搜索

[12127] 2017-12-17_对利用CVE-2017-0199漏洞的病毒变种的监测与分析

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2017-12-17_对利用CVE-2017-0199漏洞的病毒变种的监测与分析 对 利 用 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 的 病 毒 变 种 的 监 测 与 分 析 a n t i y l a b   F r e e B u f   2 0 1 7 - 1 2 - 1 7 一 、 一 、   漏 洞 简 介 漏 洞 简 介 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 是 一 个 漏 洞 是 一 个 O f f i c e 远 程 执 行 代 码 漏 洞 ， 该 漏 洞 利 用 远 程 执 行 代 码 漏 洞 ， 该 漏 洞 利 用 O f f i c e   O L E 对 象 链 接 技 术 ， 将 伪 装 的 恶 意 链 对 象 链 接 技 术 ， 将 伪 装 的 恶 意 链 接 对 象 嵌 在 文 档 中 ， 由 接 对 象 嵌 在 文 档 中 ， 由 O f f i c e 调 用 调 用 U R L   M o n i k e r （ （ C O M 对 象 ） 将 恶 意 链 接 指 向 的 对 象 ） 将 恶 意 链 接 指 向 的 H T A 文 件 下 载 到 本 地 ， 通 过 文 件 下 载 到 本 地 ， 通 过 识 别 响 应 头 中 识 别 响 应 头 中 c o n t e n t - t y p e 的 字 段 信 息 调 用 的 字 段 信 息 调 用 m s h t a . e x e 执 行 下 载 的 执 行 下 载 的 H T A 文 件 。 文 件 。 受 该 漏 洞 影 响 的 M i c r o s o f t   O f f i c e 版 本 包 括 ： M i c r o s o f t   O f f i c e   2 0 1 6 、 M i c r o s o f t   O f f i c e   2 0 1 3 、 M i c r o s o f t   O f f i c e   2 0 1 0 和 M i c r o s o f t   O f f i c e   2 0 0 7 。 在 补 丁 发 布 之 前 ， 该 漏 洞 的 利 用 代 码 能 够 绕 过 大 多 数 安 全 措 施 ， 但 安 天 仍 检 测 到 了 相 关 的 恶 意 文 件 。 例 如 ， 安 天 在 对 勒 索 病 毒 P e t w r a p （ P e t y a 变 种 ） 的 跟 踪 分 析 中 发 现 其 使 用 的 传 播 方 法 正 是 M i c r o s o f t   O f f i c e 远 程 执 行 代 码 漏 洞 C V E - 2 0 1 7 - 0 1 9 9 。 二 、 安 天 追 影 对 样 本 的 分 析 二 、 安 天 追 影 对 样 本 的 分 析 在 对 利 用 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 的 一 些 样 本 及 变 形 的 分 析 中 得 出 了 该 类 样 本 的 一 些 惯 用 攻 击 手 法 。 这 些 样 本 无 论 采 用 何 种 混 淆 方 式 ， 使 用 何 种 载 体 类 型 ， 都 具 备 如 下 的 一 个 典 型 攻 击 过 程 。
图 ： 利 用 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 的 典 型 攻 击 过 程 示 意 图 根 据 上 述 攻 击 过 程 ， 安 天 追 影 对 利 用 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 的 一 个 典 型 样 本 的 分 析 如 下 。 1 、 样 本 信 息 、 样 本 信 息 2 、 检 测 环 境 、 检 测 环 境
3 、 执 行 过 程 、 执 行 过 程 在 检 测 环 境 中 打 开 被 检 测 的 文 件 ， 弹 出 如 下 窗 口 。 W i n w o r d . e x e 运 行 后 ， 内 嵌 的 O L E - L I N K 对 象 会 自 动 调 用 远 程 的 资 源 更 新 ， 向 远 程 服 务 器 发 出 H T T P 请 求 ， 以 进 行 资 源 下 载 。 安 天 追 影 中 截 获 的 U R L 如 下 ： 在 虚 拟 机 中 连 接 网 络 时 存 在 两 种 情 况 ： 1 ） 安 天 追 影 不 具 备 连 接 外 网 的 条 件 ， 或 攻 击 者 远 程 命 令 与 控 制 服 务 器 已 失 效 ） 安 天 追 影 不 具 备 连 接 外 网 的 条 件 ， 或 攻 击 者 远 程 命 令 与 控 制 服 务 器 已 失 效 在 此 情 况 下 ， 虽 然 获 取 不 到 真 实 的 p a y l o a d ， 但 仍 然 可 以 根 据 O L E 对 象 嵌 入 和 发 送 H T T P 请 求 的 可 疑 行 为 ， 产 生 相 应 的 报 警 。 目 前 ， 安 天 追 影 能 够 对 网 络 访 问 做 出 简 单 的 模 拟 响 应 ， 并 自 动 提 取 到 该 样 本 尝 试 访 问 的 网 络 连 接 ， 此 线 索 可 作 为 进 一 步 分 析 的 依 据 。 2 ） 安 天 追 影 具 备 连 接 外 网 的 条 件 ， 且 攻 击 者 的 远 程 命 令 与 控 制 服 务 器 仍 正 常 工 作 ） 安 天 追 影 具 备 连 接 外 网 的 条 件 ， 且 攻 击 者 的 远 程 命 令 与 控 制 服 务 器 仍 正 常 工 作 这 种 情 况 下 ， 安 天 追 影 的 动 态 分 析 环 境 能 够 访 问 真 实 的 互 联 网 ， 样 本 在 运 行 中 能 够 成 功 地 访 问 到 存 放 恶 意 文 件 的 C 2 服 务 器 ， 下 载 C 2 服 务 器 上 的 恶 意 文 件 并 执 行 。 安 天 追 影 可 对 其 执 行 过 程 进 行 监 控 、 p a y l o a d 提 取 和 分 析 、 行 为 采 集 并 输 出 报 告 。 文 件 元 数 据 鉴 定 器 能 够 提 取 完 整 的 文 件 信 息 ， 作 者 、 标 题 、 大 小 及 文 件 类 型 （ 如 下 图 所 示 ） ， 这 些 信 息 可 供 人 工 进 一 步 分 析 。 4 、 检 出 行 为 、 检 出 行 为
5 、 分 析 结 果 、 分 析 结 果 三 、 安 天 追 影 的 产 品 优 势 三 、 安 天 追 影 的 产 品 优 势 1 、 有 效 漏 洞 触 发 、 有 效 漏 洞 触 发 安 天 追 影 支 持 多 种 虚 拟 环 境 ， 通 过 环 境 模 拟 还 原 样 本 运 行 的 真 实 环 境 ， 模 拟 交 互 操 作 ， 最 大 可 能 地 触 发 行 为 ， 包 括 漏 洞 利 用 。 并 且 通 过 检 测 结 果 的 回 溯 可 以 发 现 对 未 知 漏 洞 的 利 用 行 为 ， 为 人 工 分 析 未 知 漏 洞 的 关 键 过 程 提 供 有 效 数 据 支 撑 。
2 、 深 度 行 为 揭 示 、 深 度 行 为 揭 示 恶 意 文 件 无 论 采 取 何 种 加 密 或 混 淆 方 式 ， 最 终 是 要 在 目 标 系 统 上 发 起 恶 意 的 行 为 操 作 。 安 天 追 影 可 通 过 动 态 还 原 恶 意 样 本 的 执 行 过 程 ， 利 用 h o o k 和 注 入 技 术 监 测 样 本 各 执 行 阶 段 的 操 作 ， 采 集 实 时 运 行 数 据 ， 根 据 自 定 义 规 则 进 行 行 为 判 定 ， 深 度 输 出 样 本 行 为 。 3 、 产 生 威 胁 情 报 、 产 生 威 胁 情 报 安 天 追 影 属 于 沙 箱 类 产 品 ， 此 类 产 品 的 意 义 不 仅 在 于 是 否 能 精 确 检 测 文 件 黑 白 ， 更 在 于 监 视 样 本 运 行 中 的 动 作 行 为 、 运 行 轨 迹 ， 提 取 出 危 险 行 为 及 信 息 ， 如 文 档 的 创 建 时 间 、 作 者 、 标 题 、 文 件 类 型 、 涉 及 的 I P 、 U R L 、 域 名 等 。 提 取 的 威 胁 信 息 可 作 为 情 报 数 据 基 础 ， 供 分 析 人 员 进 一 步 关 联 分 析 。
四 、 安 天 追 影 的 部 署 场 景 四 、 安 天 追 影 的 部 署 场 景 1 、 与 安 天 产 品 联 动 ， 形 成 完 整 安 全 解 决 方 案 鉴 定 结 果 、 与 安 天 产 品 联 动 ， 形 成 完 整 安 全 解 决 方 案 鉴 定 结 果 1 ） 与 安 天 探 海 威 胁 检 测 系 统 联 动 安 天 探 海 威 胁 检 测 系 统 可 将 网 络 流 量 还 原 为 文 件 ， 并 判 定 文 件 安 全 性 ， 结 合 追 影 的 深 度 鉴 定 能 力 ， 安 天 探 海 威 胁 检 测 系 统 可 更 准 确 展 现 网 络 安 全 态 势 ， 为 用 户 掌 握 全 网 安 全 情 况 、 做 出 安 全 预 警 、 采 取 安 全 防 护 措 施 提 供 有 力 支 撑 。 2 ） 与 安 天 智 甲 终 端 防 御 系 统 联 动 安 天 智 甲 终 端 防 御 系 统 可 对 网 内 所 有 终 端 （ 主 机 、 P C 等 ） 进 行 安 全 防 护 ， 结 合 安 天 追 影 的 深 度 鉴 定 能 力 ， 安 天 智 甲 终 端 防 御 系 统 可 更 快 、 更 准 发 现 威 胁 并 根 据 配 置 进 行 处 置 。
2 、 单 独 部 署 、 单 独 部 署 安 天 追 影 单 独 部 署 到 用 户 内 部 网 络 中 ， 对 投 放 至 安 天 追 影 中 的 文 件 进 行 深 度 鉴 定 ， 并 输 出 鉴 定 结 果 。 鉴 定 结 果 可 用 于 未 知 样 本 分 析 研 究 、 已 知 病 毒 样 本 分 析 研 判 等 。 3 、 与 第 三 方 产 品 联 动 ， 增 强 第 三 方 产 品 安 全 鉴 定 能 力 、 与 第 三 方 产 品 联 动 ， 增 强 第 三 方 产 品 安 全 鉴 定 能 力 安 天 追 影 可 通 过 其 标 准 A P I 接 口 与 第 三 方 产 品 联 动 ， 第 三 方 产 品 即 将 文 件 投 放 到 安 天 追 影 中 进 行 鉴 定 。 1 ） 与 防 火 墙 联 动 ： 为 防 火 墙 提 供 文 件 安 全 属 性 ， 帮 助 防 火 墙 有 效 阻 断 内 、 外 部 威 胁 。 2 ） 与 F T P 服 务 器 联 动 ： 对 F T P 服 务 器 中 文 件 安 全 性 进 行 鉴 定 ， 用 户 可 根 据 鉴 定 结 果 对 文 件 采 取 不 同 处 理 措 施 。 3 ） 与 I P S 联 动 ： 增 强 I P S 产 品 的 威 胁 识 别 能 力 。 4 ） 与 O A 系 统 联 动 ： 对 文 件 进 行 鉴 定 分 析 ， 根 据 鉴 定 结 果 标 识 文 件 ， 方 便 文 件 管 理 。 5 ） 文 件 存 储 服 务 器 ： 对 服 务 器 上 的 文 件 进 行 鉴 定 分 析 ， 根 据 鉴 定 结 果 对 文 件 进 行 管 理 。 * 本 文 作 者 ： 本 文 作 者 ： a n t i y l a b ， 转 载 请 注 明 ， 转 载 请 注 明 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理