搜索

[28681] 2020-12-14_SI-CERTTZ006紫狐漏洞利用套件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-12-14_SI-CERTTZ006紫狐漏洞利用套件 S I - C E R T   T Z 0 0 6   / 紫 狐 漏 洞 利 用 套 件 i s . c e r t   O t s 安 全   2 0 2 0 - 1 2 - 1 4 概 要 概 要 恶 意 代 码 的 态 势 随 着 犯 罪 者 使 用 的 新 技 术 和 方 法 而 不 断 变 化 。 这 种 情 况 的 一 部 分 还 包 括 称 为 E x p l o i t   K i t （ E K ） 的 一 套 自 动 进 行 滥 用 的 工 具 ， 该 工 具 通 过 利 用 W e b 浏 览 器 中 的 漏 洞 使 恶 意 软 件 得 以 运 行 ， 从 而 感 染 了 那 些 在 浏 览 W e b 时 被 欺 骗 访 问 站 点 的 用 户 系 统 。 带 有 嵌 入 式 恶 意 代 码 。 在 某 些 地 方 ， 放 弃 了 通 过 将 下 载 的 文 件 存 储 在 物 理 介 质 上 来 传 输 和 执 行 恶 意 代 码 的 “ 传 统 ” 技 术 ， 而 直 接 在 系 统 内 存 中 使 用 了 恶 意 代 码 。 那 就 是 当 我 们 谈 论 无 家 可 归 的 攻 击 时 （ 无 文 件 恶 意 软 件 ） 。 以 下 描 述 了 我 们 最 近 在 S I - C E R T 上 讨 论 的 P u r p l e   F o x   E x p l o i t   K i t 。 除 了 传 输 恶 意 代 码 的 无 文 件 技 术 外 ， 它 还 使 用 隐 写 术 将 其 隐 藏 起 来 。 隐 写 术 - 一 种 隐 藏 消 息 ， 图 像 ， 数 据 等 的 方 法 。 在 另 一 个 文 件 中 ， 以 使 隐 藏 内 容 的 存 在 不 明 显 的 方 式 。 图 像 最 常 用 于 隐 藏 内 容 ， 并 且 数 据 被 “ 涂 抹 ” 为 次 要 的 位 ， 对 于 人 类 的 感 知 而 言 ， 这 些 位 不 会 显 着 改 变 图 像 。 紫 狐 漏 洞 利 用 套 件 紫 狐 漏 洞 利 用 套 件 P u r p l e   F o x 是 三 个 更 著 名 的 无 文 件 工 具 包 之 一 ， 其 中 包 括 M a g n i t u d e   E K （ 面 向 地 理 位 置 ， 用 于 在 韩 国 用 户 之 间 传 播 恶 意 代 码 的 活 动 中 ） 和 U n d e r m i n e r E K ， 该 工 具 主 要 用 于 与 H i d d e n   B e e 僵 尸 网 络 一 起 传 播 加 密 货 币 挖 掘 的 相 关 代 码 。   紫 狐 漏 洞 利 用 工 具 包 的 目 的 是 运 送 有 害 货 物 。 用 户 系 统 上 的 恶 意 代 码 。 P u r p l e   F o x 背 后 的 作 案 者 过 去 曾 使 用 广 泛 的 R I G   E x p l o i t   K i t 传 播 恶 意 代 码 ， 并 于 2 0 1 9 年 底 用 自 己 的 解 决 方 案 （ P u r p l e   F o x   E x p l o i t   K i t ） 替 换 了 恶 意 代 码 。 在 此 以 及 用 于 控 制 外 部 计 算 机 的 其 他 类 似 框 架 的 中 心 是 P o w e r S h e l l ， 它 提 供 对 系 统 配 置 和 操 作 系 统 中 任 务 自 动 化 的 访 问 。 随 着 P u r p l e   F o x   E C 的 发 展 ， 还 增 加 了 上 述 隐 写 术 的 元 素 ， 所 有 这 些 都 依 赖 于 浏 览 器 和 基 于 浏 览 器 的 应 用 程 序 中 的 漏 洞 。 这 些 会 不 断 添 加 到 P u r p l e   F o x 中 。 所 描 述 的 开 发 工 具 包 可 用 于 传 递 任 何 恶 意 代 码 ， 例 如   i n f o s t e a l e r 特 洛 伊 木 马 ， 勒 索 病 毒 ， 远 程 访 问 特 洛 伊 木 马 等 。 例 如 ， P u r p l e F o x   E C 的 更 广 为 人 知 的 用 途 之 一 就 是 使 用 加 密 货 币 挖 掘 软 件 感 染 系 统 。   在 考 虑 的 大 多 数 其 他 感 染 中 ， 输 入 向 量 是 通 过 单 击 消 息 中 的 链 接 或 附 件 误 导 用 户 使 用 故 事 的 电 子 邮 件 ， 这 通 常 会 导 致 在 用 户 系 统 上 传 输 和 启 动 恶 意 代 码 。 但 是 ， 对 于 “ 紫 狐 ” 漏 洞 利 用 工 具 包 ， 情 况 则 有 所 不 同 。 这 是 因 为 感 染 过 程 完 全 在 内 存 中 进 行 ， 因 此 不 会 留 下 “ 足 迹 ” ， 安 全 软 件 通 常 以 此 为 基 础 检 测 恶 意 代 码 。 传 播 者 使 用 恶 意 广 告 -   在 其 他 合 法 网 站 和 广 告 网 络 上 插 入 恶 意 广 告 。 对 该 站 点 的 访 问 包 括 查 看 广 告 ， 恶 意 广 告 中 的 程 序 代 码 检 查 访 问 者 的 足 迹 （ 例 如 ， 使 用 的 W e b 浏 览 器 ， 访 问 者 的 地 理 位 置 等 ） ， 并 选 择 适 当 的 方 法 来 虐 待 受 害 者 。 性 能 分 析 性 能 分 析 如 果 使 用 I n t e r n e t   E x p l o r e r 访 问 页 面 ， 请 尝 试 利 用 其 j a v a s c r i p t 模 块 j s c r i p t . d l l （ C V E - 2 0 2 0 - 0 6 7 4 ） 的 漏 洞 。 该 漏 洞 指 的 是 内 存 攻 击 者 处 理 脚 本 引 擎 内 存 损 坏 漏 洞 的 方 式 ， 从 而 使 攻 击 者 可 以 使 用 当 前 登 录 用 户 的 权 限 运 行 任 何 远 程 代 码 执 行 （ R C E ） 代 码 。 然 后 ， 它 执 行 存 储 在 内 存 中 远 程 站 点 中 的 P o w e r S h e l l 脚 本 。 它 是 B a s e 6 4 编 码 和 压 缩 的 P o w e r S h e l l 脚 本 。
尽 管 本 文 中 讨 论 的 所 有 P o w e r S h e l l 脚 本 都 在 系 统 内 存 中 运 行 ， 但 是 当 然 可 以 在 调 查 时 从 它 们 所 在 的 网 站 中 检 索 它 们 。 B a s e 6 4 加 密 和 压 缩 的 P o w e r S h e l l 脚 本 即 使 在 专 用 的 实 验 室 环 境 中 进 行 分 析 ， 也 不 会 使 用 简 化 并 加 快 对 P o w e r S h e l l   P o w e r S h e l l 压 缩 脚 本 的 分 析 的 工 具 来 运 行 代 码 ， 而 只 是 对 代 码 进 行 解 码 ， 并 且 该 工 具 是 在 S I - C E R T 上 开 发 的 工 具 的 一 部 分 。 解 压 缩 和 解 码 隐 藏 的 P o w e r S h e l l 脚 本 的 工 具 这 种 掩 盖 P o w e r S h e l l 脚 本 的 方 式 是 攻 击 者 常 用 的 方 法 ， 并 且 在 各 种 恶 意 代 码 示 例 分 析 的 案 例 中 已 经 多 次 讨 论 过 。 在 2 0 1 8 年 《 网 络 安 全 报 告 》 的 封 面 上 也 可 以 找 到 类 似 加 密 的 P o w e r S h e l l 脚 本   （ 这 是 一 个 有 效 的 代 码 ， 当 然 ， 启 动 它 不 会 带 来 安 全 风 险 。
显 示 的 P o w e r S h e l l 脚 本 显 示 了 P u r p l e   F o x   E C 的 操 作 原 理 ， 其 最 终 目 的 是 将 有 害 货 物 运 送 到 用 户 的 系 统 。 揭 示 的 P o w e r S h e l l 代 码 片 段 如 果 当 前 登 录 的 用 户 具 有 管 理 员 权 限 ， 则 恶 意 代 码 将 以 . m s i 文 件 的 形 式 传 输 到 系 统 。 本 文 末 尾 说 明 了 文 件 的 用 途 。 如 果 用 户 没 有 管 理 员 权 限 ， 则 脚 本 将 检 查 使 用 的 是 W i n d o w s   O S 版 本 ， 并 基 于 此 从 远 程 系 统 上 的 映 像 中 提 取 适 当 的 P o w e r S h e l l 脚 本 。 它 是 隐 秘 术 ， 数 据 隐 藏 - 在 本 例 中 为 新 的 P o w e r S h e l l 脚 本 。
使 用 W i n d o w s   7 或 W i n d o w s   S e r v e r   2 0 0 8 时 嵌 入 P o w e r S h e l l 脚 本 的 图 像 使 用 其 他 版 本 的 W i n d o w s   O S 时 在 其 中 嵌 入 P o w e r S h e l l 脚 本 的 映 像
为 了 在 图 像 文 件 中 隐 藏 P o w e r S h e l l 脚 本 ， 脚 本 的 每 个 音 节 至 少 写 入 像 素 的 两 个 颜 色 值 的 有 效 4 位 。 因 此 ， 每 个 使 用 的 像 素 都 包 含 整 个 脚 本 的 一 个 音 节 ， 并 将 值 插 入 到 绿 色 和 蓝 色 值 中 （ 根 据 三 色 R G B 模 型 ） 。 根 据 此 原 理 ， 白 色 像 素 （ R G B   2 5 5 , 2 5 5 , 2 5 5 ） 中 的 字 母 “   p   ” 表 示 如 下 ： 隐 写 数 据 的 分 析 可 以 通 过 多 种 方 式 进 行 。 例 如 ， 一 种 选 择 是 比 较 原 始 图 像 和 隐 藏 代 码 的 副 本 。 但 是 ， 在 这 种 特 殊 情 况 下 ， 这 不 是 必 需 的 ， 因 为 我 们 有 一 个 脚 本 ， 该 脚 本 具 有 从 图 像 中 提 取 代 码 的 算 法 。 我 们 只 是 对 其 进 行 更 改 ， 以 便 它 不 运 行 结 果 ， 而 只 是 将 其 保 存 到 文 件 中 。 从 映 像 中 提 取 的 P o w e r S h e l l 脚 本 在 这 两 种 情 况 下 ， 映 像 中 内 置 的 P o w e r S h e l l 脚 本 都 被 B a s e 6 4 编 码 所 覆 盖 ， 这 意 味 着 可 以 轻 松 对 其 进 行 解 码 并 将 其 转 换 为 可 读 格 式 。
B a s e 6 4 加 密 用 于 通 过 网 络 传 输 数 据 ， 并 确 保 数 据 在 传 输 过 程 中 保 持 不 变 。 最 初 打 算 将 二 进 制 数 据 转 码 为 一 种 格 式 ， 其 中 仅 使 用 7 位 A S C I I 集 的 一 部 分 字 符 。 当 在 电 子 邮 件 中 传 输 各 种 附 件 时 使 用 这 种 类 型 的 编 码 ， 但 是 在 隐 藏 （ 可 读 性 ） 真 实 内 容 时 它 也 很 流 行 ， 并 且 被 攻 击 者 用 来 传 输 恶 意 货 物 。 有 时 ， 这 也 足 以 避 免 抗 病 毒 检 测 。 映 像 中 内 置 的 P o w e r S h e l l 脚 本 即 使 在 这 种 情 况 下 ， 也 可 以 从 远 程 站 点 下 载 . m s i 文 件 形 式 的 恶 意 货 物 ， 这 利 用 了 允 许 权 限 提 升 （ 特 权 提 升 ） 并 因 此 运 行 恶 意 代 码 的 漏 洞 。 本 案 涉 及 漏 洞 C V E - 2 0 2 0 - 1 0 5 4 的 利 用 。 该 漏 洞 位 于 W i n d o w s 内 核 模 式 驱 动 程 序 中 ， 该 驱 动 程 序 无 法 正 确 处 理 内 存 中 的 对 象 。 漏 洞 更 正 C V E - 2 0 2 0 - 1 0 5 4 于 2 0 2 0 年 5 月 发 布 。 在 成 功 执 行 的 代 码 的 末 尾 ， 脚 本 会 将 值 “   S t a y O n T o p ” 写 入 注 册 表 项 “   H K C U     S o f t w a r e     7 - Z i p ” 。 在 该 值 存 在 之 前 ， 脚 本 将 反 复 尝 试 。 整 个 过 程 以 将 . m s i 软 件 包 注 册 为 “ 启 动 启 动 ” 驱 动 程 序 来 安 装 r o o t k i t 结 束 ， 这 可 确 保 重 新 启 动 系 统 后 的 性 能 和 持 久 性 。 启 动 时 ， 通 过 M s i I n s t a l l P r o d u c t A   m s i . d l l 函 数 的 . m s i 程 序 包 也 将 启 动 ， 并 将 r o o t k i t 代 码 注 入 新 的 “   s v c h o s t ” 进 程 中 。 结 论 结 论 紫 狐 E C 背 后 的 作 案 者 “ 借 用 了 ” 一 些 作 者 利 用 本 文 中 提 到 的 漏 洞 的 代 码 ， 作 者 将 其 发 布 为 该 漏 洞 的 存 在 的 证 明 （ P o C ， 概 念 验 证 ） 。 所 使 用 的 隐 写 术 方 法 也 不 是 新 事 物 ， 但 是 在 处 理 个 别 恶 意 代 码 案 例 时 ， 很 少 有 这 种 作 用 。 在 对 P u r p l e   F o x   E C 进 行 分 析 时 ， 也 无 法 摆 脱 我 们 正 在 处 理 难 题 的 感 觉 。 我 们 可 以 说 ， 所 考 虑 的 P u r p l e   F o x   E x p l o i t   K i t 的 每 个 部 分 都 需 要 单 独 分 析 。 但 是 事 实 是 ， 所 有 这 些 难 题 都 构 成 了 一 个 强 大 的 工 具 ， 可 以 执 行 旨 在 以 任 何 形 式 的 恶 意 代 码 感 染 系 统 的 自 动 化 程 序 。
通 过 制 作 自 己 的 工 具 包 ， P u r p l e   F o x   E K 的 肇 事 者 已 加 入 黑 市 服 务 提 供 商 。 可 以 不 时 找 到 出 租 P u r p l e   F o x 服 务 的 要 约 ， 尤 其 是 在 一 些 俄 罗 斯 黑 客 论 坛 上 ， 这 些 网 站 可 以 在 黑 暗 的 网 上 找 到 。 在 撰 写 本 文 时 ， 我 们 没 有 找 到 出 租 上 述 服 务 的 要 约 。 上 面 的 分 析 是 对 S I - C E R T 应 用 程 序 的 结 果 ， 该 应 用 程 序 仅 包 含 一 个 可 疑 的 网 址 ， 从 而 导 致 了 计 算 机 滥 用 过 程 中 新 的 新 阶 段 的 解 锁 。 阅 读 原 文 本 文 翻 译 自 ： h t t p s : / / w w w . c e r t . s i / t z 0 0 6 /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理