搜索

[14737] 2019-10-25_NDAY漏洞CVE-2017-11882新变异样本分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-10-25_NDAY漏洞CVE-2017-11882新变异样本分析 N D A Y 漏 洞 C V E - 2 0 1 7 - 1 1 8 8 2 新 变 异 样 本 分 析 原 创   c g f 9 9   F r e e B u f   2 0 1 9 - 1 0 - 2 5 0 x 0   基 本 情 况 基 本 情 况 最 近 截 获 一 个 Q U O T A T I O N . d o c 文 档 ， 重 新 命 名 为 v i r u s . d o c ， 其 实 际 为 R T F 文 档 。 w i n w o r d . e x e 进 程 打 开 后 ， 执 行 E Q N E D T 3 2 . E X E 进 程 ， 其 中 e x e 远 程 下 载 和 运 行 的 动 作 由 E Q N E D T 3 2 . E X E 进 程 来 完 成 。 我 们 知 道 ， E Q N E D T 3 2 . E X E 为 公 式 编 辑 器 ， 在 O f f i c e 的 安 装 过 程 中 被 默 认 安 装 。 前 期 与 之 相 关 的 漏 洞 主 要 为 C V E - 2 0 1 7 - 1 1 8 8 2 和 C V E - 2 0 1 8 - 0 8 0 8 2 。 与 上 一 篇 文 章 《 一 个 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 新 变 异 样 本 的 调 试 与 分 析 》 h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 1 9 0 3 9 7 . h t m l 中 的 样 本 相 比 ， 本 次 样 本 R T F 格 式 更 加 怪 异 ， 下 面 来 看 看 具 体 的 分 析 情 况 。 0 x 1   文 件 格 式 文 件 格 式 1 、 静 态 文 件 、 静 态 文 件 利 用 w i n h e x 查 看 该 文 件 ， 发 现 其 是 一 个 r f t 1 开 始 的 R T F 格 式 文 件 ， 不 过 该 文 件 与 之 前 分 析 的 C V E - 2 0 1 7 - 1 1 8 8 2 样 本 相 比 ， 显 得 较 为 怪 异 ， 没 有 包 含 O L E 结 构 。 该 R T F 文 件 格 式 非 常 简 单 ， 如 下 图 是 文 档 头 部 ， 中 间 数 据 则 全 都 是 1 6 进 制 字 符 串 ， 结 尾 以 字 符 串 “ } o b j u p d a t e 6 8 8 6 3 9 9 3 4 } } ” 结 尾 。 2 、 查 杀 情 况 、 查 杀 情 况 利 用 文 件 H A S H 值 ， 在 t o t o l v i r u s 查 询 ， 发 现 该 样 本 1 0 月 9 日 上 传 ， 5 7 款 杀 软 有 1 1 款 已 经 查 杀 ， 其 中 M c A f e e - G W - E d i t i o n 、 I k a r u s 、 M c A f e e 、 A h n L a b - V 3 、 E S E T - N O D 3 2 识 别 为 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 ， 如 下 图 所 示 ：
3 、 、 R T F O B J 工 具 分 析 工 具 分 析 利 用 R T F O B J 工 具 分 析 ， 结 果 如 下 ： 其 中 导 出 的 v i r u s . d o c _ o b j e c t _ 0 0 0 0 0 0 6 C . b i n 不 是 正 常 的 O L E 结 构 。 0 x 2   文 档 动 作 文 档 动 作
利 用 P r o c m o n 监 控 ， 发 现 w i n w o r d . e x e 执 行 后 ， 启 动 E Q N E D T 3 2 . E X E 。 E Q N E D T 3 2 . E X E 进 程 远 程 下 载 P E 文 件 并 保 存 为 本 地 % a p p d a t a % 目 录 下 ： b o b y e n 2 3 5 3 4 . e x e 。 如 下 图 所 示 ： 抓 包 发 现 P E 下 载 地 址 为 ： h t t p : / / m o d e x c o u r i e r . e u / b o b b y e / b o b b y e . e x e ， 如 下 图 所 示 ： b o b y e n 2 3 5 3 4 . e x e 进 程 运 行 后 即 退 出 。 下 载 后 的 b o b y e n 2 3 5 3 4 . e x e 根 据 H A S H 在 t o t o l v i r u s 搜 索 ， 大 部 分 指 向 的 是 T r o j a n 木 马 文 件 ， 如 下 图 所 示 ：
0 x 3   样 本 调 试 样 本 调 试 我 们 知 道 ， 漏 洞 利 用 E Q N E D T 3 2 . E X E 进 程 的 栈 溢 出 漏 洞 ， 调 试 其 溢 出 点 ， 如 下 图 所 示 ： 经 过 拷 贝 动 作 后 ， 栈 被 覆 盖 。
我 们 来 看 这 段 数 据 在 R T F 中 的 位 置 ， 该 段 数 据 在 开 头 0 x 1 2 8 处 ， 如 下 图 所 示 ： 这 段 代 码 是 第 一 段 s h e l l c o d e ， 用 于 栈 溢 出 后 跳 转 。 这 是 典 型 的 栈 溢 出 利 用 。 其 中 0 x 0 0 4 3 3 d 4 9 用 于 覆 盖 0 x 4 1 1 6 0 F 函 数 返 回 地 址 ， 当 函 数 0 x 4 1 1 6 0 F 返 回 的 时 候 ， 跳 转 到 0 x 0 0 4 3 3 d 4 9 处 执 行 ， 而 E Q N E D T 3 2 . E X E 进 程 中 ， 0 x 0 0 4 3 3 d 4 9 处 所 在 的 值 是 0 x C 3 , 也 就 是 汇 编 代 码 r e t n 。 因 此 ， 0 x 0 0 4 3 3 d 4 9 执 行 后 ， 会 返 回 到 当 前 栈 地 址 执 行 ， 也 就 是 0 0 1 8 f 3 5 4 处 的 代 码 （ 第 一 段 s h e l l c o d e ） 。
第 一 段 s h e l l c o d e 执 行 后 ， 跳 转 到 第 二 段 s h e l l c o d e 处 执 行 ， 我 们 来 看 第 二 段 s h e l l c o d e 的 内 容 。 其 所 在 的 文 件 中 的 位 置 是 ： 0 x A 8 F D E 处 ， 两 者 对 应 如 下 图 所 示 ： 第 二 段 s h e l l c o d e 执 行 后 ， 开 始 对 其 自 身 的 内 容 做 解 密 操 作 ， 如 下 图 所 示 的 汇 编 代 码 。 解 密 的 算 法 是 ： 解 密 前 的 内 容 如 下 图 所 示 ：
解 密 后 的 内 容 如 下 图 所 示 ：
该 段 s h e l l c o d e 正 是 下 载 运 行 的 功 能 代 码 。 对 比 上 一 篇 文 章 h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 1 9 0 3 9 7 . h t m l 分 析 的 样 本 ， 解 密 后 的 s h e l l c o d e 基 本 上 是 一 致 的 ， 主 要 变 化 只 是 加 解 密 算 法 中 的 常 量 值 进 行 了 更 换 。 上 篇 文 章 中 的 加 解 密 算 法 为 ： 至 此 ， 样 本 基 本 调 试 分 析 完 毕 。 0 x 4   小 结 小 结 1 、 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 由 于 稳 定 、 效 果 好 等 特 点 ， 经 久 不 衰 。 2 、 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 变 异 样 本 层 出 不 穷 。 3 、 及 时 更 新 补 丁 ， 打 开 不 明 文 档 要 谨 慎 小 心 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： c g f 9 9 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理