第2个0day!火狐浏览器再次紧急发布新版本,修复已遭利用的第2个0day

阅读量    100426 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

时隔两天,火狐浏览器再发新版本 67.0.4,修复和第10day出现于同样攻击中的另外一个0day。火狐浏览器用户应立即安装更新。

前天我们在文章《火狐浏览器紧急修复详情不明但已遭利用的 0day》指出,火狐发布67.0.3版本修复已被用于针对性攻击中的一个严重的远程代码执行漏洞。之后,研究人员发现该漏洞和另外一个未知漏洞被组合用于钓鱼攻击中,以在受害者机器上释放并执行恶意 payload

 

沙箱逃逸漏洞

这个未知漏洞是 Coinbase Security 提交的一个沙箱逃逸漏洞CVE-2019-11708,它可导致攻击者从浏览器受保护的沙箱中逃逸。链接该0day和在67.0.3版本中修复的漏洞可导致攻击者在易受攻击的电脑上执行远程代码。

该漏洞的严重等级为高危,根据说明,“对子进程和父进程之间以 Prompt: Open IPC 信息传递的参数审查不充分,可导致非沙箱父进程打开由受攻陷子进程选择的 web 内容。当链接使用其它漏洞时,可导致在用户计算机上执行任意代码。”

建议用户立即更新,火狐浏览器的内置更新机制中已提供火狐 67.0.4和火狐 ESR 60.7.2

 

第1个0day用于攻击密币公司

10day (CVE-2019-11707) 的攻击目标是Coinbase 和其它密币公司的员工。该漏洞是一个严重级别的类型混淆漏洞,“由于Array.pop 中存在问题,当操纵 JavaScript对象时就会产生类型混淆漏洞,可导致可遭利用的崩溃情况。”

发现该漏洞的谷歌 Project Zero 团队成员Groß415日将漏洞提交给 Mozilla 公司时表示并未发现漏洞遭利用的情况,不过还指出,虽然该漏洞可别用于远程代码执行,但需要和沙箱逃逸漏洞结合使用才能影响主机操作系统。而这次第20day 漏洞的发现印证了他的想法。

Coinbase 首席安全信息官 Philip Martin 在推特上说明了Coinbase 和其它密币公司是第1个漏洞的受害者。Coinbase 分析攻击之后检测到了第10day并将其告知火狐浏览器。

Martin 进一步指出,这些攻击针对的是员工而非客户,说明攻击的目的很可能是访问企业信息、存储的密币资金或企业网络。他指出如下的 payload 哈希中至少一个是 macOS payload,而且攻击中使用了多个 C&C 服务器 IP 地址:

5/ Hashes (sha1):
b639bca429778d24bda4f4a40c1bbc64de46fa79
23017a55b3d25a2597b7148214fd8fb2372591a5
 
C2 IPs:
89.34.111.113:443
185.49.69.210:80

安全研究员 Vitali Kremez 认为,该攻击很可能是由钓鱼邮件触发的。如果访客访问网站使用的是火狐浏览器,那么可能被重定向到另外一个网页,从而利用0day在电脑上释放恶意 payload

 

从钓鱼邮件到后门

Mac 安全研究员兼 DigitaSecurity 公司的创始人 Patrick Wardle 发布报告更加清楚地说明了用户是如何遭火狐浏览器漏洞攻击的。

Wardle 在文章中指出,有人通过邮件告诉他称遭火狐0day攻击,在 mac 机器上释放了一个程序并执行。该用户还声称最近参与了密币交易活动。Wardle查看了触发这些攻击的钓鱼邮件。邮件内容指出,一个名为 Neil Morris 的“Adam 奖金组织人员”请求从目标处获得帮助。该邮件中包含一个如今无法使用的 urlhttp://people.ds.cam.ac.uk/nm603/awards/Adams_Prize当用户通过火狐浏览器访问该 URL 时,该利用就会在电脑上释放恶意 payload。该恶意应用的名称为 Finder.appVirusTotal 上显示为 Trojan.OSX.Netwire.10000027。该木马是一款远程访问木马,可导致攻击者获取对受影响计算机的访问权限。除了远程访问木马能力外,Netwire 旨在从浏览器中和其它应用程序中窃取信息。

Windows payload 相关的 IOCs

Kremez 表示,Martin 共享的 IOCs 实际上是用于窃取信息的一个 Windows 恶意软件。

Kremez 查看 IOCs 后发现了一款 Windows 信息窃取器,它利用了Martin 提到的用于攻击中的同样的命令和控制服务器 IP 地址89.34.111.113:443。这款恶意软件试图从浏览器和邮件客户端中窃取信息。

这款 PE32 恶意软件中还内嵌“powercat”可执行文件,它将打开一个信道以及反向 shell,返回89.34.111.113:443,而这个 IP 地址也用于攻击 Coinbase 的活动中。

Kremez 还注意到,Martin 提到的另外一个 C2 IP 地址185.49.69.210:80 也出现在火眼公司曾观测到的利用 WinRar ACE 0day 漏洞的攻击活动中。这些攻击下载并将 Netwire RAT 安装到受感染设备中,“解码后,这些命令是 ok ok,我们认为这是默认的 C2 命令。经过一些 C2 通信后,C2 服务器以指令响应,从 hxxp://185.49.71[.]101/i/pwi_crs.exe 中下载该 payload,而它实际上是一个 Netwire RAT。”

最后,Kremez 还指出,从 Mach-O payload 中找到的 hyd7u5jdi8 字符串也出现在一个 Windows payload中,该 payload 通过 CVE-2017-0261-EPS 恢复了“释放后使用 0day 利用”以安装 Netwire

如你所见,发动攻击的幕后黑手似乎一直以来都在利用 0day 漏洞通过后门和信息窃取器攻击受害者。相信更多的安全研究人员将分析这些 IOC,我们将持续关注事态进展。

IOCs 地址:https://twitter.com/VK_Intel/status/1141540229951709184

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多