利用Windows 0day漏洞部署DevilsTongue恶意软件

Posted llawliet0001

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了利用Windows 0day漏洞部署DevilsTongue恶意软件相关的知识,希望对你有一定的参考价值。

导读以色列情报公司Candiru利用微软7月补丁日中修复的2个0day漏洞,部署名为 DevilsTongue 的新恶意软件。

0x00 事件概述

近日,微软和Citizen Lab发现Candiru(微软称为 Sourgum)利用微软7月补丁日中修复的2个0 day漏洞(CVE-2021-31979和CVE-2021-33771)部署名为 DevilsTongue 的新恶意软件。

Citizen Lab在其报告中表示,Candiru 是一家位于以色列的情报公司,专门向政府出售间谍软件。根据报道,他们的间谍软件可以感染和监控iPhone、android、Mac、PC 和云帐户。微软威胁情报中心 (MSTIC)于2021年7月15日发布了该事件的分析报告。据微软表示,Sourgum通常出售网络武器,使其客户(通常是世界各地的政府机构),能够入侵其目标的计算机、电话、网络基础设施和互联网连接设备,然后这些机构自己选择目标人物并进行实际操作。

微软和 Citizen Lab 合作禁用了DevilsTongue。微软研究人员发现,该恶意软件影响了巴勒斯坦、以色列、伊朗、黎巴嫩、也门、西班牙、英国、土耳其、亚美尼亚和新加坡等至少100名受害者,他们包括政治家、人权活动家、记者、学者、大使馆工作人员和政治异议人士。

0x01 事件详情

对Candiru攻击的调查是在CitizenLab分享了一个在受害者系统中发现的恶意软件样本,并导致发现CVE-2021-31979和CVE-2021-33771这2个Windows内核提权漏洞0 day漏洞之后开始的。攻击者可以利用这2个漏洞实现提升权限、浏览器沙箱逃逸并获得内核代码执行权限。目前这2个0 day已在微软7月补丁日中修复。

Citizen Lab使用 Internet 扫描将750多个网站与Candiru的间谍软件基础设施联系起来,进一步确认了事件可信度。此外,他们还发现,这些域中有许多被设计为模仿代表媒体公司和宣传组织的域,包括大赦国际和 Black Lives Matter 运动。

据表示,攻击者滥用了几种流行浏览器和Windows操作系统中的漏洞利用链,将DevilsTongue恶意软件投放到受害者的电脑上。

DevilsTongue恶意软件允许其操作者收集和窃取受害者的文件,解密和窃取Windows设备上的Signal信息,并从LSASS和Chrome、Internet Explorer、Firefox、Safari和Opera网络浏览器中窃取cookies和保存的密码。此外,它还可以利用存储在受害者电脑上的Facebook、Twitter、Gmail、Yahoo、Mail.ru、Odnoklassniki和Vkontakte等网站的cookie来获取敏感信息,比如读取受害者的消息,窃取照片等。

微软研究人员还发现,DevilsTongue还可以在其中一些网站上以受害者的身份发送信息,并且发送信息的能力可以被武器化,以向更多的受害者发送恶意链接。

据微软表示,这些攻击主要针对消费者,微软本周发布的保护措施将阻止Sourgum的工具在已经被感染的计算机上执行,并防止在更新的计算机、运行Microsoft Defender防病毒软件的计算机以及使用MicrosoftDefender for Endpoint的计算机上发生新的感染。

0x02 处置建议

建议Windows用户尽快应用CVE-2021-31979和CVE-2021-33771的安全更新(已于2021年7月13日发布),并启用Microsoft Defender防病毒软件,以防止被恶意软件利用。此外,建议应用以下通用安全建议:

  • 检查并及时修复系统或应用中存在的其它安全漏洞。
  • 使用防火墙和反间谍软件,并时常更新防病毒和反间谍软件应用程序以防止威胁。
  • 使用最新的威胁情报信息,以实时了解攻击者所使用的TTP。
  • 机密文件不要存放在联网的计算机中,包含敏感信息的文件应加密存放。
  • 为了保护公司网络和系统环境,请对员工进行安全培训,专门的培训课程可以提供帮助。更多Linux资讯请查看:https://www.linuxprobe.com

以上是关于利用Windows 0day漏洞部署DevilsTongue恶意软件的主要内容,如果未能解决你的问题,请参考以下文章

Windows远程命令执行0day漏洞安全预警

20155306 白皎 0day漏洞——漏洞利用原理之GS

20155306 白皎 免考实践总结——0day漏洞

20155306 白皎 0day漏洞——漏洞利用原理之栈溢出利用

20155306 白皎 0day漏洞——漏洞利用原理之DEP

复现windows Chrome 0day漏洞