搜索

[28629] 2020-10-10_利用BGInfo渗透企业网络

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-10-10_利用BGInfo渗透企业网络 利 用 B G I n f o 渗 透 企 业 网 络 D O L E V   T A L E R   O t s 安 全   2 0 2 0 - 1 0 - 1 0 执 行 摘 要 执 行 摘 要 B G I n f o 中 存 在 一 个 远 程 执 行 代 码 的 攻 击 媒 介 。 聪 明 的 攻 击 者 可 以 在 B G I n f o 配 置 文 件 （ . b g i ） 中 嵌 入 指 向 恶 意 脚 本 的 路 径 。 如 果 他 们 可 以 说 服 用 户 单 击 配 置 文 件 ， 它 将 从 远 程 位 置 加 载 恶 意 脚 本 并 在 受 害 者 计 算 机 的 内 存 中 运 行 它 。 在 我 们 的 概 念 证 明 中 ， 我 们 测 试 过 的 主 要 邮 件 提 供 商 都 没 有 一 个 阻 止 我 们 的 恶 意 . b g i 文 件 附 件 。 什 么 是 什 么 是 B G I n f o ？ ？ B G I n f o 是 S y s i n t e r n a l s 的 一 部 分 。 它 使 您 可 以 在 桌 面 墙 纸 上 显 示 机 器 的 配 置 信 息 。 医 院 ， 学 校 和 具 有 许 多 终 结 点 的 大 型 企 业 通 常 使 用 B G I n f o 使 系 统 管 理 员 在 登 录 时 可 以 轻 松 查 看 I P 地 址 ， 操 作 系 统 版 本 和 主 机 名 等 详 细 信 息 ： 您 如 何 利 用 您 如 何 利 用 B G I n f o ？ ？ 首 次 执 行 时 ， 操 作 系 统 会 自 动 将 B G I n f o 应 用 程 序 与 . b g i 扩 展 名 相 关 联 。 用 户 双 击 的 任 何 . b g i 文 件 都 将 使 用 B G I n f o 可 执 行 文 件 自 动 运 行 ， 而 不 会 提 示 用 户 。 研 究 人 员 已 经 表 明 ， B G I n f o 可 以 从 远 程 位 置 运 行 脚 本 文 件 。 一 个 很 好 的 例 子 是 这 篇 关 于 使 用 B G I n f o 绕 过 应 用 程 序 白 名 单 的 文 章 。 我 们 在 这 里 向 您 展 示 的 是 B G I n f o 如 何 成 为 攻 击 者 避 免 被 反 网 络 钓 鱼 和 反 病 毒 检 测 的 绝 佳 方 法 。 我 们 将 在 此 处 显 示 的 攻 击 流 程 是 独 特 的 ， 因 为 据 我 们 所 知 ， 被 感 染 的 . b g i 文 件 并 未 被 证 明 是 初 始 感 染 的 工 具 ， 绕 过 了 电 子 邮 件 安 全 性 和 反 网 络 钓 鱼 检 测 。 攻 击 流 程 攻 击 流 程 1 . ） 攻 击 者 使 用 用 户 定 义 的 字 段 创 建 恶 意 的 . b g i 文 件 ， 该 文 件 包 含 指 向 远 程 . v b s 脚 本 的 路 径 。 在 我 们 的 例 子 中 ， 脚 本 存 储 在 远 程 文 件 共 享 中 ， 但 也 可 以 存 储 在 云 中 ：
2 . ） 攻 击 者 向 受 害 者 发 送 带 有 附 件 . b g i 文 件 的 网 络 钓 鱼 电 子 邮 件 。 因 为 . b g i 扩 展 名 还 没 有 被 认 为 是 危 险 的 ， 所 以 我 们 测 试 的 所 有 邮 件 提 供 商 都 允 许 受 害 者 在 没 有 任 何 警 告 的 情 况 下 接 收 和 下 载 文 件 。 3 . ） 受 害 者 （ 过 去 已 经 运 行 过 . b g i 文 件 ） 单 击 . b g i 文 件 触 发 它 运 行 。 4 . ） 配 置 文 件 连 接 到 由 攻 击 者 控 制 的 S M B 共 享 ， 并 在 内 存 中 运 行 恶 意 的 . v b s 脚 本 。 注 意 ： 如 果 组 织 将 其 默 认 . b g i 文 件 存 储 在 网 络 共 享 上 ， 则 攻 击 者 可 以 将 其 替 换 为 受 感 染 的 版 本 ， 并 迅 速 感 染 网 络 上 的 许 多 计 算 机 。 这 是 我 们 录 制 的 快 速 视 频 ， 以 演 示 概 念 验 证 。 请 注 意 ， . b g i 文 件 没 有 被 G m a i l 标 记 ， 它 在 用 户 计 算 机 上 运 行 . b g i 时 没 有 任 何 警 告 。 我 们 只 是 简 单 地 启 动 了 V B S c r i p t   c a l c . e x e ， 但 是 攻 击 者 做 的 可 能 更 糟 ！
V B S 脚 本 可 以 做 什 么 ？ 脚 本 可 以 做 什 么 ？ 一 旦 攻 击 者 可 以 在 受 害 机 器 上 运 行 任 意 代 码 ， 可 能 性 就 无 穷 无 尽 。 我 们 已 经 看 到 攻 击 者 使 用 初 始 的 . v b s 作 为 滴 管 来 下 载 更 大 的 有 效 负 载 ， 例 如 M a z e 勒 索 软 件 ， C o b a l t   S t r i k e ， M i m i k a t z 等 。 从 这 一 点 发 生 的 情 况 取 决 于 攻 击 者 的 意 图 ： 在 受 害 机 器 上 搜 寻 数 据 通 过 D N S 建 立 隐 蔽 的 C 2 通 道 尝 试 横 向 移 动 到 网 络 上 的 其 他 计 算 机 在 系 统 的 注 册 表 或 任 务 计 划 程 序 中 植 入 持 久 后 门 缓 解 措 施 缓 解 措 施 更 新 邮 件 服 务 器 的 白 名 单 ， 以 防 止 未 知 的 文 件 附 件 类 型 更 新 您 的 端 点 检 测 和 电 子 邮 件 安 全 工 具 ， 以 阻 止 或 隔 离 . b g i 附 件 更 新 防 火 墙 以 阻 止 访 问 远 程 S M B 文 件 共 享 进 行 分 层 防 御 也 很 重 要 。 本 文 介 绍 了 与 B G I n f o 有 关 的 威 胁 ， 但 是 明 天 将 出 现 一 种 新 方 法 ， 可 以 渗 透 到 网 络 ， 提 升 特 权 并 最 终 窃 取 数 据 （ 请 参 见 Z e r o l o g o n     -   h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / e n - U S / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 2 0 - 1 4 7 2 ） 。 V a r o n i s 对 网 络 安 全 采 取 以 数 据 为 中 心 的 方 法 。 如 果 您 正 在 观 察 数 据 的 变 化 ， 那 么 攻 击 者 就 很 难 隐 藏 它 们 。 我 们 结 合 了 一 套 独 特 的 成 分 ， 可 以 在 杀 伤 链 的 各 个 阶 段 检 测 威 胁 ， 例 如 可 疑 数 据 访 问 ， 异 常 登 录 尝 试 和 D N S 渗 透 。 V a r o n i s 对 网 络 安 全 采 取 以 数 据 为 中 心 的 方 法 。 如 果 您 正 在 观 察 数 据 的 变 化 ， 那 么 攻 击 者 就 很 难 隐 藏 它 们 。 我 们 结 合 了 一 套 独 特 的 成 分 ， 可 以 在 杀 伤 链 的 各 个 阶 段 检 测 威 胁 ， 例 如 可 疑 数 据 访 问 ， 异 常 登 录 尝 试 和 D N S 渗 透 。 如 果 您 想 了 解 V a r o n i s 数 据 安 全 平 台 的 实 际 应 用 ， 只 需 在 此 处 请 求 一 个 演 示   -   h t t p s : / / i n f o . v a r o n i s . c o m / d e m o 报 告 时 间 表 报 告 时 间 表 2 0 2 0 - 1 1 - 0 5 ： 通 过 M S R C 发 送 给 M i c r o s o f t 的 第 一 份 报 告 2 0 2 0 - 1 4 - 0 5 ： 在 报 告 中 添 加 了 P O C ； 开 箱 2 0 2 0 - 1 1 - 0 6 ： 向 M i c r o s o f t 请 求 3 0 天 状 态 更 新 2 0 2 0 - 1 2 - 0 7 ： 要 求 微 软 提 供 6 0 天 的 状 态 更 新 ； 微 软 将 该 报 告 列 为 “ 中 等 ” 2 0 2 0 - 1 1 - 0 8 ： 9 0 天 漏 洞 披 露 本 文 翻 译 自   -   h t t p s : / / w w w . v a r o n i s . c o m / b l o g / e x p l o i t i n g - b g i n f o - t o - i n f i l t r a t e - a - c o r p o r a t e - n e t w o r k / -   转 载 请 注 明 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理