搜索

[4315] 2017-09-14_预警：微软零日漏洞CVE-2017-8759已被用于Office文档攻击

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2017-09-14_预警：微软零日漏洞CVE-2017-8759已被用于Office文档攻击 预 警 ： 微 软 零 日 漏 洞 C V E - 2 0 1 7 - 8 7 5 9 已 被 用 于 O f f i c e 文 档 攻 击 E 小 编   E 安 全   2 0 1 7 - 0 9 - 1 4 E 安 全 9 月 1 4 日 讯   F i r e E y e 公 司 最 近 发 现 一 份 恶 意 微 软 O f f i c e   R T F 文 档 ， 其 中 利 用 到 一 项 S O A P   W S D L 解 析 器 代 码 注 入 漏 洞 — — 编 号 C V E - 2 0 1 7 - 8 7 5 9 。 该 漏 洞 允 许 恶 意 人 士 在 解 析 S O A P   W S D L 的 定 义 内 容 期 间 注 入 任 意 代 码 。 F i r e E y e 公 司 对 该 微 软 O f f i c e 文 档 进 行 了 分 析 ， 并 发 现 攻 击 者 能 够 利 用 代 码 注 入 方 式 下 载 并 执 行 一 份 包 含 P o w e r S h e l l 指 令 的 V i s u a l   B a s i c 脚 本 。 F i r e E y e 公 司 已 经 将 该 漏 洞 的 详 细 信 息 与 微 软 方 面 进 行 共 享 ， 并 在 协 调 公 布 事 宜 的 同 时 发 布 了 漏 洞 修 复 程 序 以 及 安 全 指 南 ， 感 兴 趣 的 朋 友 可 以   h t t p : / / t . c n / R p 0 T 9 3 q   查 看 。 F i r e E y e 公 司 的 邮 件 、 终 端 与 网 络 产 品 皆 检 测 到 了 该 恶 意 文 档 。 此 项 漏 洞 用 于 攻 击 俄 语 用 户 此 项 漏 洞 用 于 攻 击 俄 语 用 户 此 次 发 现 的 恶 意 文 档 “ П р о е к т . d o c ”   ( M D 5 :   f e 5 c 4 d 6 b b 7 8 e 1 7 0 a b f 5 c f 3 7 4 1 8 6 8 e a 4 c ) 可 能 被 用 于 攻 击 俄 语 用 户 。 在 成 功 利 用 C V E - 2 0 1 7 - 8 7 5 9 漏 洞 之 后 ， 该 文 档 下 载 了 多 个 组 件 （ 详 见 后 文 ） 并 最 终 启 动 了 F I N S P Y （ 恶 意 监 控 软 件 ） 载 荷 （ M D 5 :   a 7 b 9 9 0 d 5 f 5 7 b 2 4 4 d d 1 7 e 9 a 9 3 7 a 4 1 e 7 f 5 ） 。 F I N S P Y 恶 意 软 件 ， 亦 被 称 为 F i n F i s h e r 或 者 W i n g B i r d ， 可 作 为 “ 合 法 拦 截 ” 方 案 的 一 部 分 进 行 获 取 。 根 据 此 次 以 及 之 前 曾 经 出 现 的 F I N S P Y 使 用 案 例 ， F i r e E y e 表 示 能 够 在 一 定 程 度 上 认 定 此 恶 意 文 件 被 民 族 国 家 专 门 用 于 针 对 俄 语 目 标 实 施 网 络 间 谍 活 动 。 F i r e E y e 公 司 的 动 态 威 胁 情 报 系 统 通 过 额 外 检 测 发 现 ， 尽 管 可 能 针 对 不 同 的 受 众 群 体 ， 但 相 关 活 动 也 许 早 在 2 0 1 7 年 7 月 就 已 经 出 现 。 C V E - 2 0 1 7 - 8 7 5 9   W S D L 解 析 器 代 码 注 入 解 析 器 代 码 注 入 P r i n t C l i e n t P r o x y 方 法 的 W S D L 解 析 器 模 块 中 存 在 一 项 代 码 注 入 漏 洞 。 其 中 若 所 提 供 数 据 中 包 含 一 条 C R L F 序 列 ， 则 I s V a l i d U r l 无 法 正 常 执 行 验 证 。 如 此 一 来 ， 攻 击 者 即 可 注 入 并 执 行 任 意 代 码 。 图 一 所 示 即 为 漏 洞 代 码 的 对 应 部 分 。
图 一 ： 存 在 漏 洞 的 W S D L 解 析 器 在 一 条 S O A P 响 应 中 存 在 多 个 a d d r e s s 定 义 时 ， 代 码 会 在 首 条 地 址 之 后 插 入 “ / / b a s e . C o n f i g u r e P r o x y ( t h i s . G e t T y p e ( ) ” 字 符 串 ， 从 而 将 其 余 地 址 注 释 掉 。 但 如 果 为 地 址 附 加 C R L F 序 列 ， 则 C R L F 后 的 代 码 将 不 会 被 注 释 掉 。 如 图 二 所 示 ， 由 于 缺 少 对 C R L F 的 验 证 ， 攻 击 者 可 向 其 中 注 入 一 个 S y s t e m . D i a g n o s t i c s . P r o c e s s . S t a r t 方 法 。 由 此 生 成 的 代 码 将 由 . N E T 框 架 的 c s c . e x e 进 行 编 译 ， 并 以 D L L 的 形 式 被 O f f i c e 可 执 行 文 件 进 行 加 载 。 图 二 ： S O A P 定 义 与 所 生 成 代 码 真 实 攻 击 案 例 真 实 攻 击 案 例 F i r e E y e 公 司 观 察 到 的 攻 击 活 动 利 用 到 R T F 格 式 （ 即 富 文 本 格 式 ） 文 档 ， 且 类 似 于 我 们 之 前 曾 经 报 道 过 的 C V E - 2 0 1 7 - 0 1 9 9 （ 此 前 W a n n a C r y 与 P e t y a 利 用 改 漏 洞 发 起 勒 索 攻 击 ） 文 档 。 此 恶 意 样 本 样 本 当 中 包 含 一 个 嵌 入 S O A P 标 记 以 简 化 漏 洞 利 用 流 程 （ 如 图 三 所 示 ） 。
图 三 ： S O A P 标 记 有 效 载 荷 从 攻 击 者 控 制 的 服 务 器 处 获 取 恶 意 S O A P   W S D L 定 义 。 而 立 足 . N E T 框 架 的 S y s t e m . R u n t i m e . R e m o t i n g . n i . d l l 实 现 的 此 W S D L 解 析 器 则 进 行 内 容 分 析 ， 并 在 当 前 目 录 中 生 成 . c s 源 代 码 。 . N E T 框 架 的 c s c . e x e 随 后 将 生 成 的 源 代 码 编 译 为 一 套 库 ， 名 为 h t t p [ u r l   p a t h ] . d l l 。 微 软 O f f i c e 而 后 加 载 此 库 ， 整 个 漏 洞 利 用 流 程 即 告 完 成 。 图 四 所 示 为 一 套 示 例 恶 意 源 代 码 库 。 图 四 ： 所 加 载 的 D L L 在 成 功 利 用 漏 洞 之 后 ， 注 入 代 码 会 创 建 一 个 新 的 进 程 ， 并 利 用 m s h t a . e x e 从 同 一 服 务 器 处 检 索 名 为 “ w o r d . d b ” 的 H T A 脚 本 。 该 H T A 脚 本 会 将 源 代 码 、 编 译 后 的 D L L 以 及 P D B 文 件 从 磁 盘 中 删 除 ， 而 后 下 载 并 执 行 名 为 “ l e f t . j p g ” 的 F I N S P Y 恶 意 软 件 — — 这 里 虽 然 使 用 . j p g 扩 展 名 以 误 导 用 户 将 其 视 为 “ 图 像 j p e g ” 内 容 ， 但 实 际 上 却 属 于 可 执 行 文 件 。 图 五 所 示 为 该 恶 意 软 件 传 输 流 程 的 P C A P 细 节 信 息 。 图 五 ： 实 时 请 求 该 恶 意 软 件 将 被 命 名 为 % a p p d a t a % M i c r o s o f t W i n d o w s O f f i c e U p d t e - K B [   6 位 随 机 数 字 ] . e x e 。 图 六 所 示 为 进 程 监 控 器 下 生 成 的 进 程 链 。
图 六 ： 进 程 创 建 链 恶 意 软 件 恶 意 软 件   “ l e f t . j p g ”   ( m d 5 :   a 7 b 9 9 0 d 5 f 5 7 b 2 4 4 d d 1 7 e 9 a 9 3 7 a 4 1 e 7 f 5 ) 属 于 F I N S P Y 的 一 类 变 种 。 其 利 用 高 度 混 淆 代 码 、 内 置 虚 拟 机 以 及 其 它 反 分 析 技 术 提 升 逆 向 工 程 难 度 。 此 外 ， 它 还 具 备 另 一 种 独 特 的 反 分 析 技 术 ， 即 解 析 自 身 完 整 路 径 并 搜 索 自 身 M D 5 哈 希 的 字 符 串 表 达 形 式 。 目 前 各 类 分 析 工 具 以 及 沙 箱 机 制 都 会 将 文 件 / 样 本 重 命 名 为 M D 5 哈 希 形 式 ， 从 而 确 保 其 拥 有 惟 一 文 件 名 。 而 此 变 种 则 采 用 “ W i n i n e t S t a r t u p M u t e x 0 ” 作 为 互 斥 量 实 现 运 行 。 第 二 个 传 播 第 二 个 传 播 F I N S P Y 恶 意 软 件 的 漏 洞 恶 意 软 件 的 漏 洞 C V E - 2 0 1 7 - 8 7 5 9 是 F i r e E y e 公 司 在 2 0 1 7 年 年 内 发 现 的 第 二 项 被 用 于 传 播 F I N S P Y 恶 意 软 件 的 零 日 漏 洞 。 现 实 证 明 目 前 市 场 上 存 在 着 大 量 能 够 对 企 业 及 客 户 进 行 “ 合 法 拦 截 ” 的 资 源 。 另 外 ， F I N S P Y 也 被 销 售 至 多 位 客 户 手 中 ， 这 意 味 着 此 项 漏 洞 未 来 将 被 用 于 对 付 更 多 潜 在 目 标 。 尽 管 目 前 还 没 有 观 察 到 相 关 迹 象 ， 但 C V E - 2 0 1 7 - 8 7 5 9 漏 洞 也 可 能 已 经 被 其 他 攻 击 者 所 掌 握 。 至 少 可 以 肯 定 的 是 ， 2 0 1 7 年 4 月 被 用 于 传 播 F I N S P Y 恶 意 软 件 的 零 日 漏 洞 C V E - 2 0 1 7 - 0 1 9 9 应 该 属 于 经 济 利 益 驱 动 的 产 物 。 如 果 F I N S P Y 背 后 的 使 用 者 是 从 同 一 来 源 获 得 这 两 项 漏 洞 ， 那 么 相 关 源 代 码 很 有 可 能 也 会 被 出 售 给 其 他 恶 意 人 士 。 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 3 4 1 9 9 7 4 9 5 . s h t m l 相 关 阅 读 ： B l a c k   H a t   2 0 1 7 : 零 日 漏 洞 的 二 次 发 现 率 远 高 于 预 期 零 日 计 划 ( Z D I ) 2 0 1 6 年 发 布 6 7 4 份 漏 洞 报 告   支 付 奖 金 2 0 0 万 美 元 P a n e l S h o c k “ 零 日 漏 洞 ” 影 响 施 耐 德 H M I 人 机 面 板 系 列 产 品 【 含 P O C 演 示 】 G o o g l e 提 前 披 露 W i n d o w s “ 零 日 漏 洞 ”   微 软 称 被 俄 黑 客 利 用 漏 洞 收 购 平 台 Z e r o d i u m 出 价 1 5 0 万 美 元 收 购 i O S   1 0 “ 零 日 漏 洞 ”
超 过 8 5 万 设 备 受 思 科 “ 零 日 ” 漏 洞 攻 击 影 响 攻 击 者 可 利 用 M y S Q L 零 日 漏 洞 控 制 数 据 库 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理