针对近日曝光的 Adobe Flash 零日漏洞(CVE-2018-5002),已经出现了一款名叫 CHAINSHOT 的恶意软件攻击。其利用微软 Excel 文件包含的微型 Shockwave Flash ActiveX 对象、以及一个所谓的“电影”的 URL 链接,忽悠人们去下载 Flash 应用程序。研究人员攻破了其采用的 512-bit RSA 密钥,从而揭开了它的神秘面纱。
恶意 Shockwave Flash ActiveX 对象属性
研究人员发现,该 Flash 应用程序其实是一个混淆的下载器:
进程会在内存中创建一个随机的 512-bit RSA 密钥对,将私钥保留在内存中、并将公钥发送到攻击者的 服务器 ,以加密 AES 密钥(用于加密有效负载)。
之后将加密的有效负载和现有的私钥发送到下载程序,以解密128位AES密钥和有效负载。Palo Alto Networks Unit 42 的研究人员破解了加密,并分享了他们的破解方法。
尽管私钥仅保留在内存中,但公钥的模数 n 被发送到了攻击者的服务器。
在服务器端,模数与硬编码指数 e 0x10001 一起使用,以加密此前用于加密漏洞和 shellcode 有效载荷的128-bit AES 密钥。
揭秘 shellcode 有效载荷的 HTTP POST 请求(其模数 n 为十六进制)
一旦研究人员解密了 128-bit AES 密钥,就能够解密有效负载。
获得 RWE 权限之后,执行就会传递给 shellcode,然后在内部加载一个名为 FirstStageDropper.dll 的嵌入式 DLL 。
最后,研究人员分享了感染指征(Indicators of Compromise):
Adobe Flash Downloader
189f707cecff924bc2324e91653d68829ea55069bc4590f497e3a34fa15e155c
Adobe Flash Exploit(CVE-2018-5002)
3e8cc2b30ece9adc96b0a9f626aefa4a88017b2f6b916146a3bbd0f99ce1e497
[编译自: MSPU , 来源: Palo Alto Networks ]
以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网
猜你喜欢:- 黑客入侵:移动恶意软件进入杀戮
- ToBet遭到黑客恶意攻击 Big.game也疑似遭遇黑客攻击
- 黑客使用Polyglot图像隐藏恶意广告活动
- 黑客已经开始利用WinRAR漏洞传播恶意软件
- 黑客或可将隐形恶意软件植入“裸机”云主机当中
- 如何通过一封恶意邮件追踪幕后黑客组织
本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
微信公众号深度解析
魏艳 / 化学工业出版社 / 2017-5 / 49.80元
本书是一本微信公众号营销的教科书,全方位揭秘了微信订阅号、微信服务号、微信企业号三大类型账号的运营管理策略和技巧,有助于企业构建一套全新的微信公众号营销体系,打造一个移动端的商业帝国,是企业和微商必读的微信公众号营销和运营宝典。 《微信公众号深度解析:订阅号+服务号+企业号三号运营全攻略》突出了“新”、“全”、“实战”三大特点,阐述了微信公众号在新形势下的现状、发展趋势和三大类型;微信公众号......一起来看看 《微信公众号深度解析》 这本书的介绍吧!