搜索

[11645] 2017-08-09_披着羊皮的狼：如何利用漏洞以特定图标伪装可执行文件

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-08-09_披着羊皮的狼：如何利用漏洞以特定图标伪装可执行文件 披 着 羊 皮 的 狼 ： 如 何 利 用 漏 洞 以 特 定 图 标 伪 装 可 执 行 文 件 h e y 你 的 拔 粪 宝   F r e e B u f   2 0 1 7 - 0 8 - 0 9 这 个 漏 洞 背 后 的 图 标 显 示 这 个 漏 洞 背 后 的 图 标 显 示 b u g 可 以 深 溯 到 可 以 深 溯 到 W i n d o w s 图 像 处 理 代 码 ， 其 允 许 攻 击 者 图 像 处 理 代 码 ， 其 允 许 攻 击 者 “ 借 来 借 来 ” 本 地 其 他 常 用 的 图 标 并 自 本 地 其 他 常 用 的 图 标 并 自 动 将 可 移 植 的 可 执 行 文 件 伪 装 起 来 ， 这 样 就 更 容 易 诱 使 用 户 打 开 他 们 。 保 守 来 说 ， 自 从 动 将 可 移 植 的 可 执 行 文 件 伪 装 起 来 ， 这 样 就 更 容 易 诱 使 用 户 打 开 他 们 。 保 守 来 说 ， 自 从 W i n d o w s   7 以 来 ， 这 个 以 来 ， 这 个 b u g 就 已 经 出 现 ， 而 且 仍 然 存 在 于 最 新 版 本 的 就 已 经 出 现 ， 而 且 仍 然 存 在 于 最 新 版 本 的 W i n d o w s   1 0 中 。 中 。 我 们 最 近 在 研 究 一 批 恶 意 P E 文 件 的 时 候 发 现 了 这 个 b u g ， 在 将 一 个 文 件 从 一 个 目 录 拷 贝 到 一 个 目 录 的 之 后 ， 我 们 发 现 了 一 个 奇 怪 的 行 为 ： 一 些 文 件 的 图 标 改 变 了 。 为 了 排 除 出 错 的 可 能 性 ， 我 们 又 将 文 件 拷 贝 到 另 一 个 目 录 下 ， 不 过 情 况 还 是 一 样 ， 这 些 文 件 的 图 标 变 成 了 其 他 很 常 见 ， 却 与 其 毫 不 相 关 的 图 标 。 这 引 起 了 我 们 的 兴 趣 ， 并 对 这 个 奇 怪 的 现 象 展 开 调 查 。 视 频 演 示 ： 这 批 2 0 1 7 年 4 月 的 恶 意 文 件 包 含 了 几 十 个 C e r b e r 勒 索 软 件 的 样 本 ， 而 这 些 勒 索 软 件 都 发 生 了 这 种 异 常 现 象 。 在 资 源 管 理 器 中 ， 样 本 提 取 的 图 标 如 下 图 所 示 有 些 人 乍 一 看 可 能 认 为 这 只 是 一 些 勒 索 软 件 使 用 的 人 畜 无 害 的 图 标 （ 确 实 ， 不 过 左 上 角 那 个 图 标 很 奇 怪 ） ， 但 是 在 将 这 些 图 标 转 换 成 不 同 的 内 部 图 像 格 式 后 ， 这 些 图 标 展 示 了 其 真 面 目 。
可 以 看 出 ， 这 些 图 标 有 些 奇 怪 的 地 方 ： 都 基 于 A d o b e 图 标 ， 且 全 部 是 黑 白 的 ， 不 过 除 此 之 外 就 是 一 个 很 正 常 的 图 标 了 。 这 些 文 件 几 乎 都 有 轻 微 的 像 素 修 改 痕 迹 ， 表 明 其 是 自 动 生 成 的 ， 目 的 是 用 来 躲 避 基 于 图 标 的 签 名 。 下 图 为 A d o b e 的 图 标 ： 正 当 许 多 恶 意 程 序 使 用 一 些 资 源 在 杀 毒 软 件 和 人 的 眼 睛 之 前 隐 藏 自 己 时 ， 我 们 需 要 知 道 的 是 其 图 标 并 不 是 真 正 显 示 在 屏 幕 上 的 图 标 ， 除 了 模 仿 A d o b e 的 图 标 ， 他 们 都 有 一 个 共 同 点 ， 它 们 都 是 我 们 所 称 的 “ 真 单 色 图 标 ” （ T r u e   M o n o c h r o m e I r o n ） ， 简 称 T M I 。 T M I 是 具 有 两 个 特 定 品 质 的 图 标 — — 它 们 只 有 两 种 颜 色 （ 即 它 们 的 比 特 每 像 素 （ b p p ） 为 1 ） ， 这 两 种 颜 色 正 好 是 黑 色 （ 0 x 0 0 0 0 0 0 ） 和 白 色 （ 0 x F F F F F F ） 。 值 得 注 意 的 是 ， 图 标 可 以 是 具 有 其 他 颜 色 的 单 色 （ 就 像 黑 白 一 样 ） ， 但 它 们 并 不 是 单 色 （ b p p 高 于 1 ） ， 所 以 说 b p p = 1 这 种 现 象 只 发 生 在 真 单 色 图 标 上 。 图 标 文 件 格 式 的 完 整 文 档 请 点 击 下 方 链 接 查 看 h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / m s 9 9 7 5 3 8 . a s p x h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / w i n d o w s / d e s k t o p / d d 1 8 3 3 7 6 % 2 8 v = v s . 8 5 % 2 9 . a s p x 这 是 从 C e b e r 样 本 中 提 取 的 实 例 ：
以 往 经 验 及 实 验 表 明 ： 不 需 要 特 别 制 作 ， 任 何 T M I 图 标 都 发 生 了 不 正 常 的 图 标 转 换 。 为 了 证 明 这 一 点 ， 我 们 使 用 了 十 六 进 制 编 辑 器 做 了 我 们 自 己 的 空 T M I （ 任 何 人 都 可 以 尝 试 D I Y ） 。 现 在 我 们 将 这 个 图 标 作 为 唯 一 的 ” H e l l o W o r l d “ 程 序 图 标 ， W i n d o w s 资 源 管 理 器 显 示 如 下 ： 改 名 之 后 又 变 成 了 这 个 ： 来 张 动 图 感 受 一 下 ： 这 到 底 是 什 么 情 况 ？ ？ ？ 看 起 来 问 题 在 于 图 标 渲 染 和 缓 存 的 方 式 ， 以 及 T M I 所 受 到 的 特 殊 处 理 方 式 ， 这 使 得 他 们 不 会 覆 盖 现 有 的 目 标 。 W i n d o w s 资 源 管 理 器 ， 和 其 他 应 用 程 序 中 基 于 资 源 管 理 器 的 框 架 一 样 ， 使 用 c o m c t l 3 2 . d l l （ 用 户 体 验 控 制 库 ） 中 的 C I m a g e L i s t 类 实 现 图 标 缓 存 。 h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / 9 x c 4 z 2 c 7 . a s p x 缓 存 是 通 过 将 文 件 的 路 径 映 射 到 C I m a g e L i s t 中 的 索 引 实 现 的 （ 有 多 个 这 样 的 缓 存 ， 大 小 不 同 ） ， 因 此 ， 在 查 看 一 个 图 标 已 经 被 渲 染 过 的 文 件 时 ， 简 单 地 将 图 标 从 缓 存 中 取 出 就 好 了 ； 而 尚 未 遇 到 的 路 径 则 需 要 根 据 文 件 类 型 从 头 开 始 渲
染 ， 然 后 再 将 其 添 加 到 缓 存 中 。 这 就 是 为 什 么 当 浏 览 一 个 有 很 多 图 标 文 件 的 目 录 ， 或 查 看 具 有 嵌 入 图 标 的 P E 文 件 时 ， 文 件 会 有 延 迟 地 逐 渐 显 示 。 另 外 ， 当 文 件 被 拷 贝 或 重 命 名 时 ， 它 们 的 图 标 会 被 再 次 渲 染 ， 因 为 它 们 会 被 当 作 新 遇 到 的 路 径 。 然 而 这 些 都 只 有 有 限 且 相 对 较 小 的 尺 寸 ， 当 一 个 新 图 标 被 添 加 到 图 像 列 表 中 时 ， 如 果 它 还 不 是 空 的 ， 所 使 用 的 索 引 就 是 - 1 ， 并 且 会 附 加 新 图 标 。 但 是 当 列 表 满 了 的 时 候 ， 新 图 标 会 覆 盖 先 前 创 建 的 图 标 ， 并 将 他 替 换 为 其 索 引 （ 可 能 基 于 L R U ） 。 该 逻 辑 在 C I m a g e L i s t : : _ R e p l a c e I r o n 函 数 中 实 现 。 添 加 或 替 换 依 赖 于 所 给 的 索 引 经 过 一 些 操 作 之 后 ， 该 函 数 将 检 查 索 引 处 的 当 前 图 像 是 否 具 有 A l p h a 通 道 ， 如 果 有 （ 几 乎 每 次 都 是 这 样 ） ， 就 立 一 个 用 于 决 定 以 后 该 如 何 调 用 D r a w I r o n E x 的 f l a g 。 。   如 果 这 个 f l a g 立 了 ， 该 函 数 稍 后 就 会 使 用 f l a g   D I _ M A S K   ( 1 ) 调 用 D r a w I c o n E x 来 绘 制 列 表 中 预 先 存 在 的 图 标 ， 而 不 是 D I _ N O R M A L   ( 3 ) 。
  在 内 部 ， 图 标 和 图 像 一 般 可 能 包 含 两 个 不 同 的 像 素 图 — — “ 颜 色 ” 和 “ 蒙 版 ” ， 这 可 以 应 用 于 颜 色 上 ， 如 I C O N I N F O 的 文 档 所 示 ： h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / w i n d o w s / d e s k t o p / m s 6 4 8 0 5 2 . a s p x 所 以 本 质 上 可 以 这 样 解 释 ： 仅 仅 ” 蒙 版 “ 部 分 被 绘 制 ， 且 覆 盖 了 蒙 版 的 D C （ D e v i c e   c o n t e x t ）   (   [ e s i + 7 c h ]   ) 而 不 是 颜 色 的 D C   (   [ e s i + 7 8 h ]   ) .   。 当 图 标 是 T M I 时 ， 这 种 情 况 导 致 了 没 有 像 素 被 覆 盖 ， 且 之 后 会 借 用 C I m a g e L i s t 先 前 占 用 者 的 索 引 来 渲 染 图 标 ！ 如 果 要 实 现 这 种 情 况 ， 就 需 要 缓 存 已 满 ， 这 取 决 于 这 些 函 数 的 调 用 者 。 但 是 这 些 类 似 于 资 源 管 理 器 的 组 件 （ 如 ” 文 件 打 开 “ 对 话 框 ） 的 大 小 实 际 上 都 非 常 小 。 举 个 例 子 表 明 这 可 能 发 生 在 使 用 这 些 组 件 的 任 何 进 程 中 。 该 截 图 截 于 在 ” O u t l o o k   2 0 1 6 “ 中 的 ” 添 加 附 件 “ 窗 口 中 浏 览 满 是 T M I 的 目 录 时 ，
不 仅 仅 是 图 标 文 件 会 触 发 这 个 b u g （ 不 包 括 嵌 入 图 标 的 P E 文 件 ） ， 不 过 条 件 是 这 些 必 须 是 文 件 中 唯 一 的 图 标 类 型 ， 因 为 选 择 “ 最 佳 拟 合 ” 图 标 的 W i n d o w s 的 算 法 往 往 会 根 据 大 小 和 从 高 颜 色 深 度 到 低 颜 色 深 度 的 顺 序 排 列 嵌 入 图 标   。 既 然 是 这 种 情 况 ， 我 们 决 定 再 搜 索 我 们 的 恶 意 软 件 数 据 库 中 只 包 含 T M I 的 样 本 ， 所 有 筛 选 出 的 样 本 都 无 一 例 外 地 触 发 了 这 个 b u g ， 而 在 良 性 样 本 数 据 库 中 进 行 的 类 似 搜 索 没 有 得 到 任 何 结 果 。 我 们 根 据 他 们 使 用 的 图 标 变 化 将 这 些 样 本 分 成 以 下 几 组 ： 如 上 所 述 ， 第 一 次 检 测 到 的 是 从 4 月 1 7 日 的 C e r b e r 勒 索 软 件 样 本 滥 用 A d o b e 徽 标 图 标 。   这 里 有 五 个 这 样 的 样 品 （ 以 及 他 们 目 前 在 我 们 的 机 器 上 出 现 的 方 式 ） ： h t t p s : / / w w w . v i r u s t o t a l . c o m / e n / f i l e / 1 0 b 2 f d 1 e 0 6 c 3 a c 7 3 d 2 3 e 6 7 b b 5 9 c 4 2 9 4 c e f 8 4 8 5 b d c 1 b 1 1 6 0 0 5 c 5 6 b f b 9 5 0 f 2 1 e 4 4 / a n a l y s i s / h t t p s : / / w w w . v i r u s t o t a l . c o m / e n / f i l e / 4 5 5 9 b 5 2 5 9 6 d e b 7 a 8 1 8 1 d f 7 2 2 b e b c f 0 8 9 2 1 b 9 7 4 5 1 d 9 4 4 8 4 0 c f 6 b d f 0 c 0 4 c 1 b c 3 6 4 / a n a l y s i s / h t t p s : / / w w w . v i r u s t o t a l . c o m / e n / f i l e / b f 6 6 c 5 c c f a 0 3 1 9 f e 6 9 5 d 8 f e 5 a f c b 5 4 9 2 c 9 0 9 a f f 7 0 7 4 8 b 5 5 0 2 5 9 a c 2 0 9 7 4 a 1 8 f 8 0 / a n a l y s i s /
h t t p s : / / w w w . v i r u s t o t a l . c o m / e n / f i l e / f 2 b f 4 0 f 1 5 b 4 4 a 2 8 b e 2 d 9 f f 5 c 1 5 7 2 a 8 4 c 6 b a 5 a 8 9 4 2 d 6 c 1 a 0 1 a a 4 4 d b 5 1 a a 2 d 1 c c b / a n a l y s i s / h t t p s : / / w w w . v i r u s t o t a l . c o m / e n / f i l e / f 7 c 1 5 c b 9 1 d d a e b f 0 3 f 5 2 3 e 4 e e d 4 1 2 3 7 7 2 1 7 b 5 1 1 e e 8 f 3 7 b a 9 9 a 8 d 8 b 7 8 3 2 f 2 2 7 d f / a n a l y s i s / 这 些 样 本 可 能 只 是 自 动 生 成 的 ， 附 带 伪 随 机 资 源 来 伪 装 的 P E 文 件 中 的 一 小 部 分   ， 由 此 我 们 认 为 C e r b e r 并 未 故 意 利 用 这 个 b u g （ 还 不 能 十 分 确 信 ） 。 但 是 ， 我 们 同 时 也 在 从 2 0 1 4 年 到 2 0 1 7 年 的 样 本 中 寻 找 和 我 们 自 己 制 作 T M I 图 标 差 不 多 的 文 件 。 通 过 寻 找 ， 认 为 有 些 文 件 的 创 建 者 知 道 这 个 b u g ， 并 积 极 地 利 用 它 ， 因 为 一 个 本 身 不 试 图 模 拟 任 何 现 有 的 应 用 程 序 的 空 图 标 没 有 任 何 价 值 。 这 个 b u g 虽 然 不 是 一 个 重 大 的 安 全 漏 洞 ， 但 足 够 提 醒 您 以 下 几 点 ： 对 网 络 钓 鱼 活 动 保 持 警 惕 。 耳 熟 能 详 的 ” 不 要 打 开 可 疑 的 电 子 邮 件 的 附 件 “ 。 显 示 文 件 的 拓 展 名 ， 因 为 这 可 以 帮 助 我 们 辨 别 文 件 。 该 错 误 在 2 0 1 7 年 6 月 向 微 软 报 告 ， 我 们 的 研 究 在 他 们 的 许 可 下 发 布 。 * 参 考 来 源 ： C y b e r e a s o n ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理