搜索

[15428] 2020-05-28_黑客使用Sophos防火墙中的0day漏洞部署勒索软件

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-05-28_黑客使用Sophos防火墙中的0day漏洞部署勒索软件 黑 客 使 用 S o p h o s 防 火 墙 中 的 0 d a y 漏 洞 部 署 勒 索 软 件 日 影 飞 趣   F r e e B u f   2 0 2 0 - 0 5 - 2 8 黑 客 试 图 利 用 黑 客 试 图 利 用 S o p h o s   X G 防 火 墙 中 的 防 火 墙 中 的 0 d a y 漏 洞 将 勒 索 软 件 分 发 到 漏 洞 将 勒 索 软 件 分 发 到 W i n d o w s 计 算 机 ， 但 遭 到 计 算 机 ， 但 遭 到 S o p h o s 发 布 的 修 补 程 序 阻 止 。 发 布 的 修 补 程 序 阻 止 。 4 月 底 ， 黑 客 利 用 了 一 个 S Q L 注 入 0 d a y   漏 洞 ， 可 导 致 在 S o p h o s   X G 防 火 墙 中 执 行 远 程 代 码 。 攻 击 者 利 用 此 漏 洞 安 装 各 种 E L F 二 进 制 文 件 和 脚 本 ， S o p h o s 将 其 命 名 为   A s n a r ö k 木 马 。 该 木 马 常 用 于 从 防 火 墙 窃 取 数 据 ， 这 些 数 据 可 能 被 攻 击 者 用 来 远 程 破 坏 网 络 。 这 些 数 据 包 括 ： 这 些 数 据 包 括 ： 防 火 墙 的 许 可 证 和 序 列 号 存 储 在 设 备 上 用 户 帐 户 的 电 子 邮 件 地 址 列 表 ， 以 及 一 些 属 于 防 火 墙 管 理 员 帐 户 的 主 要 电 子 邮 件 防 火 墙 用 户 的 名 称 ， 用 户 名 ， 密 码 的 加 密 形 式 以 及 管 理 员 帐 号 的 盐 化 S H A 2 5 6 哈 希 密 码 ， 该 密 码 不 是 以 纯 文 本 格 式 存 储 的 。 允 许 将 防 火 墙 用 于 S S L   V P N 的 用 户 I D 和 允 许 使 用 “   无 客 户 端 ”   V P N 连 接 的 帐 号 列 表 。 您 可 以 通 过 以 下 的 S o p h o s 图 表 了 解 攻 击 是 如 何 策 划 的 。 A s n a r ö k 木 马 的 攻 击 流 程 木 马 的 攻 击 流 程
一 旦 发 现 这 些 攻 击 ， S o p h o s   就 将   防 火 墙 修 复 程 序 推   送 到 防 火 墙 ， 该 防 火 墙 会 关 闭 S Q L 注 入 漏 洞 并 删 除 恶 意 脚 本 。 在 S o p h o s 今 天 发 布 的 一 份 新 报 告 中 ， 我 们 了 解 到 S o p h o s   推 出 其 修 补 程 序 仅 几 小 时 后 ， 攻 击 者 便 对 其 攻 击 进 行 了 修 改 ， 以 将 R a g n a r o k   勒 索 软 件 分 发 到 网 络 上 未 打 补 丁 的 W i n d o w s   计 算 机 上 。 首 先 ， 他 们 开 始 在 被 黑 客 入 侵 的 防 火 墙 上 更 改 其 脚 本 ， 以 使 用 “ 失 能 开 关   ” ， 如 果 删 除 了 特 定 文 件 并 重 新 启 动 了 设 备 ， 则 稍 后 将 激 活 勒 索 软 件 攻 击 。 失 能 开 关 失 能 开 关 值 得 庆 幸 的 是 ， S o p h o s 的 修 补 程 序 通 过 删 除 必 需 的 组 件 且 无 需 重 新 启 动 防 火 墙 来 阻 止 了 此 攻 击 ， 于 是 攻 击 者 再 次 更 改 了 计 划 。 S o p h o s 在 其 报 告 中   解 释 道 ： “ 攻 击 者 可 能 意 识 到 ， 勒 索 软 件 下 载 不 是 由 失 能 开 关 发 起 的 ， 也 许 是 由 于 缺 少 重 启 ， 于 是 攻 击 者 更 改 了 在 攻 击 早 期 阶 段 提 供 的 一 些 S h e l l   脚 本 ， 包 括 用 勒 索 软 件 有 效 载 荷 替 换 了 自 己 的 数 据 窃 取 模 块 。 ” 在 此 新 攻 击 中 ， 攻 击 者 试 图 立 即 将 R a g n a r o k   勒 索 软 件 推 送 到 网 络 上 易 受 攻 击 的 W i n d o w s   计 算 机 上 。 R a g n a r o k 是 针 对 企 业 的 目 标 勒 索 软 件 ， 其 运 营 商 过 去 利 用   C i t r i x   A D C 网 关   设 备 中 的 漏 洞   来 部 署 。 为 了 部 署 勒 索 软 件 ， 他 们 计 划 使 用 永 恒 之 蓝 漏 洞 和 D o u b l e P u l s a r   C I A 漏 洞 将 恶 意 软 件 复 制 到 易 受 攻 击 的   W i n d o w s 计 算 机 上 ， 并 将 其 注 入 到 现 有 的 e x p l o r e r . e x e 进 程 中 。 注 入 勒 索 软 件 后 ， 勒 索 软 件 将 开 始 对 易 受 攻 击 的 计 算 机 上 的 文 件 进 行 加 密 ， 并 留 下 赎 金 记 录 ， 其 中 包 含 有 关 如 何 支 付 赎 金 的 说 明 。
R a g n a r o k 赎 金 提 示 赎 金 提 示 好 消 息 是 ， 此 修 补 程 序 阻 止 了 S o p h o s 向 防 火 墙 发 出 的 所 有 这 些 攻 击 。 但 这 些 攻 击 说 明 了 威 胁 者 如 何 将 外 围 设 备 作 为 目 标 来 获 得 对 网 络 的 访 问 权 或 部 署 恶 意 软 件 。 因 此 ， 必 须 始 终 确 保 这 些 设 备 安 装 了 最 新 的 安 全 更 新 。 如 果 外 围 设 备 能 够 自 动 安 装 发 布 的 更 新 安 全 ， 那 么 我 们 可 以 使 用 此 选 项 来 防 止 因 为 错 过 更 新 升 级 而 导 致 的 严 重 漏 洞 。 * 参 考 来 源 ： 参 考 来 源 ： b l e e p i n g c o m p u t e r ， 日 影 飞 趣 编 译 ， 转 载 请 注 明 来 自 ， 日 影 飞 趣 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理