搜索

[29023] 2021-06-21_【技术分析】PuzzleMaker使用Chrome零日漏洞利用链进行攻击

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-06-21_【技术分析】PuzzleMaker使用Chrome零日漏洞利用链进行攻击 【 技 术 分 析 】 P u z z l e M a k e r   使 用   C h r o m e   零 日 漏 洞 利 用 链 进 行 攻 击 O t s 安 全   2 0 2 1 - 0 6 - 2 1 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍             - 点 击 图 文 广 告   =   打 赏 作 者 ： 作 者 ： 科 斯 汀 · 赖 乌       鲍 里 斯 · 拉 林         阿 列 克 谢 · 库 拉 耶 夫 2 0 2 1   年   4   月   1 4   日 至   1 5   日 ， 卡 巴 斯 基 技 术 检 测 到 一 波 针 对 多 家 公 司 的 高 度 针 对 性 攻 击 。 更 仔 细 的 分 析 表 明 ， 所 有 这 些 攻 击 都 利 用 了 一 系 列 G o o g l e   C h r o m e   和   M i c r o s o f t   W i n d o w s   零 日 漏 洞 。 虽 然 我 们 无 法 在   C h r o m e   网 络 浏 览 器 中 检 索 用 于 远 程 代 码 执 行   ( R C E )   的 漏 洞 ， 但 我 们 能 够 找 到 并 分 析 用 于 逃 离 沙 箱 并 获 取 系 统 权 限 的 特 权 提 升   ( E o P )   漏 洞 。 特 权 提 升 漏 洞 经 过 了 微 调 ， 以 针 对   W i n d o w s   1 0   的 最 新 和 最 突 出 的 版 本 （ 1 7 7 6 3   –   R S 5 、 1 8 3 6 2   –   1 9 H 1 、 1 8 3 6 3   –   1 9 H 2 、 1 9 0 4 1   –   2 0 H 1 、 1 9 0 4 2 –   2 0 H 2 ） ， 并 且 它 利 用 了 两 个 不 同 的 漏 洞 M i c r o s o f t   W i n d o w s   操 作 系 统 内 核 。 2 0 2 1   年   4   月   2 0   日 ， 我 们 向   M i c r o s o f t   报 告 了 这 些 漏 洞 ， 他 们 将 C V E - 2 0 2 1 - 3 1 9 5 5   分 配 给 信 息 泄 露 漏 洞 ， 将   C V E - 2 0 2 1 - 3 1 9 5 6   分 配 给 提 权 漏 洞 。 作 为   6   月 补 丁 星 期 二 的 一 部 分 ， 这 两 个 漏 洞 均 于   2 0 2 1   年   6   月 8   日 修 复 。 远 程 代 码 执 行 漏 洞 利 用 远 程 代 码 执 行 漏 洞 利 用 所 有 观 察 到 的 攻 击 都 是 通 过   C h r o m e   浏 览 器 进 行 的 。 不 幸 的 是 ， 我 们 无 法 检 索 到 带 有 完 整 漏 洞 利 用 代 码 的   J a v a S c r i p t ， 但 攻 击 和 事 件 发 生 的 时 间 框 架 让 我 们 怀 疑 存 在 一 个 特 定 漏 洞 。 P w n 2 O w n   比 赛 于   2 0 2 1   年   4   月   6   日 至   8   日 举 行 。 这 是 一 场 计 算 机 黑 客 大 赛 ， 其 中   G o o g l e   C h r o m e   网 络 浏 览 器 是 目 标 之 一 。 根 据   Z D I （ 零 日 倡 议 ， P w n 2 O w n   的 组 织 者 ） 网 站 ， 一 个 参 与 团 队 能 够 使 用   T y p e r   M i s m a t c h   错 误 证 明 对   C h r o m e   渲 染 器 进 程 的 成 功 利 用 。 2 0 2 1   年   4   月   1 2   日 ， C h r o m i u m   的 开 发 人 员 向   V 8   的 开 源 存 储 库 （ C h r o m e   和   C h r o m i u m   网 络 浏 览 器 使 用 的   J a v a S c r i p t   引 擎 ） 提 交 了 两 个 （ 问 题 1 1 9 6 6 8 3 和 1 1 9 5 7 7 7 ） 与   T y p e r   相 关 的 错 误 修 复 。 这 些 错 误 修 复 之 一 （ 问 题 1 1 9 6 6 8 3 ） 旨 在 修 补   P w n 2 O w n   期 间 使 用 的 漏 洞 ， 并 且 这 两 个 错
误 修 复 与 回 归 测 试 一 起 提 交   -   J a v a S c r i p t   文 件 以 触 发 这 些 漏 洞 。 同 一 天 晚 些 时 候 ， T w i t t e r   用 户 名 @ r 4 j 0 x 0 0   的 用 户 在   G i t H u b   上 发 布 了 一 个 有 效 的 远 程 代 码 执 行 漏 洞 ， 目 标 是 谷 歌 浏 览 器 的 最 新 版 本 。 该 漏 洞 利 用 问 题 1 1 9 6 6 8 3   中 的 漏 洞 在 浏 览 器 渲 染 器 进 程 的 上 下 文 中 执 行   s h e l l c o d e 。 2 0 2 1   年   4   月   1 2   日 发 布 的   C h r o m e   零 日 推 文 截 图 已 发 布 的 漏 洞 不 包 含 沙 箱 逃 逸 漏 洞 ， 因 此 仅 在 浏 览 器 使 用 命 令 行 选 项 – n o - s a n d b o x 启 动 时 才 起 作 用 。 2 0 2 1   年   4   月   1 3   日 ， 谷 歌 发 布 了 适 用 于   W i n d o w s 、 M a c   和   L i n u x   的   C h r o m e   更 新   8 9 . 0 . 4 3 8 9 . 1 2 8 ， 修 复 了 两 个 漏 洞 ； C V E - 2 0 2 1 - 2 1 2 2 0 （ 在 P w n 2 O w n   期 间 使 用 ） 就 是 其 中 之 一 。 我 们 的 一 些 客 户 在   2 0 2 1   年   4   月   1 4   日 至   1 5   日 遭 到 攻 击 ， 他 们 的   C h r o m e   浏 览 器 已 经 更 新 到   8 9 . 0 . 4 3 8 9 . 1 2 8 ， 这 就 是 为 什 么 我 们 认 为 攻 击 者 没 有 在 攻 击 中 使 用   C V E - 2 0 2 1 - 2 1 2 2 0 。 2 0 2 1   年   4   月   1 4   日 ， 谷 歌 发 布 了 适 用 于   W i n d o w s 、 M a c   和   L i n u x   的   C h r o m e   更 新   9 0 . 0 . 4 4 3 0 . 7 2 ， 修 复 了   3 7   个 漏 洞 。 同 一 天 ， 向 公 众 展 示 了 一 个 新 的   C h r o m e   漏 洞 。
2 0 2 1   年   4   月   1 4   日 发 布 的 带 有   C h r o m e   零 日 漏 洞 的   G i t H u b   存 储 库 屏 幕 截 图 这 个 新 发 布 的 漏 洞 利 用 了 问 题 1 1 9 5 7 7 7   中 的 漏 洞 ， 适 用 于 新 发 布 的   C h r o m e   9 0 . 0 . 4 4 3 0 . 7 2 ， 并 在 几 天 后 ， 即   2 0 2 1   年   4   月   2 0   日 修 复 为   C V E - 2 0 2 1 - 2 1 2 2 4 。 我 们 怀 疑 攻 击 者 还 能 够 使 用 此   J a v a S c r i p t   文 件 进 行 回 归 测 试 来 开 发 漏 洞 （ 或 从 其 他 人 那 里 获 取 ） ， 并 且 可 能 在 攻 击 中 使 用 了   C V E - 2 0 2 1 - 2 1 2 2 4 。 提 权 漏 洞 利 用 提 权 漏 洞 利 用 C V E - 2 0 2 1 - 3 1 9 5 5   是   n t o s k r n l . e x e   中 的 信 息 泄 露 漏 洞 。 该 漏 洞 与 名 为   S u p e r F e t c h   的   W i n d o w s   操 作 系 统 功 能 有 关 。 它 是 在   W i n d o w s   V i s t a   中 引 入 的 ， 旨 在 通 过 将 常 用 应 用 程 序 预 加 载 到 内 存 中 来 减 少 软 件 加 载 时 间 。 为 了   S u p e r F e t c h   的 目 的 ， 函 数 N t Q u e r y S y s t e m I n f o r m a t i o n 实 现 了 一 个 特 殊 的 系 统 信 息 类 S y s t e m S u p e r f e t c h I n f o r m a t i o n 。 这 个 系 统 信 息 类 包 含 十 多 个 不 同 的   S u p e r F e t c h   信 息 类 。 该 漏 洞 在 于 S u p e r F e t c h 信 息 类 S u p e r f e t c h P r i v S o u r c e Q u e r y 的 N t Q u e r y S y s t e m I n f o r m a t i o n 函 数 返 回 的 数 据   包 含 当 前 执 行 进 程 的   E P R O C E S S   内 核 地 址 。 值 得 注 意 的 是 ， 这 个 漏 洞 可 以 在 G i t H u b   上 可 用 几 年 的 代 码 中 观 察 到 ， 然 后 我 们 才 发 现 它 并 被 微 软 修 补 。
在   M e m I n f o   实 用 程 序 的 源 代 码 中 可 以 观 察 到   C V E - 2 0 2 1 - 3 1 9 5 5 另 一 个 漏 洞   C V E - 2 0 2 1 - 3 1 9 5 6   是   n t f s . s y s   中 基 于 堆 的 缓 冲 区 溢 出 。 函 数 N t f s Q u e r y E a U s e r E a L i s t 处 理 文 件 的 扩 展 属 性 列 表 ， 并 将 检 索 到 的 值 存 储 到 缓 冲 区 。 此 函 数 可 通 过 n t o s k r n l 系 统 调 用 访 问 ， 并 且 可 以 控 制 输 出 缓 冲 区 的 大 小 。 如 果 扩 展 属 性 的 大 小 未 对 齐 ， 则 该 函 数 将 计 算 填 充 并 且 下 一 个 扩 展 属 性 将 被 存 储 为   3 2   位 对 齐 。 该 代 码 检 查 输 出 缓 冲 区 是 否 足 够 长 以 适 合 带 有 填 充 的 扩 展 属 性 ， 但 它 不 检 查 可 能 的 整 数 下 溢 。 因 此 ， 可 能 会 发 生 基 于 堆 的 缓 冲 区 溢 出 。 f o r   (   c u r _ e a _ l i s t _ e n t r y   =   e a _ l i s t ;   ;   c u r _ e a _ l i s t _ e n t r y   =   n e x t _ e a _ l i s t _ e n t r y   ) {     . . .       o u t _ b u f _ p o s   =   ( D W O R D   * ) ( o u t _ b u f   +   p a d d i n g   +   o c c u p i e d _ l e n g t h ) ;       i f   (   N t f s L o c a t e E a B y N a m e ( e a s _ b l o c k s _ f o r _ f i l e ,   e a s _ b l o c k s _ s i z e ,   & n a m e ,   & e a _ b l o c k _ p o s )   )     {     e a _ b l o c k   =   e a s _ b l o c k s _ f o r _ f i l e   +   e a _ b l o c k _ p o s ;     e a _ b l o c k _ s i z e   =   e a _ b l o c k - > D a t a L e n g t h   +   e a _ b l o c k - > N a m e L e n g t h   +   9 ;     i f   (   e a _ b l o c k _ s i z e   < =   o u t _ b u f _ l e n g t h   -   p a d d i n g   )   / /   i n t e g e r - u n d e r f l o w   i s   p o s s i b l e     {         m e m m o v e ( o u t _ b u f _ p o s ,   ( c o n s t   v o i d   * ) e a _ b l o c k ,   e a _ b l o c k _ s i z e ) ;   / /   h e a p   b u f f e r   o v e r f l o w         * o u t _ b u f _ p o s   =   0 ;     }     }     e l s e     {     . . .     }       . . .       o c c u p i e d _ l e n g t h   + =   e a _ b l o c k _ s i z e   +   p a d d i n g ;     o u t _ b u f _ l e n g t h   - =   e a _ b l o c k _ s i z e   +   p a d d i n g ;     p a d d i n g   =   ( ( e a _ b l o c k _ s i z e   +   3 )   &   0 x F F F F F F F C )   -   e a _ b l o c k _ s i z e ;  
函 数   N t f s Q u e r y E a U s e r E a L i s t   中 易 受 攻 击 代 码 的 伪 代 码 该 漏 洞 利 用   C V E - 2 0 2 1 - 3 1 9 5 6   和   W i n d o w s   通 知 工 具   ( W N F )   来 创 建 任 意 内 存 读 写 原 语 。 我 们 计 划 在 未 来 发 布 有 关 此 技 术 的 更 多 信 息 。 由 于 该 漏 洞 利 用 C V E - 2 0 2 1 - 3 1 9 5 5 获 取 E P R O C E S S 结 构 的 内 核 地 址 ， 因 此 可 以 利 用 常 见 的 后 期 利 用 技 术 窃 取 S Y S T E M 令 牌 。 但 是 ， 该 漏 洞 利 用 很 少 使 用 的 “ P r e v i o u s M o d e ” 技 术 代 替 。 我 们 已 经 看 到 了   C H A I N S H O T   框 架 使 用 的 这 种 技 术 ， 甚 至 在   2 0 1 9   年 的   C a n S e c W e s t / B l u e H a t   上 对 其 进 行 了 介 绍 。 该 漏 洞 利 用 这 种 技 术 将 恶 意 软 件 模 块 注 入 系 统 进 程 并 执 行 。 恶 意 软 件 模 块 恶 意 软 件 模 块 除 了 上 述 漏 洞 利 用 之 外 ， 完 整 的 攻 击 链 还 包 括 四 个 额 外 的 恶 意 软 件 模 块 ， 它 们 将 被 称 为 ： S t a g e r D r o p p e r S e r v i c e R e m o t e   s h e l l s t a g e r   模 块 用 于 通 知 漏 洞 利 用 成 功 。 它 还 从 远 程 服 务 器 下 载 并 执 行 更 复 杂 的 恶 意 软 件 投 放 器 模 块 。 每 个   s t a g e r   模 块 都 通 过 一 个 个 性 化 的 配 置 b l o b   交 付 给 受 害 者 ， 该   b l o b   定 义 了   C & C   U R L 、 会 话   I D 、 解 密 下 一 阶 段 恶 意 软 件 的 密 钥 以 及 其 他 信 息 。 到 目 前 为 止 ， 我 们 发 现 的 所 有   s t a g e r   模 块 样 本 都 配 置 为 使 用 相 同 的   U R L   地 址 — — h x x p s : / / p { r e m o v e d } / m e t r i k a _ u p l o a d / i n d e x . p h p — — 来 下 载 加 密 的 恶 意 软 件   d r o p p e r   模 块 。 我 们 认 为 远 程 代 码 执 行   J a v a S c r i p t   漏 洞 也 有 可 能 托 管 在 同 一 个 看 似 合 法 的 地 缘 政 治 新 闻 门 户 上 ， 但 我 们 没 有 发 现 经 典 水 坑 攻 击 的 证 据 。 受 害 者 论 表 明 ， 漏 洞 利 用 具 有 高 度 针 对 性 。 d r o p p e r   模 块 用 于 安 装 两 个 可 执 行 文 件 ， 它 们 伪 装 成 属 于   M i c r o s o f t   W i n d o w s   操 作 系 统 的 合 法 文 件 。 其 中 一 个 文 件 ( % S Y S T E M % W m i P r v M o n . e x e )   注 册 为 服 务 并 用 作 第 二 个 可 执 行 文 件 的 启 动 程 序 。 第 二 个 可 执 行 文 件   ( % S Y S T E M % w m i m o n . d l l )   具 有 远 程 s h e l l   的 功 能 ， 可 以 被 视 为 攻 击 的 主 要 负 载 。 我 们 找 不 到 此 恶 意 软 件 与 其 他 已 知 恶 意 软 件 之 间 的 任 何 相 似 之 处 。 远 程   s h e l l   模 块 在 内 部   ( m e d i a - s e o e n g i n e [ . ] c o m )   有 一 个 硬 编 码 的   C & C   服 务 器   U R L 。 C & C   服 务 器 和 客 户 端 之 间 的 所 有 通 信 都 是 经 过 授 权 和 加 密 的 。 远 程   s h e l l   模 块 能 够 下 载 和 上 传 文 件 、 创 建 进 程 、 休 眠 指 定 时 间 以 及 从 受 感 染 的 机 器 中 删 除 自 身 。 我 们 分 析 的 所 有 工 件 似 乎 都 与 任 何 已 知 的 威 胁 行 为 者 没 有 密 切 的 联 系 。 我 们 观 察 到 的 与   C H A I N S H O T   的 唯 一 相 似 之 处 是 “ P r e v i o u s M o d e ” 技 术 ， 尽 管 这 是 众 所 周 知 的 并 且 可 能 被 各 种 团 体 使 用 。 我 们 将 这 些 攻 击 背 后 的 威 胁 参 与 者 称 为   P u z z l e M a k e r 。 卡 巴 斯 基 产 品 检 测 到 此 漏 洞 利 用 和 恶 意 软 件 模 块 ， 结 果 如 下 ： P D M : E x p l o i t . W i n 3 2 . G e n e r i c P D M : T r o j a n . W i n 3 2 . G e n e r i c U D S : D a n g e r o u s O b j e c t . M u l t i . G e n e r i c       . . . }
卡 巴 斯 基 产 品 在 行 为 检 测 引 擎 和 漏 洞 利 用 防 护 组 件 的 帮 助 下 检 测 到 这 些 攻 击 。 在 过 去 几 年 中 ， 我 们 在 我 们 的 产 品 中 构 建 了 多 种 漏 洞 利 用 保 护 技 术 ， 这 些 技 术 已 经 检 测 到 许 多 零 日 漏 洞 ， 并 反 复 证 明 了 它 们 的 有 效 性 。 我 们 将 通 过 增 强 技 术 并 与 第 三 方 供 应 商 合 作 修 补 漏 洞 ， 继 续 为 我 们 的 用 户 改 进 防 御 ， 使 每 个 人 的 互 联 网 都 更 加 安 全 。 卡 巴 斯 基 情 报 报 告 服 务 的 客 户 可 以 获 得 有 关 这 些 攻 击 及 其 背 后 参 与 者 的 更 多 信 息 。 联 系 方 式 ： i n t e l r e p o r t s @ k a s p e r s k y . c o m 。 卡 巴 斯 基 感 谢   M i c r o s o f t   对 报 告 和 补 丁 的 及 时 分 析 。 国 际 奥 委 会 国 际 奥 委 会 m e d i a - s e o e n g i n e [ . ] c o m % S Y S T E M % W m i P r v M o n . e x e M D 5   0 9 A 5 0 5 5 D B 4 4 F C 1 C 9 E 3 A D D 6 0 8 E F F F 0 3 8 C S H A - 1   B F F A 4 4 6 2 9 0 1 B 7 4 D B F B F F A A 3 A 3 D B 2 7 D A A 6 1 2 1 1 4 1 2 S H A - 2 5 6   9 8 2 F 7 C 4 7 0 0 C 7 5 B 8 1 8 3 3 3 D 2 9 0 4 0 B 8 1 8 3 3 D 2 9 0 5 C 5 C 5 0 C 8 0 F 3 B 7 0 F 3 B 7 0 F 3 B 7 B F B F F A A 3 A 3 % S Y S T E M % w m i m o n . d l l M D 5   D 6 B 8 5 0 C 9 5 0 3 7 9 D 5 E E 0 F 2 5 4 F 7 1 6 4 8 3 3 E 8 S H A - 1   E 6 3 E D 3 B 5 6 A 5 F 9 A 1 E A 5 C 9 2 D 3 D 2 4 4 4 1 9 6 E A 1 3 B E 9 4 B S H A - 2 5 6   8 A 1 7 2 7 9 B A 2 6 C 6 F 3 E A F B E 6 E 6 F 7 F 3 F C B 6 E 6 F 7 F 3 F C B 6 F 7 F 8 F 8 F C A B D 1 F 7 F 8 F 9 0 6 0 F C A B D 1 F 7 F 9 0 0 F 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理