搜索

[12359] 2018-02-14_CVE-2018-4878Flash0day漏洞攻击样本解析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-02-14_CVE-2018-4878Flash0day漏洞攻击样本解析 C V E - 2 0 1 8 - 4 8 7 8   F l a s h   0 d a y 漏 洞 攻 击 样 本 解 析 3 6 0 天 眼 实 验 室   F r e e B u f   2 0 1 8 - 0 2 - 1 4 背 景 背 景 2 0 1 8 年 年 1 月 月 3 1 日 ， 韩 国 日 ， 韩 国 C E R T 发 布 公 告 称 发 现 发 布 公 告 称 发 现 F l a s h   0 d a y 漏 洞 的 野 外 利 用 ， 攻 击 者 执 行 针 对 性 的 攻 击 ； 漏 洞 的 野 外 利 用 ， 攻 击 者 执 行 针 对 性 的 攻 击 ； 2 月 月 1 日 日 A d o b e 发 布 安 全 公 告 ， 确 认 发 布 安 全 公 告 ， 确 认 A d o b e   F l a s h   P l a y e r   2 8 . 0 . 0 . 1 3 7   及 早 期 版 本 存 在 远 程 代 码 执 行 漏 洞 （ 及 早 期 版 本 存 在 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 8 - 4 8 7 8 ） ； ） ； 2 月 月 2 日 ， 日 ， C i s c o   T a l o s 团 队 发 布 了 事 件 涉 及 攻 击 样 本 的 简 要 分 析 ； 团 队 发 布 了 事 件 涉 及 攻 击 样 本 的 简 要 分 析 ； 2 月 月 7 日 ， 日 ， A d o b e 发 布 了 发 布 了 C V E - 2 0 1 8 - 4 8 7 8 漏 洞 的 安 全 补 丁 。 本 文 基 于 漏 洞 的 安 全 补 丁 。 本 文 基 于 T a l o s 文 章 中 给 出 的 样 本 及 文 章 中 给 出 的 样 本 及 3 6 0 安 全 卫 士 团 队 输 出 的 报 告 ， 对 相 关 样 本 做 进 一 步 安 全 卫 士 团 队 输 出 的 报 告 ， 对 相 关 样 本 做 进 一 步 的 解 析 以 丰 富 相 应 的 技 术 细 节 ， 但 是 不 涉 及 的 解 析 以 丰 富 相 应 的 技 术 细 节 ， 但 是 不 涉 及 C V E - 2 0 1 8 - 4 8 7 8 漏 洞 的 分 析 。 漏 洞 的 分 析 。 F l a s h   0 d a y 漏 洞 的 载 体 漏 洞 的 载 体 F l a s h   0 d a y   C V E - 2 0 1 8 - 4 8 7 漏 洞 利 用 代 码 被 嵌 入 到 O f f i c e 文 档 中 ， 样 本 使 用 E x c e l 文 档 为 载 体 ， 内 嵌 了 一 个 动 画 用 于 加 载 其 中 恶 意 的 F l a s h 组 件 ： 该 诱 饵 文 件 中 包 含 一 个 A c t i v e X 对 象 ， 打 开 文 件 后 会 加 载 其 中 的 F l a s h 内 容 ： 此 a c t i v e X 1 . b i n 不 能 直 接 通 过 A S 3 打 开 ：
将 F W S 前 面 的 数 据 删 除 ， A S 3 即 可 正 常 反 编 译 ： 此 S W F 本 身 是 一 个 l o a d e r ， 运 行 前 初 始 化 了 一 个 U R L r e q u e s t 实 例 ， 实 例 设 置 了 对 应 的 完 成 事 件 ， 通 过 该 实 例 和 远 端 服 务 器 通 信 获 取 E x p l o i t 的 解 密 秘 钥 后 ， 调 用 D e c r y p t 解 密 对 应 的 E x p l o i t 代 码 ： 构 造 的 发 送 初 始 数 据 的 U R L 请 求 如 下 所 示 ， 具 体 包 含 ： 1 .   唯 一 标 示 i d 2 .   F l a s h 版 本 3 .   系 统 版 本 攻 击 者 通 过 这 些 基 础 信 息 确 定 目 标 系 统 是 否 在 漏 洞 的 影 响 范 围 内 ， 这 也 是 F l a s h 漏 洞 利 用 中 的 常 规 操 作 ， 即 E x p l o i t 本 身 不 轻 易 落 地 ， 只 有 当 本 地 环 境 确 认 后 ， 再 从 C & C 服 务 器 返 回 对 应 的 E x p l o i t 及 对 应 的 解 密 密 钥 。
提 交 的 数 据 包 样 例 如 下 所 示 ： 在 此 之 后 ， 通 过 该 请 求 返 回 的 密 钥 解 密 得 到 E x p l o i t 执 行 ：
P a y l o a d 分 析 分 析 因 为 提 供 解 密 E x p l o i t 密 钥 的 网 站 连 接 已 经 被 移 除 ， 所 以 目 前 无 法 得 到 E x p l o i t 代 码 本 身 ， 因 此 本 文 是 对 C i s c o   T a l o s 团 队 所 提 供 的 C V E - 2 0 1 8 - 4 8 7 8 漏 洞 利 用 完 成 以 后 的 落 地 P a y l o a d 进 行 分 析 ， 相 应 的 文 件 H a s h 为 ： d 2 8 8 1 e 5 6 e 6 6 a e a e b e f 7 e f a a 6 0 a 5 8 e f 9 b 该 样 本 从 资 源 J O K 获 取 数 据 并 注 入 到 一 个 自 启 的 w s c r i p t 进 程 中 执 行 ：
资 源 J O K 中 的 数 据 ： 注 入 的 数 据 开 头 是 一 段 加 载 代 码 ， 主 要 功 能 是 重 定 位 以 及 通 过 X O R 解 密 之 后 的 第 二 段 S h e l l c o d e ， 解 密 密 钥 通 过 加 密 S h e l l c o d e 第 一 个 字 节 与 0 x 9 0   X O R 操 作 获 得 ： S h e l l c o d e 2 首 先 获 取 K e r n e l 3 2 基 址 ， 之 后 通 过 9 0 9 0 9 0 9 0 标 记 找 到 后 续 需 要 解 密 的 P E 文 件 地 址 ：
通 过 加 密 P E 第 一 个 字 节 与 0 x 4 D 做 X O R 操 作 获 取 P E 的 解 密 K e y ， 并 解 密 出 最 后 的 P E 文 件 ： 如 下 代 码 所 示 开 始 对 应 P E 文 件 的 解 密 ：
之 后 该 恶 意 P E 文 件 被 重 新 拷 贝 到 一 段 申 请 的 内 存 中 修 复 导 入 表 并 执 行 ： R O K R A T 后 门 后 门 被 S h e l l c o d e 加 载 到 内 存 中 执 行 的 恶 意 代 码 是 一 个 E X E 程 序 ， 为 R O K R A T 家 族 后 门 远 控 。 该 样 本 会 通 过 网 盘 上 传 数 据 ， 网 盘 的 A P I   K e y 会 内 置 在 样 本 数 据 里 ， 下 图 为 提 取 到 的 字 符 串 的 信 息 ， 样 本 会 通 过 A P I 调 用 4 个 国 外 主 流 的 网 盘 包 括 ： p c l o u d 、 b o x 、 d r o p b o x 、 y a n d e x
从 文 件 中 获 取 到 K e y 的 代 码 如 下 ： 上 传 到 网 盘 的 文 件 名 格 式 为 p h o [ 随 机 生 成 的 8 字 节 h e x 值 ( 机 器 标 识 ) ] [ 上 传 次 数 递 加 ] ， 构 造 文 件 名 的 代 码 如 下 ： 网 盘 数 据 网 盘 数 据
使 用 得 到 的 K e y 请 求 p c l o u d 可 以 获 取 网 盘 的 注 册 人 信 息 ， 注 册 邮 箱 为 c h e s e o l u m @ n a v e r . c o m ， 注 册 时 间 为 2 0 1 7 年 1 2 月 1 1 日 ： 使 用 l i s t f o l d e r   A P I 获 取 根 目 录 的 文 件 列 表 如 下 ：
然 后 通 过 A P I 获 取 指 定 文 件 的 下 载 链 接 ： h t t p s : / / a p i . p c l o u d . c o m / g e t f i l e l i n k ? p a t h = % s & f o r c e d o w n l o a d = 1 & s k i p f i l e n a m e = 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理