搜索

[9428] 2015-10-12_CiscoVPN惊现后门，专门窃取客户网络密码

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-17
2015-10-12_CiscoVPN惊现后门，专门窃取客户网络密码 C i s c o   V P N 惊 现 后 门 ， 专 门 窃 取 客 户 网 络 密 码 F r e e B u f   2 0 1 5 - 1 0 - 1 2 一 种 新 的 攻 击 悄 无 声 息 地 出 现 在 公 司 门 户 上 。 安 全 研 究 人 员 说 ， 攻 击 者 通 过 感 染 思 科 公 司 所 出 售 的 一 个 虚 拟 专 用 网 一 种 新 的 攻 击 悄 无 声 息 地 出 现 在 公 司 门 户 上 。 安 全 研 究 人 员 说 ， 攻 击 者 通 过 感 染 思 科 公 司 所 出 售 的 一 个 虚 拟 专 用 网 络 产 品 来 收 集 用 户 名 和 用 于 登 录 到 公 司 网 络 密 码 的 后 门 。 络 产 品 来 收 集 用 户 名 和 用 于 登 录 到 公 司 网 络 密 码 的 后 门 。 安 全 公 司 v o l e x i t y 的 研 究 员 说 ， 他 发 现 一 些 成 功 感 染 思 科 客 户 端 S S L   V P N 的 案 例 ， 可 能 还 有 更 多 。 这 些 攻 击 中 大 概 至 少 使 用 了 2 个 单 独 入 口 点 。 一 旦 后 门 设 置 好 ， 就 只 需 要 静 静 等 待 它 收 集 员 工 登 录 凭 证 。 思 科 网 络 思 科 网 络 V P N 思 科 无 客 户 端 S S L   V P N （ W e b   V P N ） 是 一 个 基 于 W e b 的 门 户 网 站 ， 可 以 应 用 在 公 司 的 C i s c o 自 适 应 安 全 设 备 （ A S A ） 上 。 思 科 网 络 V P N 不 需 要 客 户 端 ， 它 完 全 是 通 过 最 终 用 户 的 浏 览 器 访 问 。 一 旦 用 户 通 过 认 证 ， 基 于 w e b 的 V P N 就 会 允 许 用 户 访 问 内 部 网 页 、 内 部 文 件 并 允 许 他 们 通 过 T e l n e t 、 S S H   W e b 或 类 似 的 网 络 协 议 连 接 到 其 他 内 部 资 源 。 普 通 用 户 可 以 通 过 类 似 下 图 显 示 的 思 科 网 络 V P N 接 口 进 入 。 v o l e x i t y 研 究 人 员 在 博 客 上 写 到 ： 这 肯 定 不 是 你 希 望 攻 击 者 能 获 得 访 问 的 ， 不 幸 的 是 ， 我 们 发 现 一 些 公 司 已 经 偷 偷 地 被 攻 击 了 。 ” 研 究 人 员 在 一 个 公 司 发 现 思 科 所 出 售 的 秘 密 攻 击 网 络 路 由 器 。 这 种 路 由 器 后 门 已 被 安 装 在 至 少 7 9 个 设 备 上 。 恶 意 软 件 可 以 支 持 多 达 1 0 0 个 模 块 ， 攻 击 者 可 远 程 控 制 那 些 被 感 染 的 设 备 。 不 过 安 装 在 C i s c o   V P N 的 后 门 ， 相 比 之 下 还 不 完 善 。 它 只 是 将 恶 意 的 J a v a S c r i p t 代 码 加 载 到 员 工 登 陆 的 网 页 。 不 过 因 为 J a v a S c r i p t 托 管 在 外 部 网 站 而 且 又 通 过 H T T P S 加 密 连 接 访 问 ， 其 隐 蔽 性 还 是 相 对 较 强 。 c v e - 2 0 1 4 - 3 3 9 3 漏 洞 利 用 漏 洞 利 用
研 究 人 员 说 ， 后 门 安 装 至 少 通 过 两 个 不 同 的 切 入 点 。 首 先 是 利 用 出 现 在 客 户 端 S S L   V P N 的 一 个 大 漏 洞 。 另 一 个 则 是 攻 击 者 通 过 其 他 手 段 获 取 管 理 员 访 问 并 使 用 它 来 加 载 恶 意 代 码 。 V o l e x i t y 发 现 早 在 2 0 1 4 年 1 1 月 思 科 网 络 V P N 登 录 页 面 就 开 始 被 滥 用 了 。 黑 客 利 用 c v e - 2 0 1 4 - 3 3 9 3 — — 思 科 无 客 户 端 S S L   V P N 中 的 一 个 漏 洞 进 行 他 们 的 坏 动 作 。 这 个 漏 洞 最 初 是 由 A l e c   S t u a r t - M u i r k 报 道 出 来 并 在 2 0 1 4 年 1 0 月 思 科 获 知 后 还 发 布 了 一 个 关 于 这 个 漏 洞 的 开 发 通 知 。 这 个 漏 洞 允 许 未 经 身 份 验 证 的 远 程 攻 击 者 随 意 修 改 S S L   V P N 门 户 的 内 容 ， 进 行 攻 击 窃 取 凭 据 、 跨 站 脚 本 攻 击 （ X S S ） 以 及 其 他 W e b 攻 击 。 由 于 S S L   V P N 门 户 定 制 框 架 的 认 证 检 查 的 操 作 不 当 导 致 出 现 这 个 漏 洞 。 攻 击 者 可 以 利 用 这 个 漏 洞 修 改 一 些 特 定 对 象 的 R A M F S 缓 存 文 件 系 统 。 受 感 染 的 组 织 中 有 智 囊 团 、 大 学 和 学 术 机 构 、 跨 国 电 子 产 品 制 造 商 和 非 政 府 组 织 。 为 了 逃 避 检 测 ， 文 件 1 . j s ( 恶 意 的 J a v a S c r i p t ) 被 托 管 在 一 个 非 政 府 组 织 的 网 站 ， 该 网 站 还 利 用 一 个 有 效 的 S S L 证 书 ， 这 让 所 有 的 通 信 加 密 。 文 件 1 . j s 是 一 个 在 线 脚 本 称 为 “ x s s . j s ” ， 旨 在 窃 取 数 据 。 这 些 网 站 事 先 被 攻 击 破 坏 了 ， 再 将 H T M L   I F R A M E 标 签 插 入 到 被 破 坏 的 V P N 网 页 。 然 后 V P N 就 会 连 接 到 被 攻 击 的 非 政 府 组 织 网 站 ， 通 过 加 密 连 接 下 载 J a v a S c r i p t 。 锁 定 日 本 政 府 和 高 技 术 产 业 锁 定 日 本 政 府 和 高 技 术 产 业 V o l e x i t y 发 现 其 中 日 本 政 府 和 高 新 技 术 产 业 很 多 都 受 到 了 攻 击 。 多 个 日 本 的 组 织 被 破 坏 了 而 且 其 思 科 网 络 V P N 门 户 被 加 载 了 额 外 的 J a v a S c r i p t 代 码 。 在 这 些 攻 击 中 的 J a v a S c r i p t 链 接 到 一 个 称 为 s c a n b o x 的 恶 意 软 件 。 S c a n b o x 经 常 被 用 来 收 集 关 于 用 户 的 信 息 访 问 受 感 染 的 网 站 。 特 别 的 是 ， 通 过 收 集 用 户 浏 览 器 和 软 件 安 装 的 信 息 ， 该 软 件 会 对 目 标 和 特 定 的 软 件 进 行 攻 击 。 当 一 个 员 工 正 在 访 问 他 们 的 W e b   V P N 时   S c a n b o x 还 会 捕 获 击 键 和 C o o k i e 数 据 。
图 中 代 码 只 是 显 示 了 一 小 部 分 的 S c a n b o x 键 盘 记 录 插 件 。 而 日 本 政 府 和 高 技 术 产 业 的 思 科 网 络 V P N 的 S c a n b o x 代 码 是 用 来 记 录 用 户 访 问 服 务 记 录 。 结 论 结 论 攻 击 者 正 在 不 断 寻 找 新 的 方 法 通 过 网 络 的 漏 洞 获 取 利 益 ， 这 个 问 题 不 仅 仅 是 思 科 网 络 V P N 。 任 何 其 他 的 V P N ， W e b 服 务 器 ， 或 设 备 都 有 一 定 的 风 险 。 *   参 考 来 源 ： v o l e x i t y 、 a r s t e c h n i c a ,   译 / 江 湖 小 吓 ,   转 载 请 注 明 来 自 F r e e b u f . C O M （ 黑 客 与 极 客 ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理