搜索

[12369] 2018-02-17_AdobeFlash零日漏洞（CVE-2018-4878）在野攻击完全分析报告

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-02-17_AdobeFlash零日漏洞（CVE-2018-4878）在野攻击完全分析报告 A d o b e   F l a s h 零 日 漏 洞 （ C V E - 2 0 1 8 - 4 8 7 8 ） 在 野 攻 击 完 全 分 析 报 告 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 8 - 0 2 - 1 7 背 景 背 景 2 0 1 8 年 1 月 3 1 日 ， 韩 国 计 算 机 应 急 响 应 小 组 发 布 了 一 则 关 于 A d o b e   F l a s h   P l a y e r 的   0 d a y   漏 洞 警 告 ， 并 称 早 在 2 0 1 7 年 1 1 月 中 旬 ， 就 有 黑 客 利 用 该 漏 洞 实 施 有 针 对 性 的 攻 击 。 2 0 1 8 年 2 月 1 日 ，   A d o b e 官 方 发 布 了 A d o b e   F l a s h   P l a y e r 系 列 产 品 的 安 全 通 告 （ A P S A 1 8 - 0 1 ） ， 一 个 最 新 的 A d o b e F l a s h 零 日 漏 洞 被 发 现 针 对 韩 国 地 区 的 人 员 发 起 攻 击 ， 该 0 d a y 漏 洞 编 号 为 C V E - 2 0 1 8 - 4 8 7 8 。 2 0 1 8 年 2 月 5 日 ， A d o b e 官 方 发 布 漏 洞 补 丁 ， 修 复 C V E - 2 0 1 8 - 4 8 7 8 零 日 漏 洞 在 在 C V E - 2 0 1 8 - 4 8 7 8 零 日 漏 洞 的 补 丁 真 空 期 ， 零 日 漏 洞 的 补 丁 真 空 期 ， 3 6 0 安 全 卫 士 无 需 升 级 就 能 完 美 防 御 此 次 漏 洞 攻 击 。 在 此 期 间 ， 安 全 卫 士 无 需 升 级 就 能 完 美 防 御 此 次 漏 洞 攻 击 。 在 此 期 间 ， 3 6 0 核 心 安 全 高 级 威 胁 应 对 团 队 迅 速 反 应 ， 率 先 截 获 了 该 漏 洞 的 在 野 攻 击 并 发 布 分 析 预 警 。 在 官 方 发 布 漏 洞 补 丁 ， 核 心 安 全 高 级 威 胁 应 对 团 队 迅 速 反 应 ， 率 先 截 获 了 该 漏 洞 的 在 野 攻 击 并 发 布 分 析 预 警 。 在 官 方 发 布 漏 洞 补 丁 ， 零 日 漏 洞 得 到 妥 善 解 决 后 ， 本 次 我 们 发 布 在 野 攻 击 的 完 全 分 析 报 告 ， 帮 助 大 家 从 不 同 角 度 推 知 此 次 高 级 威 胁 攻 零 日 漏 洞 得 到 妥 善 解 决 后 ， 本 次 我 们 发 布 在 野 攻 击 的 完 全 分 析 报 告 ， 帮 助 大 家 从 不 同 角 度 推 知 此 次 高 级 威 胁 攻 击 的 全 貌 。 击 的 全 貌 。 漏 洞 文 档 攻 击 流 程 分 析 漏 洞 文 档 攻 击 流 程 分 析 攻 击 者 对 相 关 人 员 精 心 策 划 了 社 会 工 程 学 攻 击 ， 通 过 即 时 聊 天 工 具 和 邮 箱 向 相 关 人 员 发 送 包 含 漏 洞 及 恶 意 代 码 的 e x c e l 诱 饵 文 档 ， 诱 骗 受 害 者 打 开 中 招 。
诱 饵 文 档 内 容 诱 饵 文 档 中 包 含 了 一 个 A c t i v e X 对 象 ， 该 对 象 对 应 的 是 一 个 s w f 文 件 。 包 含 在 文 档 中 的 A c t i v e X 对 象 文 件 打 开 文 档 后 A c t i v e X 对 象 会 自 动 播 放 f l a s h 内 容 ， 允 许 播 放 后 将 从 云 端 实 施 下 一 步 攻 击 。
诱 饵 文 档 中 的 f l a s h 播 放 后 ， 下 一 步 将 请 求 远 程 U R L   w w w . d y l b o i l e r . c o . k r / a d m i n c e n t e r / f i l e s / b o a d / 4 / m a n a g e r . p h p u r l 请 求 参 数 包 含 i d （ 唯 一 标 识 符 ） 、 f p _ v s （ f l a s h 版 本 ） 、 o s _ v s （ 系 统 信 息 ） 诱 饵 文 档 中 的 f l a s h 将 解 密 远 程 U R L 地 址 返 回 的 加 密 文 件 流 ， 动 态 执 行 包 含 c v e - 2 0 1 8 - 4 8 7 8 漏 洞 的 f l a s h 内 容 。
c v e - 2 0 1 8 - 4 8 7 8 漏 洞 荷 载 所 在 网 站 是 一 个 正 规 的 韩 国 公 司 网 站 ， 疑 似 该 网 站 已 经 被 攻 击 者 入 侵 并 完 全 控 制 ， 攻 击 者 可 以 在 网 站 上 添 加 任 意 的 恶 意 代 码 。 C V E - 2 0 1 8 - 4 8 7 8 零 日 漏 洞 分 析 零 日 漏 洞 分 析 我 们 对 c v e - 2 0 1 8 - 4 8 7 8 漏 洞 文 件 流 进 行 分 析 ， 发 现 样 本 通 过 操 作 F l a s h 的 c o m . a d o b e . t v s d k 包 中 的 D R M M a n a g e r 对 象 进 行 攻 击 。 该 部 分 漏 洞 的 关 键 代 码 存 在 于 m e t h o d _ 3 方 法 中 ， 该 方 法 n e w 了 一 个 c l a s s _ 8 的 对 象 ， 并 传 给 d r m M a n a g e r . i n i t i a l i z e ， 然 后 将 v a r _ 1 6 置 空 。
在 c l a s s _ 2 的 构 造 函 数 中   L o c a l C o n n e c t i o n ( ) . c o n n e c t 会 主 动 调 用 g c 释 放 没 有 的 引 用 的 内 存 ， 而 第 二 次 的 L o c a l C o n n e c t i o n ( ) . c o n n e c t 调 用 会 产 生 异 常 ， 异 常 处 理 过 程 中 又 会 n e w 一 个 c l a s s _ 8 的 对 象 赋 值 给 v a r _ 1 3 。 之 后 创 建 了 一 个 定 时 器 ， 定 时 器 处 理 函 数 中 ， 判 断 v a r _ 1 3 . a 1 成 员 的 值 是 否 被 修 改 。 如 果 发 现 值 被 修 改 了 ， 则 调 用 f l a s h _ 2 4 / 2 5 方 法 。
在 f l a s h _ 2 5 方 法 中 又 会 n e w   一 个 c l a s s _ 7 的   B y t e A r r a y 对 象 赋 值 给 v a r _ 1 7 。 v a r _ 1 7 是 个 B y t e A r r a y 对 象 ， 通 过 修 改 B y t e A r r a y 对 象 的 L e n g t h 可 以 完 成 任 意 内 存 读 写 ， 该 处 的 漏 洞 利 用 技 巧 和 h a c k i n g t e a m 的 f l a s h   e x p l o i t 技 巧 类 似 ， 相 关 代 码 已 经 开 源 就 不 再 详 述 。 进 一 步 我 们 对 该 漏 洞 进 行 调 试 分 析 ， 将 v a r _ 1 3   =   n e w c l a s s _ 8 ( ) ; 代 码 注 释 掉 将 会 触 发 空 指 针 访 问 崩 溃 。
回 溯 发 现 地 址 数 据 来 自 e s i + 0 c 位 置 由 于 这 里 我 们 已 经 把 v a r _ 1 3 创 建 代 码 注 释 了 ， 说 明 还 有 其 他 对 象 被 错 误 的 释 放 了 ， L o c a l C o n n e c t i o n ( ) . c o n n e c t 会 主 动 调 用 g c 释 放 没 有 的 引 用 的 内 存 ， 所 以 这 里 我 们 再 把 这 部 分 注 释 ， 并 在   6 8 5 0 e 1 4 2 8 b 4 e 0 c                     m o v           e c x , d w o r d   p t r [ e s i + 0 C h ]   处 设 置 断 点 ， 观 察 被 释 放 的 数 据 内 容 。 断 点 命 中 后 ， 可 以 发 现 数 据 其 实 是 c l a s s _ 8 对 象 的 内 容 ， 也 就 是 v a r _ 1 6 的 内 存 。
最 终 分 析 确 认 c v e - 2 0 1 8 - 4 8 7 8 零 日 漏 洞 是 d r m M a n a g e r . i n i t i a l i z e 没 有 正 确 的 处 理 所 持 有 的 对 象 导 致 U A F 漏 洞 。 S h e l l c o d e 攻 击 流 程 分 析 攻 击 流 程 分 析 接 下 来 ， 漏 洞 触 发 执 行 的 s h e l l c o d e 会 通 过 进 程 名 ， 判 断 用 户 是 否 安 装 了 A h n L a b 、 V i R o b o t   A P T   S h i e l d 和 3 6 0 三 款 中 韩 常 用 的 安 全 软 件 ， 以 采 取 不 同 的 方 案 进 行 攻 击 。 l     三 款 安 全 软 件 ， 任 意 一 款 存 在 的 环 境 三 款 安 全 软 件 ， 任 意 一 款 存 在 的 环 境 直 接 调 用 w i n i n e t 系 列 函 数 下 载 h t t p : / / w w w . 1 5 8 8 - 2 0 4 0 . c o . k r / c o n f / p r o d u c t _ o l d . j p g 所 对 应 的 恶 意 荷 载 执 行 。 l     未 安 装 三 款 安 全 软 件 ， 或 可 能 存 在 其 他 未 知 安 全 软 件 的 环 境 未 安 装 三 款 安 全 软 件 ， 或 可 能 存 在 其 他 未 知 安 全 软 件 的 环 境 创 建 c m d 进 程 ， 针 对 c m d 进 程 通 过 远 程 线 程 注 入 代 码 的 方 式 下 载 h t t p : / / w w w . 1 5 8 8 - 2 0 4 0 . c o . k r / c o n f / p r o d u c t . j p g 所 对 应 的 恶 意 荷 载 执 行 。 l     两 款 韩 国 安 全 软 件 共 存 的 环 境 两 款 韩 国 安 全 软 件 共 存 的 环 境
S h e l l c o d e 将 会 直 接 退 出 ， 不 做 任 何 操 作 。 S h e l l c o d e 所 下 载 的 恶 意 荷 载 地 址 所 在 网 站 ， 同 样 是 一 个 正 规 的 韩 国 公 司 网 站 ， 疑 似 该 网 站 也 已 被 攻 击 者 入 侵 并 完 全 控 制 ， 用 于 放 置 最 终 的 恶 意 荷 载 。 恶 意 荷 载 分 析 恶 意 荷 载 分 析 最 终 执 行 的 恶 意 荷 载 会 分 为 两 个 阶 段 的 程 序 ， 第 一 个 阶 段 是 D r o p p e r 荷 载 释 放 程 序 ， 第 二 个 阶 段 是 利 用 网 络 云 盘 进 行 C & C 控 制 的 后 门 程 序 。 荷 载 释 放 程 序 （ 荷 载 释 放 程 序 （ D r o p p e r ） ） 程 序 从 资 源 中 加 载 名 为 J O K 的 资 源 ， 资 源 的 内 容 为 实 际 执 行 的 S h e l l c o d e ， 程 序 新 启 动 w s c r i p t . e x e ， 通 过 远 程 线 程 的 方 式 将 s h e l l c o d e 注 入 到 w s c r i p t 进 程 中 执 行 ， 最 终 S h e l l c o d e 会 从 内 存 中 解 密 释 放 P E 文 件 ， 自 行 加 载 节 区 重 定 位 在 内 存 中 执 行 最 终 的 后 门 程 序 。 值 得 注 意 的 是 ， 此 次 程 序 的 P D B 路 径 ， 与 2 0 1 7 年 1 1 月 思 科 报 告 的 G r o u p   1 2 3   组 织 的 R O K R A T 木 马 （ h t t p : / / b l o g . t a l o s i n t e l l i g e n c e . c o m / 2 0 1 8 / 0 1 / k o r e a - i n - c r o s s h a i r s . h t m l ? m = 1 ） 存 在 关 联 。
同 时 ， 程 序 的 执 行 流 程 和 技 术 细 节 也 与 思 科 报 告 中 的 d r o p p e r 程 序 一 致 ， 疑 似 是 同 一 系 列 的 R O K R A T 木 马 程 序 。 网 盘 后 门 程 序 （ 网 盘 后 门 程 序 （ C l o u d   D r i v e   R A T ） ） 该 程 序 使 用 公 共 网 盘 作 为 C & C 服 务 器 ， 用 来 存 储 截 屏 信 息 或 者 进 行 插 件 下 载 ； 相 对 于 传 统 的 C C 服 务 器 ， 使 用 公 共 网 盘 提 高 了 流 量 识 别 的 难 度 ， 因 为 网 盘 类 网 址 均 为 可 信 的 白 域 名 。 使 用 的 云 盘 信 息 如 下 ： 程 序 中 出 现 的 程 序 中 出 现 的 U R L 对 应 网 盘 对 应 网 盘 a p i . b o x . c o m B o x c o n t e n t . d r o p b o x a p i . c o m D r o p B o x a p i . p c l o u d . c o m p C l o u d c l o u d - a p i . y a n d e x . n e t Y a n d e x 程 序 主 要 流 程 分 析 程 序 主 要 流 程 分 析 程 序 首 先 生 成 了 一 个 8 字 节 的 随 机 字 符 串 ， 用 来 作 为 本 次 通 讯 的 标 识 ， 该 字 符 串 在 随 后 的 上 传 和 C C 命 令 执 行 都 有 涉 及 随 后 对 操 作 系 统 版 本 和 当 前 执 行 和 环 境 进 行 检 查
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理