搜索

[28520] 2020-08-23_PowerPoint文件配备CVE-2017-0199和UAC绕过

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-08-23_PowerPoint文件配备CVE-2017-0199和UAC绕过 P o w e r P o i n t 文 件 配 备 C V E - 2 0 1 7 - 0 1 9 9 和 U A C 绕 过 O t s 安 全   2 0 2 0 - 0 8 - 2 3 F o r t i G u a r d   L a b s 最 近 发 现 了 一 个 新 的 恶 意 P o w e r P o i n t 文 件 ， 名 称 为 A D V A N C E D   D I P L O M A T I C   P R O T O C O L   A N D   E T I Q U E T T E S U M M I T . p p s x 。 看 一 下 P o w e r P o i n t   O p e n   X M L 幻 灯 片 显 示 （ P P S X ） 文 件 的 四 张 幻 灯 片 ， 我 们 可 以 看 出 它 以 联 合 国 机 构 ， 外 交 部 ， 国 际 组 织 以 及 与 国 际 政 府 互 动 的 人 员 为 目 标 。 我 们 将 研 究 如 何 打 开 此 P o w e r P o i n t 文 件 可 能 危 害 您 的 系 统 。 以 下 是 有 关 攻 击 方 式 的 概 述 ：
图 0 1 ： 攻 击 流 程 C V E - 2 0 1 7 - 0 1 9 9 此 漏 洞 利 用 的 目 标 漏 洞 为 C V E - 2 0 1 7 - 0 1 9 9 ， 该 漏 洞 于 2 0 1 7 年 4 月 披 露 并 修 补 。 它 在 解 析 特 制 文 件 时 触 发 M i c r o s o f t   O f f i c e 或 W o r d P a d 中 的 远 程 代 码 执 行 。 成 功 利 用 M i c r o s o f t   O f f i c e 的 W i n d o w s 对 象 链 接 和 嵌 入 （ O L E ） 界 面 中 的 此 漏 洞 的 攻 击 者 可 以 控 制 受 影 响 的 系 统 。 W a y n e   L o w 在 此 很 好 地 解 释 了 此 漏 洞 。 这 不 是 我 们 第 一 次 看 到 攻 击 者 利 用 此 漏 洞 。 我 们 在 以 前 的 恶 意 幻 灯 片 放 映 文 件 中 看 到 了 该 文 件 ， 该 文 件 提 供 了 R E M C O S R A T 恶 意 软 件 。 但 是 ， 此 攻 击 不 应 与 P o w e r P o i n t 文 件 利 用 混 淆 ， 后 者 利 用 鼠 标 悬 停 操 作 来 利 用 p p a c t i o n ： / /   p r o t o c o l 启 动 P o w e r S h e l l 命 令 。 打 开 最 新 的 恶 意 P o w e r P o i n t 幻 灯 片 放 映 时 ， 它 将 触 发 p p t   /   s l i d e s   /   _ r e l s   /   s l i d e 1 . x m l . r e l s 中 的 脚 本 。 然 后 ， 该 漏 洞 利 用 程 序 在 其 目 标   h x x p ： / /   w w w   [ 。 ]   n a r r o w b a b w e   [ 。 ]   n e t ： 3 3 4 5   /   e x p   [ 。 ]   d o c 上 下 载 远 程 代 码 ， 如 下 所 示 ， 并 使 用 P o w e r P o i n t   S h o w 动 画 功 能 运 行 该 代 码 。 精 心 制 作 的 文 件 在 目 标 之 后 还 包 含 许 多 空 白 ， 可 用 于 避 免 检 测 Y A R A 。 （ Y A R A 是 一 种 恶 意 软 件 研 究 和 检 测 工 具 。 ）
图 0 2 ： 利 用 C V E - 2 0 1 7 - 0 1 9 9 的 P P S X 文 件 当 我 们 在 执 行 此 文 件 时 观 察 网 络 流 量 时 ， 可 以 看 到 特 制 文 件 成 功 利 用 了 该 漏 洞 ， 并 下 载 并 执 行 了 e x p . d o c 文 件 。 这 不 是 d o c 文 件 ， 而 是 带 有 J a v a S c r i p t 代 码 的 X M L 文 件 。 图 0 3 ： 来 自 P P S X 文 件 的 网 络 流 量 U A C 绕 过 和 特 权 升 级 绕 过 和 特 权 升 级
当 我 们 从 X M L 文 件 提 取 J a v a S c r i p t 时 ， 我 们 可 以 看 到 它 将 在 ％ T e m p ％   M i c r o s o f t _ O f f i c e _ P a t c h _ K B 2 8 1 7 4 3 0 . j s e 中 写 入 一 个 文 件 。 文 件 名 模 仿 M i c r o s o f t   O f f i c e 修 补 程 序 的 文 件 名 以 降 低 怀 疑 ， 并 尝 试 显 示 它 是 合 法 文 件 ， 但 显 然 不 是 。 图 0 4 ： X M L 文 件 中 的 嵌 入 式 J a v a S c r i p t 该 样 本 不 仅 使 用 漏 洞 利 用 ， 还 包 括 一 种 臭 名 昭 著 的 技 术 ， 该 技 术 可 以 绕 过 M i c r o s o f t   W i n d o w s 的 U A C 安 全 性 ， 然 后 以 高 特 权 执 行 自 己 。 更 高 的 特 权 等 于 更 多 的 权 限 ， 并 允 许 对 系 统 执 行 更 多 操 作 。 U A C 绕 过 技 术 包 括 在 H K C U     s o f t w a r e     c l a s s e s     m s c f i l e     s h e l l     o p e n     c o m m a n d 中 劫 持 注 册 表 ， 然 后 执 行 e v e n t v w r . e x e 。 您 可 以 在 此 处 阅 读 有 关 此 U A C 绕 过 和 特 权 升 级 技 术 的 更 多 信 息 。 图 0 5 ： 为 U A C 旁 路 添 加 了 注 册 表 J a v a S c r i p t 分 析 分 析 以 高 特 权 执 行 的 已 删 除 M i c r o s o f t _ O f f i c e _ P a t c h _ K B 2 8 1 7 4 3 0 . j s e 恶 意 软 件 包 含 以 下 代 码 。  
图 0 6 ： 删 除 了 M i c r o s o f t _ O f f i c e _ P a t c h _ K B 2 8 1 7 4 3 0 . j s e 文 件 在 上 面 的 代 码 中 ， W M I   A c t i v e S c r i p t C o n s u m e r s 用 于 持 久 性 。 还 创 建 了 一 个 计 时 器 事 件 ， 因 此 脚 本 每 1 2 秒 （ 1 2 0 0 0 毫 秒 ） 运 行 一 次 。 运 行 它 的 脚 本 被 编 码 并 作 为 注 释 存 储 在 其 主 体 内 。
图 0 7 ： 解 码 后 的 脚 本 从 从 J P G 文 件 获 取 文 件 获 取 C ＆ ＆ C 服 务 器 服 务 器 解 码 注 释 中 的 代 码 后 ， 脚 本 将 读 取 以 下 注 册 表 ， 如 果 它 们 不 存 在 ， 它 将 创 建 它 们 。 H K L M     S O F T W A R E     M i c r o s o f t     W i n d o w s     C u r r e n t V e r s i o n     I n t e r n e t 设 置 用 户 代 理   S e e d 0 H K L M     S O F T W A R E     M i c r o s o f t     W i n d o w s     C u r r e n t V e r s i o n     I n t e r n e t 设 置 用 户 代 理   F e e d 0 图 0 8 ： 注 册 表 F e e d 0 和 S e e d 0 从 M i c r o s o f t _ O f f i c e _ P a t c h _ K B 2 8 1 7 4 3 0 . j s e 文 件 对 写 入 注 册 表 项 F e e d 0 中 的 数 据 进 行 硬 编 码 。 解 码 后 ， 其 值 为 h x x p ： / / n a r r o w b a b w e   [ 。 ]   n e t   /   c o m s a r y   /   l o g o   [ 。 ]   j p g 。 该 脚 本 将 继 续 连 接 到 该 U R L 。 但 是 在 我 们 的 分 析 中 ， 它 不 再 响 应 。 尝 试 在 G o o g l e 中 进 行 快 速 搜 索 ， 由 于 V i r u s T o t a l ， 我 们 能 够 检 索 / l o g o . j p g 文 件 。
图 0 9 ： 篡 改 的 j p g 文 件 现 在 我 们 有 了 / l o g o . j p g ， 我 们 可 以 继 续 分 析 样 本 了 。 首 先 ， 我 们 注 意 到 j p g 文 件 存 在 损 坏 的 部 分 。 这 可 能 意 味 着 攻 击 者 篡 改 了 原 始 照 片 以 隐 藏 一 些 数 据 。 由 于 j p g 文 件 通 常 被 认 为 是 非 恶 意 的 ， 因 此 这 是 一 种 非 常 有 效 的 隐 藏 消 息 / 数 据 的 技 术 。 图 1 0 ： 检 索 隐 藏 数 据 的 代 码 检 查 代 码 ， 我 们 发 现 它 获 得 了 R e s p o n s e _ T e x t 的 长 度 或 文 件 的 末 尾 ， 然 后 减 去 0 x 8 0 h ， 这 可 能 是 编 码 数 据 的 开 始 。 如 上 所 示 ， “   i f ” 语 句 与 j p g 文 件 中 具 有 值 9 、 5 、 2 和 7 的 硬 编 码 标 记 进 行 比 较 。 如 果 不 满 足 此 条 件 ， 它 将 不 返 回 任 何 内 容 。 但 是 ， 如 果 找 到 了 标 记 ， 它 将 从 偏 移 量 i 中 获 得 s u b s t r ， 其 长 度 为 4 4 个 字 符 ， 这 将 是 编 码 的 U R L 。 图 1 1 ： 篡 改 数 据 编 码 的 U R L 将 写 在 注 册 表 /   S e e d 0 中 ， 并 且 在 解 码 时 的 值 为 h x x p ： / /   w w w   [ 。 ]   n a r r o w b a b w e   [ 。 ]   n e t   /   c o m s a r y   /   i n d e x   [ 。 ]   p h p 。
图 1 2 ： S e e d 0 注 册 表 项 C ＆ ＆ C 沟 通 沟 通 接 下 来 ， 它 尝 试 通 过 获 取 网 络 适 配 器 配 置 并 搜 索 是 否 存 在 字 符 串 ' V i r t u a l ' 来 识 别 它 是 否 在 虚 拟 环 境 中 运 行 。 图 1 3 ： 检 查 虚 拟 环 境 有 趣 的 是 ， 将 要 发 送 的 数 据 取 决 于 是 否 找 到 “ 虚 拟 ” 字 符 串 。 比 较 两 者 ， 如 果 找 不 到 该 字 符 串 ， 则 收 集 的 数 据 将 包 括 受 感 染 机 器 的 ＆ i p a d d r 和 ＆ m a c a d d r 。 图 1 4 ： 从 机 器 收 集 的 信 息 收 集 了 所 需 的 信 息 后 ， 它 将 对 数 据 进 行 编 码 ， 并 通 过 H T T P   P O S T 将 其 发 送 到 h x x p ： / /   w w w   [ 。 ]   n a r r o w b a b w e   [ 。 ]   n e t   /   c o m s a r y /   i n d e x   [ 。 ]   p h p 。  
1 5 ： H T T P   P O S T 到 C ＆ C 发 送 数 据 的 格 式 如 下 所 示 。 图 1 6 ： 要 发 送 的 编 码 数 据 不 幸 的 是 ， 在 我 们 的 分 析 过 程 中 ， C ＆ C 已 经 下 降 ， 因 此 没 有 任 何 响 应 。 但 是 ， 我 们 仍 然 可 以 从 下 面 的 代 码 中 确 认 C ＆ C 的 响 应 包 含 使 用 e v a l （ ） 函 数 执 行 的 任 意 命 令 。 这 些 命 令 可 能 是 提 供 最 终 有 效 负 载 的 下 载 功 能 ， 而 用 于 间 谍 活 动 的 最 常 用 恶 意 软 件 是 R A T （ 远 程 访 问 木 马 ） 。 图 1 7 ： 命 令 和 结 果 执 行 一 旦 从 C ＆ C 执 行 命 令 ， 它 将 使 用 以 下 H T T P   P O S T 查 询 字 符 串 格 式 将 通 知 发 送 回 服 务 器 ： 图 1 8 ： 命 令 结 果 P O S T 通 知 结 论 结 论 我 们 的 分 析 表 明 ， 此 代 码 中 实 施 了 多 种 技 术 ， 以 逃 避 检 测 并 保 持 有 效 。 此 类 技 术 利 用 C V E - 2 0 1 7 - 0 1 9 9 ， U A C 绕 过 和 特 权 提 升 ， 多 个 嵌 入 式 编 码 脚 本 ， U R L 连 接 的 多 个 阶 段 以 及 将 C ＆ C 嵌 入 j p g 文 件 中 。 这 显 示 出 犯 罪 分 子 在 制 作 恶 意 文 件 时 会 表 现 得
多 么 顽 强 。 特 别 感 谢 您 对 我 们 的 队 友 T i e n   P h a n ， T o n y   L o i 和 J o i e   S a l v i o 进 行 的 其 他 分 析 解 应 用 M i c r o s o f t 在 4 月 发 布 的 涵 盖 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 的 补 丁 。 F o r t i G u a r d 防 病 毒 服 务 将 此 威 胁 检 测 为 M S O f f i c e   /   D o w n l o a d e r ！ e x p l o i t . C V E 2 0 1 7 0 1 9 9 F o r t i G u a r d   W e b 过 滤 服 务 会 阻 止 所 有 C ＆ C 和 相 关 U R L 。 F o r t i S a n d b o x 将 P P S X 文 件 评 为 “ 高 风 险 ” 。 国 际 奥 委 会 ： 8 e 8 9 a e 8 0 e a 5 0 1 1 0 2 4 4 f 2 2 9 3 f 1 4 6 1 5 a 7 6 9 9 b 1 c 5 d 2 a 7 0 4 1 5 a 6 7 6 a a 4 5 8 8 1 1 7 a d 9 a 7   –   P P S X C C ： h x x p ： / /   w w w   [ 。 ]   n a r r o w b a b w e   [ 。 ]   n e t   /   c o m s a r y   /   l o g o   [ 。 ]   j p g h x x p ： / /   w w w   [ 。 ]   n a r r o w b a b w e   [ 。 ]   n e t ： 3 3 4 5   /   e x p   [ 。 ]   d o c h x x p ： / /   w w w   [ 。 ]   n a r r o w b a b w e   [ 。 ]   n e t   /   c o m s a r y   /   i n d e x   [ 。 ]   p h p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理