快捷搜索:  网络  CVE  渗透  后门  扫描  木马  黑客  as

看Hidden Bee怎么样行使新型漏洞进行传播

16.jpg

写在前面的话

近来我们发现了一个试图行使CVE-2018-4878(Flash Player中的漏洞漏洞的攻击,其序列与我们当前发现的任何漏洞行使工具都不同样。经过调查,我们发现这是中国安全公司奇虎360在2017年年底所引用的现有开发框架的一部分。但那时payload似乎是一个推行广告软件的木马。而这次使用的payload它不是一个标准的PE文件。相反,它更像是一种多阶段可执行格式,并且它还充当一个下载加载程序,用于检索隐躲的Bee miner僵尸收集使用的LUA脚本。这多是第一个用来挖掘加密货币的bootkit案例。

广告概述

攻击者行使成人网站的诱惑性广告将受害者吸取到钓鱼页面。我们认为此系列广告首要针对亚洲国家区域用户,根据所投放的广告以及我们已知的数据。这个宣称是可以在线约会服务的服务器包含一个恶意的iframe,其首要负责开发以及感染用户。

1.png2.png

IE exploit

在这里,恶意代码从具有嵌入式加密块的网页最先执行。并采用Base64编码,然后使用RC4或Rabbit两种算法之一进行加密:

3.png

在解密以后,该块将被执行。您可以在这里找到正在运行的Java Script的解码版本。我们可以在脚本中看到,它会生成随机会话密钥,然后使用攻击者的公共RSA密钥对其进行加密:

4.png

加密的密钥将传递到下一个函数并转换为JSON格式,对硬编码的URL执行POST要求:

5.png

要是我们查看客户端以及服务器之间的流量(客户端发送加密的“key”,服务器响应“value”),我们更显然发现这一点:

6.png

服务器端

1.攻击者的使用私有RSA密钥加密,服务器传递解密会话的密钥。

2.选择对称算法来(Rabbit或RC4)加密漏洞payload。

3.将加密的内容返归给客户端。由于客户端在内存中仍旧有密钥的未加密版本,所以它能够解密并执行该漏洞。然而,只从通讯流量不能检索原始会话密钥,也不可能重现漏洞。但荣幸的是,我们在动态阐发中成功拿获了漏洞。并且我们发现攻击者行使的漏洞是CVE-2018-8174。

Flash漏洞行使

这是一个较新的Flash漏洞(CVE-2018-4878)行使程序,在奇虎360发布文档时并不是其exploit kits的一部分,多是为了增强其性能后来添加的。该漏洞中嵌入的shell代码仅仅是下一阶段的下载程序。成功行使后,它将在下列URL检索其payload:

7.png

这个扩台甫为.wasm文件,伪造成一个Web Assembler模块。但究竟上,它是完全不同的器械。

正如你所看到的,它加载了用于解压缩cabinet文件的Cabinet.dll模块。在后面的部分中,我们看到了用于通过HTTP协定进行通讯的API以及字符串。我们还发现了对“dllhost.exe”以及“bin/i386/core.sdb”的引用。

9.png

我们很容易猜到这个模块将下载并行使dllhost.exe来运行。而另一个字符串Base64编码的内容为:

10.png

将其解码后的内容铺现了更多的网址:

http://103.35.72.223/git/wiki.asp?id=530475f52527a9ae1813d529653e9501

http://103.35.72.223/git/glfw.wasm


http://103.35.72.223/rt/lsv3i06rrmcu491c3tv82uf228.wasm

看看Fiddler拿获的流量,我们发现其模块确凿在查询这些URL:

11.png

要求来自dllhost.exe,这可能象征着上面的可执行文件已经被注入恶意代码。文件glfw.wasmWeb Assembly之间没有任何共同的地方。究竟上,无线黑客,它是一个Cabinet文件,包含内部路径下的打包内容:bin/i386/core.sdb。从内部看,我们发现了相同的自定义可执行格式,譬如DLL名称:

12.png

然后另一个问题是参与者可能试图通过装作使用SLTP协定来检索实际payload来隐躲流量,这可以在从核心内部的Cabinet文件中提取的字符串core.sdb中发现这一点:

INSTALL_SOURCE
&sid=%u
INSTALL_SID
INSTALL_CID
sltp://setup.gohub[.]online:1108/setup.bin?id=128
ntdll.dll
ZwQueryInformationProcess
VolumeNumber
SCSIDISK
os=%d&ar=%d
kernel32.dll
IsWow64Process
RtlGetNtVersionNumbers
%02x
&sz=
sltp

该主机名解析为67.198.208[.]110

Pinging setup.gohub.online [67.198.208.110] with 32 bytes of data:
Reply from 67.198.208.110: bytes=32 time=76ms TTL=51

来自沙盒计算机的加密TCP收集流量显示了怎么样检索二进制的payload:

13.png

可见全部payload开发以及检索过程至关复杂,要是考虑到活动违后的目的是用来开采加密货币时,那么也不难想到:

14.png

这个矿机的独特的地方在于,它通过使用bootkit完成持久性,如本文所述。受感染的主机将修改其主引导记录,以便在每一次操作体系启动时启动矿机。

简单payload的复杂攻击

这类攻击在许多方面上都很故意思,因为它在漏洞行使交付部分中使用了不同的手艺和不同的打包payload手艺。因此我们认为它集中在少数几个亚洲国家,不仅云云,它还表明威胁步履者并没有完全抛却exploit kits,绝管在过去几年有显然的下降趋向。

15.gif

IOC

受污染的交友网站

144.202.87[.]106

exploit kits

103.35.72[.]223

52he3kf2g2rr6l5s1as2u0198k.wasm

087FD1F1932CDC1949B6BBBD56C7689636DD47043C2F0B6002C9AFB979D0C1DD

glfw.wasm

CCD77AC6FE0C49B4F71552274764CCDDCBA9994DF33CC1240174BCAB11B52313

Payload URL 以及 IP

setup.gohub[.]online:1108/setup.bin?id=128
67.198.208[.]110

Miner Proxy

133.130.101[.]254

*参考来源malwarebytes,由周大涛编译,

您可能还会对下面的文章感兴趣: