s )   | |   M i c r o s o f t   O f f i c e   2 0 1 6   ( 3 2 - b i t   e d i t i o n )   | |   M i c r o s o f t   O f f i c e   2 0 1 6   ( 6 4 - b i t   e d i t i o n )   |
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理