搜索

[19016] 2016-06-02_已知漏洞的再利用——在网络攻击中也能老树开新花？

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-06-02_已知漏洞的再利用——在网络攻击中也能老树开新花？ 已 知 漏 洞 的 再 利 用 — — 在 网 络 攻 击 中 也 能 老 树 开 新 花 ？ 原 创   i n n 0 t e a m   编 译   i n n 0 t e a m   2 0 1 6 - 0 6 - 0 2 原 文 作 者 ： M i c h a e l   G o r e l i k   原 文 地 址 ： h t t p : / / b l o g . m o r p h i s e c . c o m / r e c y c l i n g - e x p l o i t s - c y b e r - s e c u r i t y 本 文 由 本 文 由 i n n 0 t e a m 的 核 心 成 员 （ 的 核 心 成 员 （ J e r e m y ， ， x y z z h a n g f a n ） 联 合 编 译 ） 联 合 编 译           在 进 行 研 究 的 过 程 中 ， 我 们 经 常 遇 到 这 个 简 单 而 又 残 酷 的 事 实 ， 那 就 是 恶 意 软 件 的 作 者 能 够 通 过 对 代 码 做 一 些 小 改 动 就 能 轻 易 地 摆 脱 主 流 安 全 产 品 对 其 的 检 测 。 在 这 篇 技 术 分 析 中 ,   我 们 展 示 了 一 些 这 类 攻 击 手 段 的 内 在 细 节 。 这 些 特 定 的 攻 击 手 段 早 在 几 年 前 就 被 发 现 ， 并 且 厂 商 也 发 布 了 安 全 补 丁 。 但 作 者 通 过 对 代 码 进 行 修 改 ， 能 使 几 乎 所 有 的 安 全 产 品 对 它 们 视 而 不 见 。               造 成 这 种 现 象 的 原 因 源 于 安 全 产 品 的 工 作 方 式 。 当 然 ， 一 般 而 言 ， 还 有 恶 意 软 件 作 者 的 思 考 方 式 。 安 全 产 品 总 会 搜 索 一 些 特 定 的 东 西 。 这 种 搜 索 既 巧 妙 ， 又 智 能 ， 还 模 糊 ， 但 他 们 仍 旧 使 用 从 先 前 被 发 现 的 特 定 攻 击 中 获 取 的 知 识 来 搜 索 一 些 特 定 的 对 象 。 恶 意 软 件 的 作 者 则 通 过 了 解 安 全 产 品 到 底 在 寻 找 什 么 ， 同 时 对 代 码 进 行 少 许 修 改 来 克 服 安 全 软 件 的 这 种 能 力 。 随 后 ， 作 者 会 满 意 的 发 现 ， 恶 意 软 件 无 法 被 检 测 到 了 。 尽 管 对 扫 描 机 制 倾 注 了 了 大 量 精 力 ， 但 是 一 个 一 个 人 只 要 有 一 台 笔 记 本 电 脑 ， 足 够 的 毅 力 ， 一 份 咖 啡 ， 便 能 使 它 失 效 。               C V E - 2 0 1 2 - 0 1 5 8 是 一 个 早 在 2 0 1 2 年 就 被 微 软 修 复 的 A c t i v e X 漏 洞 ， 但 它 仍 是 最 最 流 行 的 用 于 文 档 攻 击 的 C V E 之 一 。 就 在 几 天 前 ， u a n a l y s i s . c o m 网 站 发 现 了 一 份 通 过 E x c e l 传 输 的 ， 几 乎 能 躲 避 所 有 流 行 的 安 全 解 决 方 案 检 测 的 版 本 。 （ 这 一 段 广 告 就 不 翻 译 了 Q A Q ） 攻 击 分 析 攻 击 分 析 这 份 分 析 不 包 括 漏 洞 利 用 过 程 以 及 漏 洞 本 身 ， 因 为 这 两 者 已 经 被 透 彻 的 探 讨 过 了 。 相 反 ， 我 们 深 入 s h e l l c o d e 之 中 ， 揭 示 这 个 漏 洞 利 用 程 序 如 何 逃 脱 安 全 解 决 方 案 的 检 测 的 。 s h e l l c o d e 的 大 致 的 这 些 步 骤 如 下 （ 下 一 章 节 有 相 关 的 技 术 细 节 ） ： 1 . s h e l l c o d e 在 M S C O M C T L （ M i c r o s o f t   W i n d o w s   C o m m o n   C o n t r o l s   ） 的 g a d g e t 激 活 之 后 进 行 初 始 化 - >   J M P   E S P   ( R E T ) ； 2 . s h e l l c o d e 有 两 轮 按 序 的 解 密 流 程 ， 以 激 活 第 二 阶 段 的 s h e l l c o d e 和 一 些 复 杂 的 反 调 试 技 术 ； 3 . 第 二 阶 段 的 s h e l l c o d e 通 过 遍 历 P E B 和 k e r n e l 3 2 模 块 来 定 位 函 数 ， 通 过 迭 代 遍 历 所 有 句 柄 来 定 位 x l s 文 件 的 句 柄 ， 然 后 读 取 它 ， 并 定 位 其 m a g i c   n u m b e r ， 并 解 密 其 第 三 阶 段 的 主 要 的 s h e l l c o d e ； 4 . 第 三 阶 段 的 s h e l l c o d e 再 次 从 P E B 中 定 位 更 多 的 函 数 ， 但 此 时 它 使 得 指 针 偏 移 很 小 的 距 离 （ 0 x 5 ） 来 绕 过 钩 子 函 数 ； 5 . 它 的 下 一 步 操 作 是 加 载 M S V B V M 6 0 . d l l 文 件 ， 这 是 V B 6 在 3 2 位 环 境 的 运 行 组 件 ， 虽 然 加 载 这 个 组 件 的 原 因 有 所 不 同 ； 6 . 接 下 来 它 从 这 个 模 块 定 位 到 P u t M e m V a r 这 个 函 数 然 后 将 其 替 换 为 一 个 自 制 的 ， 能 够 接 受 任 何 函 数 指 针 作 为 参 数 并 从 代 码 中 将 其 激 活 的 函 数 （ 绕 过 控 制 流 分 析 ） ； 7 . 接 下 来 s h e l l c o d e 通 过 从 x l s 文 件 中 解 密 新 的 片 段 来 大 量 的 使 用 P u t M e m V a r 这 一 函 数 。 这 一 片 段 实 际 上 是 一 个 有 传 染 性 的 密 码 盗 窃 恶 意 软 件 ； 8 . 为 了 避 免 任 何 白 名 单 策 略 和 对 可 执 行 文 件 进 行 扫 描 的 杀 软 ， 该 s h e l l c o d e 在 挂 起 状 态 创 建 了 一 个 E x c e l 子 进 程 的 副 本 ， 用 可 执 行 部 分 重 载 其 内 存 部 分 ， 然 后 恢 复 进 程 。
总 结 总 结 这 段 恶 意 代 码 的 作 者 进 行 了 大 量 的 工 作 来 躲 避 现 有 的 高 级 保 护 技 术 。 这 一 点 可 以 从 该 s h e l l c o d e 中 使 用 的 高 级 手 段 中 看 出 。 （ 替 换 现 有 d l l 文 件 的 函 数 来 欺 骗 控 制 流 分 析 ； 通 过 偏 移 很 小 的 距 离 （ 0 x 5 ） 来 调 用 目 标 函 数 从 而 绕 过 钩 子 ； 保 持 无 实 体 文 件 状 态 来 绕 过 白 名 单 策 略 和 反 病 毒 软 件 ； 仅 通 过 检 查 模 块 名 的 长 度 来 加 载 K e r n e l 3 2 这 类 主 模 块 ； 通 过 散 列 化 文 件 名 来 定 位 函 数 ， 这 一 般 用 来 欺 骗 静 态 分 析 ； 对 于 文 件 句 柄 的 处 理 也 是 如 此 ） 。 虽 然 所 有 的 这 些 技 术 都 是 知 名 且 并 非 新 的 ， 但 这 让 的 组 合 还 是 很 少 见 。 类 似 的 s h e l l c o d e 技 术 在 较 新 的 C V E - 2 0 1 5 - 2 5 4 5 恶 意 E P S   W o r d 文 档 样 本 能 找 到 ( s h a 2 5 6 值 ：   -   9 c 6 d c 1 c 2 e a 5 b 2 3 7 0 b 5 8 b 0 a c 1 1 f d e 8 2 8 7 c d 4 9 a e e 3 e 0 8 9 d b d f 5 8 9 c c 8 d 5 1 c 1 f 7 a 9 e ) ， 虽 然 在 这 个 例 子 中 ， 其 中 的 “ 远 程 管 理 工 具 ” 并 不 是 无 实 体 文 件 状 态 的 。 技 术 细 节 1 . s h e l l c o d e 在 M S C O M C T L （ M i c r o s o f t   W i n d o w s   C o m m o n   C o n t r o l s   ） 的 g a d g e t 激 活 之 后 进 行 初 始 化 - >   J M P   E S P   ( R E T ) ； 2 . s h e l l c o d e 有 两 轮 按 序 的 解 密 流 程 ， 以 激 活 第 二 阶 段 的 s h e l l c o d e 和 一 些 复 杂 的 反 调 试 技 术 （ 异 或 解 密 ） ；
3 . 仅 通 过 检 测 模 块 名 的 长 度 加 载 K e r n e l 3 2 （ 没 有 对 比 任 何 散 列 或 名 称 ） ； 4 . 第 二 阶 段 的 s h e l l c o d e 通 过 遍 历 P E B 和 k e r n e l 3 2 模 块 来 定 位 函 数 （ 计 算 函 数 名 称 的 R O R   7 散 列 ， 并 对 比 已 有 的 散 列 结 果 ） ；
5 . 通 过 迭 代 遍 历 所 有 句 柄 来 定 位 x l s 文 件 的 句 柄 ， 然 后 读 取 它 ， 并 定 位 其 m a g i c   n u m b e r ， 随 后 异 或 “ 0 x E 3 ” 解 密 第 三 阶 段 主 要 的 s h e l l c o d e 。
6 . 解 密 后 的 第 3 阶 段 的 s h e l l c o d e ；
7 . 第 三 阶 段 的 s h e l l c o d e 再 次 从 P E B 中 定 位 更 多 的 函 数 ， 但 此 时 它 使 得 指 针 偏 移 很 小 的 距 离 （ 0 x 5 ） 来 绕 过 钩 子 函 数 ；
8 . 它 的 下 一 步 操 作 是 加 载 M S V B V M 6 0 . d l l 文 件 ， 这 是 V B 6 在 3 2 位 环 境 的 运 行 组 件 ， 虽 然 加 载 这 个 组 件 的 原 因 有 所 不 同 ； 9 . 接 下 来 它 从 这 个 模 块 定 位 到 P u t M e m V a r 这 个 函 数 然 后 将 其 替 换 为 一 个 自 制 的 ， 能 够 接 受 任 何 函 数 指 针 作 为 参 数 并 从 代 码 中 将 其 激 活 的 函 数 （ 绕 过 控 制 流 分 析 ） ；
1 0 . 接 下 来 s h e l l c o d e 通 过 从 x l s 文 件 中 解 密 新 的 片 段 来 大 量 的 使 用 P u t M e m V a r 这 一 函 数 。 这 一 片 段 实 际 上 是 一 个 有 传 染 性 的 密 码 盗 窃 恶 意 软 件 ；
1 1 . 为 了 避 免 任 何 白 名 单 策 略 和 对 可 执 行 文 件 进 行 扫 描 的 杀 软 ， 该 s h e l l c o d e 在 挂 起 状 态 创 建 了 一 个 E x c e l 子 进 程 的 副 本 ， 用 可
执 行 部 分 重 载 其 内 存 部 分 ， 然 后 恢 复 进 程 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理