利用该0 day漏洞的攻击活动情况

Posted IT老涵

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了利用该0 day漏洞的攻击活动情况相关的知识,希望对你有一定的参考价值。

谷歌研究人员发现macOS漏洞利用。

谷歌研究人员在macOS系统中发现了一个安全漏洞——CVE-2021-30869。攻击者利用该漏洞可以以kernel权限执行任意代码。8月底,谷歌研究人员发现了该漏洞的0 day在野利用,本文详细介绍利用该0 day漏洞的攻击活动情况。

水坑攻击

研究人员在攻击者控制的服务器上发现了攻击中使用的网站中含有2个iframe,其中一个是ios漏洞利用,一个是macOS漏洞利用。

iOS漏洞利用

iOS漏洞利用链使用基于Ironsquirrel的框架来加密传递到受害者浏览器的加密漏洞利用。研究人员尚未获得完整的iOS利用链,只发现攻击者利用CVE-2019-8506漏洞在Safari浏览器中实现代码执行。

macOS漏洞利用

macOS漏洞利用使用的框架与iOS不同。加载页中含有1个简单的html页面,可以加载2个脚本,一个是Capstone.js,一个是漏洞利用链。

脚本

参数rid 是一个全局计数器,会记录漏洞利用的尝试次数。研究人员发现该漏洞利用链时该计数器已经达到200了。

漏洞利用链开始时JS会在运行漏洞利用前检查访问者是否运行macOS Mojave (10.14)或Catalina (10.15)。研究人员用Mojave访问站点时只接收到一个未加密的漏洞利用链。

远程代码执行

通过在最新的Safari (14.1)浏览器版本上加载含有WebKit RCE的页面,研究人员发现并没有成功触发该漏洞利用。为验证该假设,研究人员运行git bisect,并确定目前已经修复。

沙箱逃逸和本地权限提升

Capstone.js

研究人员发现攻击者在漏洞利用链中使用了Capstone.js,而该js文件常被用于二进制文件分析。攻击者使用它来在内存中搜索dlopen和dlsym的地址。


capstone.js

Capstone.js的配置为X86-64而非ARM,因此可以推测目标硬件为基于Intel的Mac。

嵌入的Mach-O

WebKit RCE 成功执行后,嵌入的Mach-O二进制文件就会加载到内存中,修复并运行。通过分析,研究人员发现该二进制文件中含有可以逃逸Safari沙箱、进行权限提升、从C2下载第二阶段内容的代码。

Mach-O

提取的二进制文件进行了混淆。解码后的字符串如下所示:

解码后,研究人员发现其中含有从C2下载文件的代码。

在下载payload后,会移除文件的隔离属性以绕过检测。然后提升权限来安装payload。

为在虚拟环境下运行漏洞利用,研究人员在Python环境下写了一个加载器来实现以下功能:

◼加载Mach-O到内存中;

◼找到dlopen 和 dlsym的地址;

◼用dlopen 和 dlsym的地址填充内存中加载的Mach-O;

◼运行Mach-O时传递payload url作为参数。

MACMA Payload

权限提升到root后,下载的payload就会被加载并在受害者机器后台运行。Payload通过数据分发服务(DDS)框架与C2进行通信。其中含有多个组件,其中部分组件被配置成了模块。其中该后门的常见功能包括:

◼获取受害者指纹信息

◼截取用户屏幕

◼文件下载和上传

◼执行终端命令

◼录制音频

◼记录键盘输入

点击获取【网络安全学习技术资料·指南】

以上是关于利用该0 day漏洞的攻击活动情况的主要内容,如果未能解决你的问题,请参考以下文章

[漏洞预警]利用Memcached 服务器实施反射DDos攻击情况报告

Redis未授权访问漏洞复现与利用

Redis未授权访问漏洞复现与利用

20155306 白皎 0day漏洞——漏洞的分析与复现

Redis未授权访问漏洞的利用及防护

反序列化漏洞的安全公告