一个奇怪的CVE-2017-11882漏洞样本

阅读量    106352 | 评论 2   稿费 300

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

一、静态分析

近期,CVE-2017-11882漏洞攻击还是很多,各种变异样本层出不穷。近发现又一个CVE-2017-11882文档,为RTF格式文件,通过分析其shellcode,发现作者还是很用心的。

文档打开后,显示的是乱码,如下图所示:

其中,在乱码下面包含三个对象,从左到右分别是Package对象、公式对象和图片。

1、Package对象

最左边对象为Package对象,如下图所示:

查看Package对象属性,其释放到临时目录下,文件名为e.m。

查看%temp%目录,发现下面确实生成一个e.m文件。

查看e.m文件,大小为94720,内容是一堆乱码。

2、公式对象

中间对象是一个windows公式对象,如下图所示:

3、图片

最右边的显示“0”的其实是一个图片,如下图所示:

4、RTFOBJ分析

利用RTFOBJ工具分析RTF文件,发现无法顺利解析该格式,显然作者经过了特殊处理,结果如下图:

 

二、动态分析

利用Process Monitor监控doc文档打开的动作,如下图所示:

具体如下:

1、DOC文档打开后,winword.exe调用EQNEDT32.EXE执行。

2、EQNEDT32.EXE调用运行cmd.exe,具体为: cmd.exe /c %windir%\System32\WindowsPowerShell\v1.0\powershell.exe -ExecutionPolicy Bypass -File X7jnZ.ps1。

3、Powershell.exe执行后,复制InstallUtil.exe和wscript.exe两个文件到临时目录下,并分别保存为mscorsw.exe和winwsh.exe。

"C:\Windows\system32\cmd.exe"  /c copy /y C:\Windows\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe C:\Users\admin\AppData\Local\Temp\mscorsw.exe

"C:\Windows\system32\cmd.exe"  /c copy /y C:\Windows\system32\wscript.exe C:\Users\admin\AppData\Local\Temp\winwsh.exe

4、Powershell.exe创建任务,任务如下:

C:\Windows\system32\schtasks.exe"  /create /sc minute /mo 3 /tn "Security Script kb00588535" /tr "C:\Users\admin\AppData\Local\Temp\winwsh.exe //Nologo //E:vbscript //B C:\Users\admin\AppData\Local\Temp\Win836896.txt" /F

CreateObject(chr(87)&chr(115)&chr(99)&chr(114)&chr(105)&chr(112)&chr(116)&chr(46)&chr(83)&chr(104)&chr(101)&chr(108)&chr(108)).Run """C:\Users\admin\AppData\Local\Temp\mscorsw.exe"" /logfile= /u /LogToConsole=false ""C:\Users\admin\AppData\Local\Temp\tmp_Kquxaf.dat""", 0

创建的任务名为:“Security Script kb00588535”,时间间隔为:3分钟,可执行路径为临时目录下winwsh.exe(其实为wscript.exe),运行的vbs脚本为临时目录下Win836896.txt,文件内容如下:

5、VBS运行

VBS运行后,实际运行的mscorsw.exe(其实为InstallUtil.exe),调用的具体命令如下:

"C:\Users\admin\AppData\Local\Temp\mscorsw.exe"  /logfile= /u /LogToConsole=false "C:\Users\admin\AppData\Local\Temp\tmp_Kquxaf.dat"

其中, tmp_Kquxaf.dat是一个PE文件。修改为EXE文件后,其属性如下图所示:

InstallUtil.exe安装程序工具是一个命令行实用工具,你可以通过此工具执行指定程序集中的安装程序组件,从而安装和卸载服务器资源。程序运行语法如下:


C:\Windows\Microsoft.NET\Framework\v4.0.30319>InstallUtil.exe

Microsoft (R) .NET Framework 安装实用工具版本 4.7.3056.0

版权所有 (C) Microsoft Corporation。保留所有权利。



用法: InstallUtil [/u | /uninstall] [option [...]] assembly [[[option [...]] assembly] [...]]



InstallUtil 执行每个给定程序集中的安装程序。

如果指定 /u 或 /uninstall 开关,则它卸载

程序集;反之,则安装它们。与其他

选项不同,/u 应用于所有的程序集,而不管它出现在命令行上

的位置。



安装程序以事务处理的方式完成: 如果其中的一个

程序集安装失败,则其他的所有安装程序集的安装

都会被回滚。卸载不是按事务处理的。



选项的格式为 /switch=[value]。出现在程序集名称之前的

任何选项都将应用到该程序集的安装。

选项是累积的但可以重写 - 为一个程序集指定的选项

将应用到下一个程序集,

除非为该选项指定一个新值。所有选项的默认设置是空的或为 False,

除非另行指定。



识别的选项:



用于安装任何程序集的选项:

/AssemblyName

 程序集参数将被解释为程序集名称(Name,

 Locale, PublicKeyToken, Version)。

 默认情况下,将程序集参数解释为磁盘上的程序集的文件名。



/LogFile=[filename]

  向其中写入进度的文件。如果为空,则不写入日志。默认为

 <assemblyname>.InstallLog



/LogToConsole={true|false}

 如果为 false,则不向控制台输出。



/ShowCallStack

 如果在安装过程中的任何时候发生异常,则将

调用堆栈输出到日志。



/InstallStateDir=[directoryname]

 要在其中存储 .InstallState 文件的目录。默认为

 程序集的目录。





在程序集中使用的各个安装程序可以识别其他

选项。若要了解这些选项,请在命令行上运行 InstallUtil,并在该命令后面带上

程序集的路径和 /? 或 /help 选项。

因此,上面VBS运行后,其用途竟然是卸载tmp_Kquxaf.dat,好奇怪。这个是什么操作?

把InstallUtil.exe的参数修改为显示控制台,并且保存日志,运行后如下图所示:

我们再来看,如果不加/u参数,也就是非卸载操作,而是安装操作,会如何?运行结果如下图所示:

 

三、网络连接

利用wireshark抓包,发现文档打开后有发起DNS请求www.norejike.com,该域名目前无法解析:

查询域名:

由于无法判断是哪个进程发起的连接请求,于是修改本地hosts文件,让其ip解析为5.5.5.5

接着查看网络连接,发现PID为2532的进程发出了443连接请求,对应的进程是mscorsw.exe进程

根据前面的介绍,其实是tmp_Kquxaf.dat发出的网络操作。

"C:\Users\admin\AppData\Local\Temp\mscorsw.exe"  /logfile= /u /LogToConsole=false "C:\Users\admin\AppData\Local\Temp\tmp_Kquxaf.dat"

 

四、漏洞调试

根据cve-2017-11882漏洞特点,我们直接调试,断点中断在00411658位置,如下图所示:

经过多次的复制操作后,栈溢出被覆盖,此时ESP位置内容为:

其中0x0045159B是返回后的EIP地址,我们查看该处值为0xC3,正式汇编指令retn。

本漏洞是典型的栈溢出漏洞,retn返回后,执行第一段shellcode指令。我们接着查看该shellcode在RTF文档中的位置,在位置在0x000427EB处,如下图所示:

接下来,进行shellcode的解密操作:

循环解密指令的长度为0x16CB,shellcode的密码位置在RTF文档的0x4287B处,如下图所示:

经过xor 0Xb6解密操作后的shellcode如下图所示:

该段shellcode执行后,动态获取需要调用的函数。接下来是获取e.m(Package对象)在临时目录的全路径:

然后是对e.m文件进行解密操作,大小为0x17200,如下图所示:

e.m解密后是一个PE文件,如下图所示:

接着判断解密后的内容是否为合法的PE文件,如下图所示:

然后在内存中运行该PE文件。

我们直接从内存中把解密后的PE文件导出到本地文件,并保存为mem.pe.exe,其属性如下:

该PE文件其实是一个标准的windows系统CAB自解压安装文件,在文件中找到自安装运行的可执行路径为:cmd.exe /c %windir%\System32\WindowsPowerShell\v1.0\powershell.exe -ExecutionPolicy Bypass -File X7jnZ.ps1,如下图所示:

我们用winrar解压缩,发现文件里面就包含一个X7jnZ.ps1文件,是Powershell运行脚本。

终于X7jnZ.ps1文件发现了,我们来看其具体内容:

直接利用powershell执行该脚本,结果如下:


powershell.exe -ExecutionPolicy Bypass -File X7jnZ.ps1

已复制         1 个文件。

powershell.exe : Get-Process : 找不到名为“avp”的进程。请验证该进程名称,然后再次调用 cmdlet。

所在位置 行:1 字符: 15

+ powershell.exe <<<<  -ExecutionPolicy Bypass -File X7jnZ.ps1

    + CategoryInfo          : NotSpecified: (Get-Process : 找...,然后再次调用 cmdlet。:String) [], RemoteException

    + FullyQualifiedErrorId : NativeCommandError



所在位置 行:53 字符: 20



+     $avp = Get-Process <<<<  -Name avp



    + CategoryInfo          : ObjectNotFound: (avp:String) [Get-Process], Proc



   essCommandException



    + FullyQualifiedErrorId : NoProcessFoundForGivenName,Microsoft.PowerShell.



   Commands.GetProcessCommand







Get-Process : 找不到名为“avpui”的进程。请验证该进程名称,然后再次调用 cmdlet



。



所在位置 行:54 字符: 22



+     $avpui = Get-Process <<<<  -Name avpui



    + CategoryInfo          : ObjectNotFound: (avpui:String) [Get-Process], Pr



   ocessCommandException



    + FullyQualifiedErrorId : NoProcessFoundForGivenName,Microsoft.PowerShell.



   Commands.GetProcessCommand







已复制         1 个文件。

成功: 成功创建计划任务 "Security Script kb00588535"。

成功: 尝试运行 "Security Script kb00588535"。

再次调用,会报错说tmp_Kquxaf.dat被占用,无法写入文件,因此,tmp_Kquxaf.dat文件也是X7jnZ.ps1脚本运行后释放出来的。此外,X7jnZ.ps1脚本还复制InstallUtil.exe和wscript.exe两个文件到临时目录下,并分别保存为mscorsw.exe和winwsh.exe,之后创建计划任务并启动,动作和动态分析一致。

至此,样本执行后的动作基本分析完毕。

 

五、tmp_Kquxaf.dat初步分析

上文说到VBS脚本用途竟然是卸载tmp_Kquxaf.dat很奇怪。接下来分析一下tmp_Kquxaf.dat的作用。tmp_Kquxaf.dat是.net程序,当调用-u卸载的时候调用Uninstall函数,该函数的作用是创建互斥变量,并调用并运行函数GoCode.Exec(),如下图所示:

我们来看GoCode类,根据其函数名和相关的变量,看出该类功能应该是内存执行shellcode。

在IDA中查看EXEC函数,该函数先对shellcode字符串进行处理,shellcode字符串如下图所示:

然后对上述字符串进行base64解码,再利用CreateRemote创建线程执行,如下图所示:

六、结语

本文主要分析了一个CVE-2017-11882样本,该样本总结起来有以下几个特点:

1、样本自身包含恶意代码,没有利用远程下载的方式,避免winword打开后直接访问网络。

2、样本shellcode功能较为复杂,包含API地址获取、解密、内存加载运行等。

3、奇怪的一些点是,创建的任务每隔3分钟运行,有点太频繁;访问的域名目前未启用,该样本难道是测试作用?

IOCS:

Virus.doc:4a639d907a9e5401c3f7b26d65ca4b4ca5e8feb3406739afd9d7bcb126c50467(virustotal:19 engines detected this file)

tmp_Kquxaf.dat:c2e92ca88cac02a17232006b869a44d8b1686c8955cdb4ff7e7c717d3aa20a09(virustotal:26 engines detected this file)

X7jnZ.ps1:140bd1c5b0162b359db20eaef888ceb106cdca0fab234999aae1ce99f18d5800(virustotal:No matches found)

Pe.mem.exe:0be1b9ec479ddd3be6ef6b76068100ec3c00d2a4148d6dab402af88489b75aee(virustotal:No matches found)

domain:www.norejike.com

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多