搜索

[28394] 2020-07-07_PurpleFoxEK中已添加了两个针对Microsoft漏洞的利用程序

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-07-07_PurpleFoxEK中已添加了两个针对Microsoft漏洞的利用程序 P u r p l e   F o x   E K 中 已 添 加 了 两 个 针 对 M i c r o s o f t 漏 洞 的 利 用 程 序 O t s 安 全   2 0 2 0 - 0 7 - 0 7 紫 狐 漏 洞 利 用 工 具 包 （ E K ） 在 其 技 巧 包 中 添 加 了 两 个 针 对 关 键 和 高 严 重 性 M i c r o s o f t 漏 洞 的 新 利 用 方 法 - 研 究 人 员 表 示 ， 他 们 希 望 将 来 会 增 加 更 多 攻 击 。 此 前 曾 在 9 月 对 P u r p l e   F o x   E K 进 行 过 分 析 ， 当 时 研 究 人 员 表 示 ， 它 似 乎 是 为 替 代   P u r p l e   F o x 恶 意 软 件 （ 木 马 /   r o o t k i t ） 的 分 发 链 中 的 R i g   E K 而 设 计 的 。 漏 洞 利 用 工 具 包 的 最 新 修 订 版 增 加 了 对 跟 踪 为     C V E - 2 0 2 0 - 0 6 7 4 和 C V E - 2 0 1 9 - 1 4 5 8 的 漏 洞 的 攻 击 ， 这 些 漏 洞 最 初 于 2 0 1 9 年 底 和 2 0 2 0 年 初 公 开 。 P u r p l e F o x 以 前 使 用 的 漏 洞 利 用 是     针 对 较 旧 的 M i c r o s o f t 漏 洞 的 ， 包 括 跟 踪 为 C V E - 2 0 1 8 - 8 1 2 0 和 C V E - 2 0 1 5 - 1 7 0 1 的 那 些 。 P r o o f p o i n t 的 研 究 人 员 在 周 一 的 分 析 中 说 ： “ 这 告 诉 我 们 P u r p l e   F o x 的 作 者 正 在 及 时 了 解 可 行 的 可 利 用 漏 洞 ， 并 在 它 们 可 用 时 进 行 更 新 。 ”   “ 可 以 合 理 地 预 期 ， 随 着 发 现 新 的 漏 洞 ， 它 们 将 继 续 更 新 。 ” C V E - 2 0 2 0 - 0 6 7 4 是 I n t e r n e t   E x p l o r e r 中 的 关 键 脚 本 引 擎 内 存 损 坏 漏 洞 ，   由 M i c r o s o f t 在 2 0 2 0 年 1 月 的 带 外 安 全 公 告 中     披 露 。 该 漏 洞 可 能 以 一 种 攻 击 者 可 以 在 当 前 用 户 的 上 下 文 中 执 行 任 意 代 码 的 方 式 破 坏 内 存 ， 这 意 味 着 攻 击 者 可 以 获 得 与 当 前 用 户 相 同 的 用 户 权 限 。 该 漏 洞 后 来 作 为 2 0 2 0 年 2 月 补 丁 星 期 二 发 行 的 一 部 分 修 复   。 从 那 时 起 ， 该 漏 洞 的 进 一 步 分 析 已     公 布     和 验 证 的 概 念 验 证 （ P o C ） 代 码 已 经     发 布 研 究 员 表 示 。 C V E - 2 0 1 9 - 1 4 5 8 同 时 是 W i n 3 2 k 中 的 一 个 高 度 严 重 的 特 权 提 升 漏 洞 ， 该 漏 洞 具 有 在 野 外 循 环 的 零 日 漏 洞 利 用 （ 用 于 包 括 O p e r a t i o n   W i z a r d O p i u m 在 内 的 攻 击     ） 。 研 究 人 员 说 ， 利 用 此 漏 洞 ， 攻 击 者 可 以 在 被 攻 击 的 计 算 机 上 获 得 更 高 的 特 权 ， 并 避 免 使 用 G o o g l e   C h r o m e 浏 览 器 中 的 保 护 机 制 。 该 漏 洞 的 C V S S 评 分 为 7 . 8 （ 满 分 1 0 ） ， 已 由 M i c r o s o f t 在 星 期 二 1 2 月 补 丁 程 序 中 修 复   。 紫 狐 紫 狐 研 究 人 员 在 6 月 下 旬 发 现 了 一 个 利 用 P u r p l e   F o x   E K 进 行 的 恶 意 活 动 ， 它 通 过 W i n d o w s   1 0 上 的 C V E - 2 0 2 0 - 0 6 7 4 成 功 地 利 用 了 I n t e r n e t   E x p l o r e r 1 1 。 用 于 C V E - 2 0 2 0 - 0 6 7 4 的 利 用 针 对 I n t e r n e t   E x p l o r e r 对 库 j s c r i p t . d l l 的 使 用 。 W i n d o w s 运 行 所 需 的 。 在 利 用 过 程 的 开 始 ， 恶 意 脚 本 试 图 从 j s c r i p t . d l l 中 的 R e g E x p 实 现 中 泄 漏 地 址 。
使 用 该 泄 漏 的 地 址 ， 恶 意 J a v a S c r i p t 代 码 然 后 搜 索 j s c r i p t . d l l 的 P E 标 头 ， 然 后 使 用 该 标 头 找 到 k e r n e l 3 2 . d l l 的 导 入 描 述 符 。 其 中 包 含 E K 加 载 实 际 s h e l l c o d e 所 需 的 过 程 和 内 存 操 作 功 能 。 研 究 人 员 说 ： “ 特 别 是 ， 函 数 G e t M o d u l e H a n d l e A 用 于 获 取 正 在 运 行 的 模 块 句 柄 。 ”   “ 此 句 柄 与 G e t P r o c A d d r e s s 一 起 使 用 以 定 位 V i r t u a l P r o t e c t ， V i r t u a l P r o t e c t 进 而 用 于 对 s h e l l c o d e 启 用 ' 读 ， 写 ， 执 行 ' （ R W X ） 权 限 。 最 后 ， 通 过 调 用 R e g E x p   : :   t e s t 的 重 写 实 现 来 触 发 s h e l l c o d e 。 ” 然 后 ， s h e l l c o d e 定 位 W i n E x e c 以 创 建 一 个 新 进 程 ， 该 进 程 开 始 实 际 执 行 恶 意 软 件 。 尽 管 漏 洞 攻 击 工 具 包 不 像 几 年 前 那 样 流 行 ， 但 研 究 人 员 强 调 ， 它 们 仍 然 是 威 胁 领 域 的 一 部 分 ， 并 且 诸 如 F a l l o u t 和 R i g 之 类 的 E K   一 直 在 不 断 进 行 更 新 。 研 究 人 员 说 ： “ 关 于 漏 洞 利 用 工 具 包 的 一 件 事 没 有 改 变 ， 就 是 漏 洞 利 用 工 具 箱 的 作 者 定 期 更 新 以 包 括 针 对 新 发 现 的 漏 洞 的 新 攻 击 的 方 式 。 ” 通 过 构 建 自 己 的 E K 进 行 分 发 ， P u r p l e   F o x 恶 意 软 件 的 作 者 已 经 能 够 通 过 不 再 为 R i g   E K 付 费 来 节 省 资 金 。 研 究 人 员 说 ， 这 表 明 P u r p l e   F o x 恶 意 软 件 背 后 的 攻 击 者 正 在 采 取 “ 专 业 方 法 ” ， 以 期 节 省 资 金 并 保 持 产 品 最 新 。 他 们 说 ： “   P u r p l e   F o x 恶 意 软 件 的 作 者 已 经 停 止 使 用 R I G   E K ， 而 转 向 建 立 自 己 的 E K 来 分 发 其 恶 意 软 件 ， 这 一 事 实 提 醒 我 们 恶 意 软 件 是 一 门 生 意 ， ” 他 们 说 。 “ 实 质 上 ， P u r p l e   F o x 恶 意 软 件 的 作 者 决 定 像 许 多 合 法 企 业 一 样 ， 在 内 部 进 行 开 发 以 降 低 成 本 。 将 分 配 机 制 引 入 内 部 ， 还 可 以 更 好 地 控 制 E K 的 实 际 负 载 。 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理