查看:716
回复:2
WinRAR(CVE-2018-20250)漏洞利用再升级 减少重启系统的依赖[复制链接]

2019-04-17 15:34:18 只看楼主 倒序浏览 电梯直达

【文章摘要】自从WinRAR被爆出unacev2.dll任意代码执行漏洞(CVE-2018-20250)以来,因为漏洞具有十分简单易用的特点,备受病毒黑产青睐,各种恶意利用纷至沓来。

一、概述

    自从WinRAR被爆出unacev2.dll任意代码执行漏洞(CVE-2018-20250)以来,因为漏洞具有十分简单易用的特点,备受病毒黑产青睐,各种恶意利用纷至沓来。但WinRAR unacev2.dll任意代码执行漏洞利用存在一个明显的不足,即需要受害者重启系统后恶意代码才能得以执行。

    近日,腾讯安全御见威胁情报中心监控到攻击者对WinRAR漏洞利用的手段进行了技术升级,一定程度上减少了对受害者主动重启系统的依赖,同时确保恶意木马能在第一时间启动。

    常见利用方式:


    攻击手段升级后的利用方式:


    (1)攻击利用方式1



    (2)攻击利用方式2



二、分析

    攻击利用方式1:

WinRAR漏洞利用结合恶意lnk躲避杀毒软件查杀,同时增加恶意木马执行的概率。样本信息及具体分析如下。

MD5

文件名

3e86873fab89792c3f2302b4deb2377f_

mirotvorec.rar


    打开mirotvorec.rar,压缩包内容如下所示


    解压mirotvorec.rar,发现该压缩包同时还释放了两个lnk文件和一个exe文件


    •文件1:%userprofile%\win.exe(用户配置目录)


    •文件2:c:\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Goggle Chrome.lnk(开始菜单启动目录)


    •文件3:c:\desktop\Goggle Chrome.lnk(桌面快捷方式)



    文件1为最终要执行的恶意木马,被释放到了%userprofile%(用户目录)下;文件2和文件3内容完全相同,均伪装为Chrome浏览器的快捷启动方式(攻击者拼写错误,把Google写成了Goggle),但该lnk实际上指向的启动文件为%userprofile%\win.exe,即文件1。



    需要注意的是,如果在用户目录直接执行win.exe,还需要输入正确的密码,才会继续执行。密码就是上图快捷方式win.exe的执行参数。如果双击goggle chrome.lnk,密码参数会自动执行,不会出现下图提交密码的对话框。


    本次攻击与以往利用WinRAR漏洞的攻击方式存在以下差别:

    1)为了躲避杀软查杀,最终执行的恶意木马没有释放到系统自启动目录,而是释放到了用户目录下;同时,为了确保恶意木马能够在重启后顺利执行,将伪装为Chrome浏览器快捷启动方式的恶意lnk释放到了系统自启动目录,该lnk实际上为恶意木马的快捷启动方式;

    2)为了提高恶意木马被执行的概率,同时弥补WinRAR漏洞利用需要重启的缺陷,攻击者还将恶意lnk释放到了桌面,诱导受害者手动点击运行;

    3)为了躲避杀毒软件查杀,恶意木马需要输入正确的密码方可执行(这就避免了杀毒厂商的自动分析工具发现异常);

    4)用户重启系统或者双击运行恶意lnk,均可执行恶意木马。

    攻击利用方式2:


    恶意bat文件下载并解压ACE文件,同时强制系统重启,确保恶意木马执行。攻击样本及具体分析如下。

MD5

文件名

1e541b14b531bcac70e77a012b0f0f7f

__Denuncia_Activa_CL.PDF.bat


    notepad++打开bat文件,文本内容为乱码,发现右下脚提示该文件使用了UCS-2 Little-endian编码


    重新使用16进制编辑器打开bat文件,即可看到真实的文件内容


    执行bat文件,首先生成一个随机数,用于重命名即将下载的恶意rar文件


    设置下载目录、文件名等,并启用powershell命令从硬编码的url下载恶意rar文件


    使用WinRAR解压,将恶意木马释放到系统启动项目录,执行“shutdown -r”命令强制重启系统,确保恶意木马能在第一时间启动。


三、安全建议

    1、unacev2.dll漏洞并不仅限于WinRAR,包括WinRAR在内的多款压缩解压缩工具均存在风险,建议用户将这些软件全部升级到最新版本,推荐使用腾讯电脑管家的软件管理来完成软件升级。

    2、直接删除WinRAR安装目录下的UNACEV2.DLL文件,但会造成ACE格式的压缩文件无法使用(不过,这影响很小,拥有ACE格式专利的商业公司已倒闭十多年了,你完全可以抛弃ACE压缩格式)。

    3、切勿随意轻信、打开来历、用途不明的文件。

四、IOCs

IP

195.62.52.164

DOMAIN

lisingrout.ddns.net

www.poderjudicial.cl

www.triosalud.cl

MD5

3e86873fab89792c3f2302b4deb2377f

64c3556574daa5bc76a5cede8f8bfcd7

f2c78f8b3582eae0af8912b0293ca8a5

1e541b14b531bcac70e77a012b0f0f7f

aafb4d8ebf63b50d80daff778226f7bc

410b77d8f1cdc76c867b4a6a27ae55e5

URL

hxxps://www.triosalud.cl/wp/wp-content/uploads/2019/02/denuncias.rar

hxxps://www.triosalud.cl/wp/wp-content/uploads/2019/03/denuncias.rar

hxxps://www.triosalud.cl/wp/wp-content/uploads/2019/03/up.php

hxxp://www.poderjudicial.cl
 本主题由 ε๑⍥๑з 于 2019-05-05 09:21:12 解除高亮
ε๑⍥๑з
版主
LV.4
主题53
回帖1
经验327
Z 币224
ε๑⍥๑з
版主
LV.4
主题 53
回帖 1
经验 327
Z 币 224
注册 2018-10-11
最近 2020-02-13
2 条回复
2019-06-06 20:37:46 沙发
该楼层已被删除
○单纯浪子o
LV.2
主题0
回帖24
经验14
Z 币14
○单纯浪子o
LV.2
主题 0
回帖 24
经验 14
Z 币 14
注册 2019-06-06
最近 2019-06-09
2019-08-30 22:16:41 板凳
该楼层已被删除
坠落天使疯癫
LV.2
主题0
回帖11
经验18
Z 币14
坠落天使疯癫
LV.2
主题 0
回帖 11
经验 18
Z 币 14
注册 2019-08-30
最近 2019-09-05
回复

您需要 登录 后才可以回帖

Copyright © 2020 Tencent.All Rights Reserved.
本论坛部分内容来源于用户上传,如有侵权内容、不妥之处,请联系我们删除,敬请谅解!