搜索

[16362] 2021-01-25_Magniber勒索软件已更改漏洞，并尝试绕过行为检测

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-18
2021-01-25_Magniber勒索软件已更改漏洞，并尝试绕过行为检测 M a g n i b e r 勒 索 软 件 已 更 改 漏 洞 ， 并 尝 试 绕 过 行 为 检 测 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 2 5 今 年 年 初 ， A S E C 分 析 团 队 发 布 了 一 份 关 于 M a g n i b e r 恶 意 软 件 的 研 究 报 告 ， 并 详 细 阐 述 了 M a g n i b e r 开 发 者 用 来 传 播 勒 索 软 件 时 所 使 用 的 漏 洞 变 化 情 况 。 自 2 0 1 9 年 9 月 2 3 日 起 ， M a g n i b e r 开 发 者 用 于 传 播 勒 索 软 件 时 所 使 用 的 漏 洞 C V E - 2 0 1 9 - 1 3 6 7 在 应 用 了 紧 急 安 全 补 丁 （ 1 9 0 3 版 本 ） 的 系 统 中 已 经 无 法 正 常 被 利 用 了 。 对 此 ， 开 发 者 将 最 新 漏 洞 改 为 了 C V E - 2 0 2 0 - 0 9 6 8 ， 扩 大 了 感 染 目 标 范 围 。 除 此 之 外 ， 由 于 微 软 在 2 0 2 0 年 1 月 1 4 日 开 始 不 再 为 W i n d o w s   7 操 作 系 统 提 供 支 持 ， 因 此 针 对 漏 洞 C V E - 2 0 2 0 - 0 9 6 8 的 安 全 更 新 补 丁 （ 于 2 0 2 0 年 4 月 1 5 日 发 布 ） 将 无 法 应 用 于 W i n d o w s   7 。 接 下 来 ， 我 们 一 起 看 一 看 漏 洞 利 用 的 具 体 变 化 。 下 图 显 示 的 是 漏 洞 C V E - 2 0 1 9 - 1 3 6 7 的 P o C 代 码 ： 下 图 显 示 的 是 M a g n i b e r （ 修 改 之 前 ） 针 对 漏 洞 C V E - 2 0 1 9 - 1 3 6 7 的 利 用 代 码 ： 下 图 显 示 的 是 漏 洞 C V E - 2 0 2 0 - 0 9 6 8 的 部 分 U A F 代 码 ：
下 图 中 橙 色 方 框 标 记 的 是 M a g n i b e r 的 代 码 修 改 部 分 ： 在 对 漏 洞 P o C 代 码 和 传 播 恶 意 软 件 所 使 用 的 漏 洞 脚 本 进 行 比 对 的 过 程 中 ， 研 究 人 员 发 现 变 量 名 中 存 在 卷 积 ， 但 没 有 发 现 代 码 中 的 更 改 。 这 两 个 漏 洞 很 相 似 ， 因 为 它 们 都 使 用 了 j s c r i p t . d l l 中 的 用 后 释 放 漏 洞 （ U A F ） ， 但 正 则 表 达 式 对 象 指 针 泄 漏 的 方 法 有 所 不 同 。 C V E - 2 0 2 0 - 0 9 6 8 漏 洞 的 指 针 泄 露 后 所 采 用 的 方 法 跟 C V E - 2 0 1 9 - 1 3 6 7 的 不 同 ， V 3 在 检 测 这 两 个 漏 洞 时 ， 基 于 的 是 针 对 j s c r i p t . d l l 漏 洞 的 基 于 行 为 的 检 测 方 式 ， 这 种 检 测 功 能 已 经 部 署 到 了 2 0 2 0 年 1 2 月 1 7 日 发 布 的 V 3 版
本 。 M a g n i b e r 的 开 发 人 员 不 仅 试 图 更 改 用 于 传 播 脚 本 的 漏 洞 ， 还 试 图 应 用 各 种 更 改 来 绕 过 基 于 行 为 的 V 3 检 测 。 下 表 显 示 了 M a g n i b e r 开 发 者 用 来 注 入 M a g n i b e r 勒 索 软 件 的 A P I 调 用 序 列 的 更 改 流 程 ： 日 期 日 期 用 于 注 入 的 用 于 注 入 的 A P I 3 月 9 日 O p e n P r o c e s s   - >   W r i t e P r o c e s s M e m o r y   - >   S e t T h r e a d C o n t e x t   - >   R e s u m e T h r e a d 4 月 1 0 日 Z w C r e a t e S e c t i o n   - >   Z w M a p V i e w O f S e c t i o n   - >   R t l M o v e M e m o r y   - >   Z w M a p V i e w O f S e c t i o n   - >   Z w U n M a p V i e w O f S e c t i o n   - > Z w C r e a t e T h r e a d E x   - >   G e t T h r e a d C o n t e x t   - >   S e t T h r e a d C o n t e x t   - >   Z w R e s u m e T h r e a d 4 月 2 9 日 Z w C r e a t e S e c t i o n   - >   Z w M a p V i e w O f S e c t i o n   - >   R t l M o v e M e m o r y   - >   Z w M a p V i e w O f S e c t i o n   - >   Z w C r e a t e T h r e a d E x 5 月 6 日 N t C r e a t e S e c t i o n   - >   N t M a p V i e w O f S e c t i o n   - >   R t l M o v e M e m o r y   - >   R t l C r e a t e U s e r T h r e a d 5 月 7 日 O p e n P r o c e s s   - >   V i r t u a l A l l o c E x   - >   W r i t e P r o c e s s M e m o r y   - >   N t C r e a t e T h r e a d E x   - >   G e t T h r e a d C o n t e x t   - >   S e t T h r e a d C o n t e x t   - > N t R e s u m e T h r e a d 5 月 1 9 日 N t C r e a t e S e c t i o n   - >   N t M a p V i e w O f S e c t i o n   - >   R t l M o v e M e m o r y   - >   N t M a p V i e w O f S e c t i o n   - >   N t C r e a t e T h r e a d E x   - >   G e t T h r e a d C o n t e x t   - > S e t T h r e a d C o n t e x t   - >   N t R e s u m e T h r e a d 6 月 9 日 O p e n P r o c e s s   - >   D u p l i c a t e H a n d l e   - >   V i r t u a l A l l o c E x   - >   W r i t e P r o c e s s M e m o r y   - >   R t l C r e a t e U s e r T h r e a d 6 月 1 0 日 D i s t r i b u t i o n   c e a s e d   ( u n t i l   J u n e   2 5 t h ) 6 月 2 6 日 （ 目 前 ） N t C r e a t e S e c t i o n   - >   N t M a p V i e w O f S e c t i o n   - >   N t M a p V i e w O f S e c t i o n   - >   N t C r e a t e T h r e a d E x   - >   N t G e t C o n t e x t T h r e a d   - >   N t S e t C o n t e x t T h r e a d   - > N t R e s u m e T h r e a d 自 6 月 下 旬 以 来 ， 开 发 人 员 没 有 更 改 A P I 调 用 顺 序 ， 但 在 调 用 注 入 A P I 时 ， 他 们 应 用 了 一 种 称 为 “ H e a v e n ’ s   G a t e ” 的 技 术 。 “ H e a v e n ’ s   G a t e ” 技 术 是 恶 意 软 件 用 来 绕 过 反 恶 意 软 件 用 户 够 钩 子 的 方 法 。 比 如 说 ， 如 果 攻 击 者 分 配 S y s C a l l 索 引 ， 并 直 接 调 用 K i F a s t S y s t e m C a l l ， 而 不 是 通 过 正 常 的 A P I 调 用 来 绕 过 反 恶 意 软 件 所 挂 钩 的 特 定 A P I ， 则 这 种 情 况 可 视 为 “ H e a v e n ’ s   G a t e ” 攻 击 。 M a g n i b e r 目 前 正 在 通 过 I n t e r n e t   E x p l o r e r 进 行 分 发 ， 而 且 许 多 普 通 用 户 使 用 的 是 x 6 4 环 境 。 M a g n i b e r 的 S h e l l c o d e 在 I n t e r n e t   E x p l o r e r   3 2 位 进 程 中 通 过 “ H e a v e n ’ s   G a t e ” 技 术 调 用 N t O p e n P r o c e s s   A P I 的 步 骤 如 下 ： M a g n i b e r 的 S h e l l c o d e 不 以 常 规 方 式 调 用 N t o p e n P r o c e s s   A P I ， 而 实 直 接 向 参 数 发 送 S y s C a l l 索 引 （ 0 x 2 3 ） ， 并 调 用 f s : [ C 0 ] a r e a （ W o w 6 4 保 留 此 功 能 ） 。 当 W O W 6 4 环 境 的 3 2 位 进 程 调 用 f s : [ C 0 ] 区 域 时 ， 便 会 调 用 w o w 6 4 c p u . d l l 的 X 8 6 S w i t c h T o 6 4 B i t M o d e 。 由 于 M a g n i b e r 的 S h e l l c o d e 使 用 了 “ H e a v e n ’ s   G a t e ” 技 术 直 接 从 3 2 位 进 程 （ I n t e r n e t   E x p l o r e r ） 调 用 6 4 位 A P I ， 因 此 很 难 通 过 常 见 钩 子 来 检 测 A P I 调 用 。 下 图 显 示 的 是 “ H e a v e n ’ s   G a t e ” 技 术 的 操 作 流 程 ： 下 面 给 出 的 是 N t O p e n P r o c e s s   S y s C a l l 索 引 ：
V 3 使 用 了 T r u e E y e s （ A h n l a b 的 内 部 无 文 件 检 测 模 块 ） 来 检 测 相 关 漏 洞 以 及 “ H e a v e n ’ s   G a t e ” 技 术 。 这 两 个 检 测 功 能 已 于 2 0 2 0 年 1 2 月 1 7 日 分 发 到 了 所 有 V 3 用 户 ， 而 且 该 漏 洞 以 及 M a g n i b e r 用 来 绕 过 钩 子 的 注 入 技 术 可 以 在 通 过 V 3 的 行 为 引 擎 加 密 之 前 被 预 先 检 测 并 阻 止 执 行 。 行 为 检 测 行 为 检 测 精 彩 推 荐 精 彩 推 荐 –   M a l w a r e / M D P . E x p l o i t . M 3 0 3 6 –   M a l w a r e / M D P . E x p l o i t . M 3 4 1 7 –   M a l w a r e / M D P . E x p l o i t . M 3 4 3 1
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理