搜索

[11234] 2017-04-13_Word漏洞CVE-2017-0199剖析，微软的补丁你装了吗？

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2017-04-13_Word漏洞CVE-2017-0199剖析，微软的补丁你装了吗？ W o r d 漏 洞 C V E - 2 0 1 7 - 0 1 9 9 剖 析 ， 微 软 的 补 丁 你 装 了 吗 ？ A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 4 - 1 3 前 言 前 言 近 期 ， F i r e E y e 检 测 到 了 一 种 利 用 漏 洞 C V E - 2 0 1 7 - 0 1 9 9 的 恶 意 O f f i c e R T F 文 档 — — 本 周 早 前 F r e e B u f 也 报 道 了 这 一 漏 洞 ， 在 无 需 启 用 W o r d 宏 的 情 况 下 ， 打 开 恶 意 R F T 文 档 就 可 感 染 恶 意 程 序 。 当 用 户 打 开 嵌 入 了 漏 洞 利 用 代 码 的 恶 意 文 档 之 后 ， 这 个 漏 洞 将 允 许 攻 击 者 在 目 标 设 备 中 下 载 并 执 行 一 个 包 含 P o w e r S h e l l 命 令 的 V i s u a l   B a s i c 脚 本 ， 而 F i r e E y e 所 发 现 的 这 个 恶 意 O f f i c e 文 档 正 是 利 用 了 漏 洞 C V E - 2 0 1 7 - 0 1 9 9 来 在 受 感 染 设 备 上 下 载 并 执 行 恶 意 P a y l o a d 。 目 前 ， F i r e E y e 已 经 将 漏 洞 详 情 上 报 给 了 微 软 公 司 ， 并 且 正 在 根 据 微 软 补 丁 的 发 布 时 间 来 协 调 漏 洞 披 露 的 相 关 事 宜 。 从 近 期 一 些 安 全 机 构 的 分 析 来 看 ， 该 漏 洞 已 经 被 攻 击 者 应 用 到 了 攻 击 中 ， F r e e B u f 的 安 全 快 讯 就 报 道 了 该 漏 洞 已 经 被 应 用 到 D r i d e x 银 行 木 马 的 部 署 ； 乌 克 兰 冲 突 的 网 络 间 谍 活 动 中 该 漏 洞 也 被 攻 击 者 利 用 。 在 漏 洞 补 丁 发 布 之 前 ， 这 个 漏 洞 可 以 绕 过 绝 大 多 数 的 防 护 机 制 ， 但 是 F i r e E y e 的 邮 件 和 网 络 产 品 成 功 检 测 到 了 这 种 恶 意 文 档 。 F i r e E y e 建 议 广 大 O f f i c e 用 户 尽 快 安 装 微 软 公 司 提 供 的 这 份 补 丁 。 攻 击 场 景 攻 击 场 景 攻 击 的 整 个 过 程 如 下 ： 攻 击 的 整 个 过 程 如 下 ： 1 .         攻 击 者 向 目 标 用 户 发 送 一 个 嵌 入 了 O L E 2 文 件 （ 对 象 链 接 ） 的 W o r d 文 档 。 2 .         当 用 户 打 开 文 档 之 后 ， w i n w o r d . e x e 会 向 远 程 服 务 器 发 送 一 个 H T T P 请 求 ， 并 获 取 一 个 恶 意 H T A 文 件 。 3 .         服 务 器 返 回 的 这 个 文 件 是 一 个 伪 造 的 R T F 文 件 ， 其 中 嵌 入 了 恶 意 脚 本 。 4 .         W i n w o r d . e x e 会 通 过 一 个 C O M 对 象 来 查 询 H T A 文 件 处 理 器 ， 而 这 一 行 为 将 会 使 微 软 H T A 应 用 （ m s h t a . e x e ） 加 载 并 执 行 恶 意 脚 本 。 在 F i r e E y e 所 发 现 的 两 个 恶 意 文 档 中 ， 嵌 入 在 其 中 的 恶 意 脚 本 首 先 会 终 止 w i n w o r d . e x e 进 程 ， 然 后 下 载 额 外 的 P a y l o a d ， 最 后 加 载 恶 意 代 码 。 原 始 的 w i n w o r d . e x e 进 程 将 会 被 终 止 ， 恶 意 V B 脚 本 将 会 隐 藏 如 下 图 所 示 的 用 户 弹 窗 ：
文 件 文 件 1 - （ （ M D 5 : 5 e b f d 1 3 2 5 0 d d 0 4 0 8 e 3 d e 5 9 4 e 4 1 9 f 9 e 0 1 ） ） F i r e E y e 所 识 别 出 的 第 一 个 恶 意 文 档 主 要 有 三 个 操 作 阶 段 。 首 先 ， 一 个 嵌 入 在 文 档 中 的 O L E 2 链 接 对 象 会 让 w i n w o r d . e x e 访 问 下 面 这 个 U R L 地 址 ， 并 下 载 第 一 阶 段 所 需 要 的 恶 意 H T A 文 件 ： h t t p [ : ] / / 4 6 . 1 0 2 . 1 5 2 [ . ] 1 2 9 / t e m p l a t e . d o c 下 载 完 成 之 后 ， “ a p p l i c a t i o n / h t a ” 处 理 器 会 对 恶 意 H T A 文 件 进 行 处 理 。 下 图 中 选 中 的 那 一 行 显 示 的 是 第 一 次 恶 意 文 件 下 载 过 程 ， 随 后 还 会 下 载 额 外 的 恶 意 P a y l o a d ：             下 载 完 成 之 后 ， 临 时 文 件 会 被 存 储 在 用 户 的 临 时 网 络 文 件 夹 内 ， 文 件 名 为 t e m p l a t e [ ? ] . h t a ， 其 中 的 [ ? ] 为 当 前 运 行 时 间 。 逻 辑 漏 洞 逻 辑 漏 洞 M s h t a . e x e 负 责 处 理 和 解 析 C o n t e n t - T y p e “ a p p l i c a t i o n / h t a ” 的 内 容 ， 并 执 行 脚 本 代 码 。 下 图 显 示 的 是 w i n w o r d . e x e 为 “ a p p l i c a t i o n / h t a ” 处 理 器 请 求 C L S I D 的 注 册 表 键 值 。 W i n w o r d . e x e 会 向 D C O M L a u n c h 服 务 发 送 一 次 请 求 ， 并 通 过 s v c h o s t . e x e 进 程 来 让 D C O M L a u n c h 执 行 m s h t a . e x e 。 接 下 来 ， M s h t a . e x e 将 会 负 责 执 行 嵌 入 在 恶 意 H T A 文 档 中 的 脚 本 代 码 。 下 图 显 示 的 是 第 一 阶 段 所 下 载 的 V B 脚 本 代 码 （ 已 经 过 凡 混 淆 处 理 ） ： 上 图 所 示 的 脚 本 代 码 会 执 行 下 列 恶 意 行 为 ： 1 .         通 过 t a s k k i l l . e x e 终 止 w i n w o r d . e x e 进 程 ， 并 隐 藏 之 前 图 片 所 显 示 的 用 户 弹 窗 。
2 .         从 地 址 h t t p [ : ] / / w w w . m o d a n i [ . ] c o m / m e d i a / w y s i w y g / w w . v b s 下 载 一 个 V B S c r i p t 文 件 ， 保 存 路 径 为 % a p p d a t a % M i c r o s o f t W i n d o w s m a i n t e n a n c e . v b s 。 3 .         从 地 址 h t t p [ : ] / / w w w . m o d a n i [ . ] c o m / m e d i a / w y s i w y g / q u e s t i o n s . d o c 下 载 一 个 钓 鱼 文 件 ， 保 存 路 径 为 % t e m p % d o c u m e n t . d o c 。 4 .         让 M i c r o s o f t   W o r d 重 启 。 5 .         执 行 V B S c r i p t 文 件 ： % a p p d a t a % M i c r o s o f t W i n d o w s m a i n t e n a n c e . v b s 6 .         打 开 钓 鱼 文 件 % t e m p % d o c u m e n t . d o c ， 隐 藏 恶 意 活 动 。 其 中 ， 恶 意 V B S c r i p t 文 件 将 负 责 执 行 下 面 这 两 个 任 务 ： 1 .         向 % T M P % / e o o b v f w i g l h i l i q o u g u k g m . j s 写 入 一 个 嵌 入 式 脚 本 （ 经 过 混 淆 处 理 ） 。 2 .         执 行 脚 本 代 码 。 经 过 混 淆 的 e o o b v f w i g l h i l i q o u g u k g m . j s 脚 本 负 责 执 行 以 下 三 个 任 务 ： 1 .         尝 试 将 自 己 从 系 统 中 删 除 。 2 .         尝 试 下 载 h t t p [ : ] / / w w w . m o d a n i [ . ] c o m / m e d i a / w y s i w y g / w o o d . e x e ， 并 将 文 件 保 存 在 % T M P % d c i h p r i a n e e y i r d e u c e u l x . e x e 。 3 .         运 行 % T M P % d c i h p r i a n e e y i r d e u c e u l x . e x e 下 图 显 示 的 是 进 程 的 执 行 链 ： 这 一 恶 意 软 件 最 终 所 使 用 的 p a y l o a d 为 L A T E N T B O T 恶 意 软 件 家 族 的 一 个 新 型 变 种 。 下 图 显 示 的 是 第 一 个 文 档 文 件 的 元 数 据 ：
L A T E N T B O T   P a y l o a d L A T E N T B O T 是 一 款 高 度 混 淆 化 的 B O T ， 从 2 0 1 3 年 起 就 已 经 得 到 了 网 络 犯 罪 分 子 的 青 睐 ， 而 且 与 第 一 个 文 档 有 关 的 P a y l o a d 是 L A T E N T B O T 恶 意 软 件 家 族 的 一 个 新 型 变 种 。 这 种 新 版 本 的 L A T E N T B O T 在 攻 击 W i n d o w s X P （ x 8 6 ） 和 W i n d o w s 7 系 统 时 采 用 的 是 与 之 前 版 本 不 同 的 注 入 机 制 ： 1 .         A t t r i b . e x e - 这 个 恶 意 b o t 会 调 用 A t t r i b . e x e ， 在 映 射 a t t r i b . e x e 的 地 址 空 间 时 使 用 的 是 Z w M a p V i e w O f S e c t i o n ( ) 。 2 .         S v c h o s t 代 码 注 入 - A t t r i b . e x e 会 以 挂 起 模 式 运 行 s v c h o s t . e x e 进 程 ， 并 通 过 调 用 Z w M a p V i e w O f S e c t i o n ( ) 向 内 存 空 间 注 入 恶 意 代 码 。 3 .         控 制 转 移 - 接 下 来 ， 它 会 使 用 S e t T h r e a d C o n t e x t ( ) 修 改 主 线 程 的 O E P ， 并 触 发 代 码 执 行 。 4 .         浏 览 器 注 入 - 在 N t M a p V i e w O f S e c t i o n ( ) 的 帮 助 下 使 用 类 似 的 方 法 向 默 认 浏 览 器 中 注 入 P a y l o a d 。 在 W i n d o w s 7 以 及 之 后 版 本 的 操 作 系 统 中 ， 恶 意 b o t 并 不 会 使 用 a t t r i b . e x e ， 而 是 在 N t M a p V i e w O f S e c t i o n ( ) 的 帮 助 下 利 用 恶 意 P a y l o a d 来 启 动 默 认 浏 览 器 ， 并 向 s v c h o s t . e x e 中 注 入 恶 意 代 码 。 注 入 成 功 之 后 ， 这 个 变 种 会 与 下 面 这 台 远 程 命 令 控 制 服 务 器 进 行 通 信 ： 连 接 成 功 之 后 ， L A T E N T B O T 会 生 成 一 个 信 标 （ b e a c o n ） 。 下 图 所 示 即 为 一 个 经 过 解 码 的 信 标 ， 其 版 本 号 为 5 0 1 5 :
在 我 们 对 样 本 进 行 分 析 时 ， 这 台 C 2 服 务 器 已 经 下 线 。 在 2 0 1 7 年 4 月 1 0 日 时 ， 托 管 在 w w w . m o d a n i [ . ] c o m / m e d i a / w y s i w y g / w o o d . e x e 的 恶 意 软 件 已 被 更 新 ， 而 C 2 服 务 器 的 地 址 也 改 成 了 2 1 7 . 1 2 . 2 0 3 [ . ] 1 0 0 。 文 档 文 档 2 - （ （ M D 5 : C 1 0 D A B B 0 5 A 3 8 E D D 8 A 9 A 0 D D D A 1 C 9 A F 1 0 E ） ） F i r e E y e 所 识 别 出 的 第 二 个 恶 意 文 档 主 要 会 进 行 两 个 阶 段 的 恶 意 活 动 。 首 先 ， 它 会 访 问 下 面 这 个 地 址 来 下 载 第 一 阶 段 所 需 使 用 的 恶 意 H T A 文 件 ： h t t p [ : ] / / 9 5 . 1 4 1 . 3 8 [ . ] 1 1 0 / m o / d n r / t m p / t e m p l a t e . d o c 这 个 文 件 会 下 载 到 用 户 的 临 时 网 络 文 件 目 录 内 ， 并 以 t e m p l a t e [ ? ] . h t a 明 明 ， 其 中 的 [ ? ] 为 当 前 运 行 时 间 。 下 载 完 成 之 后 ， w i n w o r d . e x e 会 利 用 m s h t a . e x e 来 解 析 文 件 ， m s h t a . e x e 会 搜 索 文 件 中 的 < s c r i p t > < / s c r i p t > 标 签 ， 并 执 行 标 签 内 的 脚 本 代 码 。 下 图 显 示 的 是 经 过 反 混 淆 的 脚 本 代 码 ： 上 图 显 示 的 代 码 会 进 行 以 下 几 种 恶 意 操 作 ： 1 .         通 过 t a s k k i l l . e x e 终 止 w i n w o r d . e x e 进 程 ， 并 隐 藏 之 前 图 片 所 显 示 的 用 户 弹 窗 。 2 .         从 h t t p [ : ] / / 9 5 . 1 4 1 . 3 8 [ . ] 1 1 0 / m o / d n r / c o p y . j p g 下 载 并 执 行 恶 意 文 件 ， 保 存 路 径 为 % a p p d a t a % M i c r o s o f t W i n d o w s S t a r t M e n u P r o g r a m s S t a r t u p w i n w o r d . e x e 3 .         下 载 h t t p [ : ] / / 9 5 . 1 4 1 . 3 8 [ . ] 1 1 0 / m o / d n r / d o c u . d o c ， 保 存 路 径 为 % t e m p % d o c u m e n t . d o c 4 .         让 M i c r o s o f t   W o r d 重 启 。 5 .         执 行 恶 意 P a y l o a d ， 路 径 为 % a p p d a t a % M i c r o s o f t W i n d o w s S t a r t M e n u P r o g r a m s S t a r t u p w i n w o r d . e x e 6 .         打 开 钓 鱼 文 件 % t e m p % d o c u m e n t . d o c ， 隐 藏 恶 意 活 动 。 在 对 恶 意 P a y l o a d 进 行 了 分 析 之 后 ， 我 们 发 现 它 是 W i n g B i r d 的 一 个 变 种 ， 而 这 种 恶 意 软 件 与 F i n F i s h e r 的 性 质 十 分 相 似 。 需 要 注 意 的 是 ， 这 款 高 度 混 淆 化 的 恶 意 软 件 采 用 了 大 量 反 分 析 机 制 ， 关 于 该 恶 意 软 件 样 本 的 详 细 内 容 请 参 考 A r t e m 的 这 篇 文 章 【 传 送 门 】 。
概 括 总 结 概 括 总 结 F i r e E y e 在 M i c r o s o f t   W o r d 中 发 现 了 一 个 漏 洞 （ C V E - 2 0 1 7 - 0 1 9 9 ） ， 这 个 漏 洞 将 允 许 攻 击 者 远 程 执 行 恶 意 V B S c r i p t 脚 本 。 这 是 一 个 逻 辑 漏 洞 ， 而 且 目 前 大 多 数 安 全 缓 解 方 案 都 无 法 处 理 针 对 这 种 漏 洞 的 攻 击 活 动 。 当 恶 意 脚 本 运 行 之 后 ， 它 会 下 载 并 执 行 恶 意 P a y l o a d ， 并 向 用 户 显 示 一 个 钓 鱼 文 档 。 我 们 所 检 测 到 的 两 个 恶 意 文 档 都 会 执 行 相 应 的 恶 意 P a y l o a d ， 其 中 一 个 包 含 L A T E N T B O T ， 而 另 一 个 则 包 含 W i n g B i r d / F i n F i s h e r 。 虽 然 恶 意 文 档 中 仅 包 含 一 个 指 向 攻 击 者 服 务 器 的 链 接 地 址 ， 但 F i r e E y e 的 M V X 引 擎 仍 然 成 功 检 测 到 了 这 种 多 阶 段 的 攻 击 活 动 ， 不 过 微 软 公 司 已 经 发 布 了 相 应 的 更 新 补 丁 ， 我 们 也 建 议 广 大 用 户 尽 快 对 自 己 的 O f f i c e 软 件 进 行 升 级 。 *   参 考 来 源 ： F i r e E y e ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理