搜索

[5250] 2018-06-29_NSA网络武器DoublePulsar升级，WindowsEmbedded也沦陷了

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2018-06-29_NSA网络武器DoublePulsar升级，WindowsEmbedded也沦陷了 ​ N S A 网 络 武 器 D o u b l e P u l s a r 升 级 ， W i n d o w s   E m b e d d e d 也 沦 陷 了 原 创   E 安 全   E 安 全   2 0 1 8 - 0 6 - 2 9 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 6 月 2 9 日 讯     作 为 “ 影 子 经 纪 人 ” 从 美 国 国 家 安 全 局 （ N S A ） 下 辖 方 程 式 小 组 处 窃 取 到 的 两 款 黑 客 工 具 之 一 ， 双 脉 冲 星 双 脉 冲 星 （ （ D o u b l e P u l s a r ） ）   后 门 程 序 能 够 在 各 类   W i n d o w s   版 本 之 上 运 行 ， 但 一 直 无 法 与   W i n d o w s   E m b e d d e d   嵌 入 式 操 作 系 统 顺 利 对 接 。 近 日 ， 网 名 为   C a p t .   M e e l o   的 安 全 研 究 人 员 发 现 ， 只 要 一 行 简 单 的 代 码 就 足 以 让 这 个 后 门 在   W i n d o w s   E m b e d d e d   设 备 上 正 常 运 行 。 后 门 后 门 D o u b l e P u l s a r D o u b l e P u l s a r   后 门 程 序 2 0 1 7 年 4 月 正 式 公 布 ， 在 短 时 间 内 就 波 及 2 5 个 国 家 及 地 区 。 当 时 安 恒 研 究 院 对 全 球 开 放 S M B 端 口 的 主 机 进 行 探 测 分 析 发 现 ， 全 球 范 围 内 检 测 发 现 被 入 侵 植 入 D o u b l e P u l s a r 后 门 的 主 机 9 4 , 6 1 3 个 ， 其 中 检 测 到 美 国 被 植 入 后 门 主 机 数 量 为 5 8 , 0 7 2 ,   占 全 球 数 量 的 6 1 % ,   中 国 被 植 入 后 门 主 机 数 量 为 2 0 , 6 5 5 , 占 全 球 数 量 的 2 2 % 。 D o u b l e P u l s a r   用 于 在 已 感 染 的 系 统 上 注 入 和 运 行 恶 意 代 码 ， 是 用 于 在 已 感 染 的 系 统 上 注 入 和 运 行 恶 意 代 码 ， 是   N S A   用 作 监 听 使 用 的 用 作 监 听 使 用 的 一 种 复 杂 的 多 架 构   S M B （ 服 务 器 消 息 块 ） 后 门 程 序 ， 能 够 在 受 感 染 机 器 上 很 好 地 掩 藏 自 身 行 迹 。 该 后 门 在   N S A   的   F u z z B u n c h   软 件 （ 类 似 于   R a p i d 7   的   M e t a s p l o i t   漏 洞 利 用 框 架 ） 中 得 到 使 用 。 显 然 ， 会 受 到 攻 击 影 响 的 计 算 机 系 统 是 存 在 漏 洞 的 W i n d o w s 版 本 ， 因 为 这 给 攻 击 者 提 供 了 其   S M B   端 口 。 一 旦 后 门 被 植 入 ， 攻 击 者 就 就 可 以 毫 无 阻 碍 的 向 目 标 机 器 植 入 d l l   或 者   s h e l l c o d e ， 植 入 的 任 意 程 序 或 者 代 码 将 以 系 统 最 高 权 限 运 行 ， 导 致 系 统 被 完 全 控 制 。 此 前 ： 后 门 无 法 与 此 前 ： 后 门 无 法 与 W i n d o w s   E m b e d d e d 对 接 对 接 网 名 为   C a p t .   M e e l o   的 安 全 研 究 人 员 表 示 ， 实 际 上   W i n d o w s   E m b e d d e d   操 作 系 统 本 身 也 容 易 受 到   N S A   相 关 攻 击 活 动 的 影 响 。 这 名 研 究 人 员 发 现 ， W i n d o w s   E m b e d d e d   确 实 极 易 受 到 攻 击 ， 但 与 漏 洞 利 用 相 关 的   M e t a s p l o i t   模 块 在 该 平 台 上 无 法 正 常 起 效 。 而 在 尝 试   F u z z B u n c h   之 后 ， 他 证 明 了 导 致 目 标 设 备 受 到 入 侵 的 根 源 确 实 是 “ 永 恒 之 蓝 ” 。 尽 管 对 “ 永 恒 之 蓝 ” 模 块 的 利 用 获 得 成 功 ， 但   D o u b l e P u l s a r   却 始 终 无 法 成 功 安 装 。
这 位 研 究 人 员 继 续 对 该 植 入 物 进 行 分 析 后 发 现 ， 只 要 一 行 简 单 的 代 码 就 足 以 使 其 在   W i n d o w s   E m b e d d e d   上 顺 利 运 行 。 如 何 让 该 后 门 在 如 何 让 该 后 门 在 W i n d o w s   E m b e d d e d   上 顺 利 运 行 ？ 上 顺 利 运 行 ？ 后 门   D o u b l e P u l s a r   在 设 计 层 面 会 对 目 标 计 算 机 上 的   W i n d o w s   版 本 进 行 检 查 ， 并 在   W i n d o w s   7   或 者 其 它 迭 代 版 本 上 获 取 安 装 路 径 。 然 而 ， 这 项 检 查 在   W i n d o w s   E m b e d d e d   当 中 无 法 实 现 ， 因 此 会 生 成 一 条 错 误 信 息 。 通 过 简 单 修 改 “ W i n d o w s   7   O S   C h e c k ” 中 的 指 令 ， 这 位 研 究 人 员 得 以 强 迫 该 植 入 物 选 用 特 定 的 安 装 路 径 。 研 究 人 员   C a p t · M e e l o   解 释 称 ： “ 为 了 完 成 上 述 目 标 ， 我 采 取 的 操 作 为 编 辑 - > 补 丁 程 序 - > 变 更 字 节 。 而 后 ， 我 将 其 中 的 值 7 4 （ J Z 操 作 码 ） 更 改 为 7 5 （ J N Z 操 作 码 ） 。
接 下 来 ， 我 通 过 文 件 - > 生 成 文 件 - > 创 建   D I F   文 件 ， 创 建 出 一 个   D I F   文 件 。 ”
而 利 用 一 份 来 自 网 友 兼 安 全 爱 好 者   S t a l k R   提 供 的 脚 本 ， 他 随 后 修 复 了 这 个 遭 到 修 改 的   . e x e   文 件 ， 并 将 修 改 后 的 D o u b l e p u l s a r - 1 . 3 . 1 . e x e   重 新 移 动 至 其 原 始 位 置 。
如 此 一 来 ， 由 此 生 成 的   D L L   p a y l o a d   将 得 以 成 功 注 入 至 目 标 主 机 当 中 。
注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 3 6 2 2 2 0 3 2 4 . s h t m l 推 荐 阅 读 ： 警 告 ！ 双 向 通 信 银 行 后 门 S o c k e t P l a y e r 可 规 避 沙 箱 机 制 美 众 议 院 " 安 全 数 据 法 案 " ：   禁 止 “ 迫 使 科 技 公 司 开 后 门 ” 论 为 政 府 保 留 移 动 设 备 后 门 1 4 岁 黑 客 开 发 F r u i t f l y 后 门 监 视 M a c 用 户 1 3 年 W i n 1 0 也 沦 陷 ， 如 何 应 对 永 恒 之 蓝 ？ 早 在 W a n n a C r y 之 前   至 少 存 在 3 个 组 织 利 用 永 恒 之 蓝 发 起 攻 击 谁 窃 取 了 N S A 黑 客 工 具 ？ N S A 员 工 私 人 电 脑 现 1 2 1 个 病 毒 及 变 种 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理