搜索

[8714] 2015-03-04_利用第三方软件0day漏洞加载和执行的木马分析

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2015-03-04_利用第三方软件0day漏洞加载和执行的木马分析 利 用 第 三 方 软 件 0 d a y 漏 洞 加 载 和 执 行 的 木 马 分 析 F r e e B u f   2 0 1 5 - 0 3 - 0 4 微 信 号 ： 微 信 号 ： f r e e b u f 近 期 腾 讯 反 病 毒 实 验 室 捕 获 了 一 批 针 对 性 攻 击 的 高 级 木 马 ， 该 木 马 使 用 近 期 热 门 的 时 事 话 题 做 诱 饵 ， 对 特 殊 人 群 做 近 期 腾 讯 反 病 毒 实 验 室 捕 获 了 一 批 针 对 性 攻 击 的 高 级 木 马 ， 该 木 马 使 用 近 期 热 门 的 时 事 话 题 做 诱 饵 ， 对 特 殊 人 群 做 持 续 针 对 性 攻 击 ， 目 前 腾 讯 电 脑 管 家 已 经 能 够 准 确 拦 截 和 查 杀 该 木 马 。 持 续 针 对 性 攻 击 ， 目 前 腾 讯 电 脑 管 家 已 经 能 够 准 确 拦 截 和 查 杀 该 木 马 。 图   1 .   腾 讯 反 病 毒 实 验 室 拦 截 到 的 部 分 木 马 文 件 压 缩 包 木 马 介 绍 木 马 介 绍 该 木 马 主 要 通 过 邮 箱 等 社 交 网 络 的 方 式 对 特 定 用 户 进 行 针 对 性 推 送 传 播 ， 原 始 文 件 伪 装 成 常 见 的 该 木 马 主 要 通 过 邮 箱 等 社 交 网 络 的 方 式 对 特 定 用 户 进 行 针 对 性 推 送 传 播 ， 原 始 文 件 伪 装 成 常 见 的 w i n d o w s   软 件 安 装 软 件 安 装 程 序 ， 一 旦 用 户 运 行 了 该 木 马 文 件 ， 便 会 将 包 含 程 序 ， 一 旦 用 户 运 行 了 该 木 马 文 件 ， 便 会 将 包 含   0 d a y   漏 洞 的 一 个 第 三 方 软 件 及 相 应 的 库 文 件 释 放 到 指 定 目 录 中 ， 同 漏 洞 的 一 个 第 三 方 软 件 及 相 应 的 库 文 件 释 放 到 指 定 目 录 中 ， 同 时 释 放 一 个 加 密 的 数 据 文 件 到 同 一 目 录 下 。 将 含 有 针 对 性 时 释 放 一 个 加 密 的 数 据 文 件 到 同 一 目 录 下 。 将 含 有 针 对 性 0 d a y   漏 洞 攻 击 的 命 令 行 参 数 传 递 给 该 文 件 执 行 。 随 后 进 行 漏 洞 攻 击 的 命 令 行 参 数 传 递 给 该 文 件 执 行 。 随 后 进 行 自 毁 操 作 ， 不 留 痕 迹 。 自 毁 操 作 ， 不 留 痕 迹 。 图   2 .   木 马 安 装 后 将 特 定 的 第 三 方 软 件 文 件 释 放 到 磁 盘 指 定 目 录 中 该 木 马 释 放 出 的 所 有   P E 文 件 均 为   9 1 5 8 多 人 视 频 聊 天 软 件 的 模 块 ， 具 有 很 大 的 用 户 群 ， 文 件 有 完 整 且 正 确 的 该 公 司 的 数 字 签 名 信 息 。 其 中 的 s c i e n c e . e x e   在 解 析 命 令 行 参 数 时 存 在 缓 冲 区 溢 出 漏 洞 ， 且 编 译 的 时 候 未 开 启   G S   等 安 全 开 关 ， 触 发 后 能 够 执 行 参 数 中 携 带 的 任 意   S h e l l c o d e   恶 意 代 码 。 这 也 是 木 马 找 到 这 个 白 文 件 漏 洞 来 利 用 的 原 因 ， 用 户 群 体 大 ， 漏 洞 非 常 方 便 利 用 。 由 于 恶 意 代 码 是 在 正 常 文 件 的 内 存 中 直 接 执 行 ， 同 时 在 磁 盘 中 驻 留 的 文 件 均 为 正 常 软 件 的 白 文 件 ， 因 此 此 木 马 绕 过 了 几 乎 所 有 安 全 防 护 软 件 。 腾 讯 电 脑 管 家 使 用 了 云 查 引 擎 ， 第 一 时 间 发 现 并 查 杀 该 木 马 ， 同 时 已 经 第 一 时 间 通 知 相 关 厂 商 修 复 该 漏 洞 。 图 3 . 9 1 5 8 多 人 视 频 软 件 安 装 目 录 ， 对 比 发 现 ， 木 马 释 放 的 P E 均 在 其 中
木 马 加 载 执 行 的 详 细 过 程 木 马 加 载 执 行 的 详 细 过 程 1 、 首 先 释 放 文 件 到 指 定 目 录 ， 共   5 个 文 件 ， 其 中   s c i e n c e . e x e 、 D D V C t r l L i b . d l l 、   D D V C t r l L i b . d l l 均 是 9 1 5 8 多 人 聊 天 软 件 的 相 关 文 件 ， C o n f i g . d a t 是 一 个 加 密 的 数 据 文 件 ， t 1 . d a t 是 一 个 配 置 文 件 。 2 、 带 参 数 运 行   s c i e n c e . e x e ， 其 中 参 数 共   0 x 2 0 0 3   字 节 ， 随 后 原 始 木 马 文 件 进 行 自 毁 操 作 图   4 .   使 用 含 有 恶 意 代 码 的 参 数 执 行 含 有   0 d a y   漏 洞 的 文 件 3 、 由 于   s c i e n c e . e x e 对 输 入 的 参 数 没 有 检 查 ， 当 输 入 的 参 数 长 度 过 长 时 ， 造 成 栈 溢 出 图   5 .   漏 洞 细 节 ： 由 于 软 件 解 析 参 数 时 没 有 校 验 长 度 ， 导 致 缓 冲 区 溢 出 图 6 . 漏 洞 利 用 细 节 ： 精 心 构 造 最 后 三 字 节 数 据 精 确 定 位 跳 转 执 行 S h e l l C o d e 图   7 . S h e l l C o d e   的 自 解 密 算 法
图 8 .   S h e l l C o d e 的 功 能 是 读 取 并 解 密 C o n f i g . d a t 文 件 ， 直 接 在 内 存 中 加 载 执 行 图 9 . 创 建 一 个 系 统 服 务 ， 服 务 对 应 的 镜 像 文 件 为 s c i e n c e . e x e ， 并 带 有 恶 意 参 数 木 马 通 过 创 建 服 务 来 实 现 永 久 地 驻 留 在 用 户 电 脑 中 ， 实 现 长 期 地 监 控 。 完 成 服 务 创 建 后 ， 即 完 成 了 木 马 的 安 装 过 木 马 通 过 创 建 服 务 来 实 现 永 久 地 驻 留 在 用 户 电 脑 中 ， 实 现 长 期 地 监 控 。 完 成 服 务 创 建 后 ， 即 完 成 了 木 马 的 安 装 过 程 ， 为 了 隐 蔽 运 行 不 被 用 户 发 觉 ， 木 马 服 务 启 动 后 会 以 创 建 傀 儡 进 程 的 方 式 注 入 到 程 ， 为 了 隐 蔽 运 行 不 被 用 户 发 觉 ， 木 马 服 务 启 动 后 会 以 创 建 傀 儡 进 程 的 方 式 注 入 到 s v c h o s t . e x e 进 程 中 ， 在 该 进 程 中 进 程 中 ， 在 该 进 程 中 连 接 连 接 C & C 服 务 器 ， 连 接 成 功 后 黑 客 便 可 通 过 该 木 马 监 视 用 户 桌 面 、 窃 取 用 户 任 意 文 件 、 记 录 用 户 键 盘 输 入 、 窃 取 用 服 务 器 ， 连 接 成 功 后 黑 客 便 可 通 过 该 木 马 监 视 用 户 桌 面 、 窃 取 用 户 任 意 文 件 、 记 录 用 户 键 盘 输 入 、 窃 取 用 户 密 码 、 打 开 摄 像 头 和 麦 克 风 进 行 监 视 监 听 等 。 从 而 实 现 远 程 控 制 目 标 计 算 机 的 目 的 。 户 密 码 、 打 开 摄 像 头 和 麦 克 风 进 行 监 视 监 听 等 。 从 而 实 现 远 程 控 制 目 标 计 算 机 的 目 的 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理