欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

Sundown攻击套件的升级

来源:本站整理 作者:佚名 时间:2019-01-15 TAG: 我要投稿

Exploit Kit行业目前正在发生新的调整,原先许多具有攻击性的漏洞攻击套件或者消失,或者市场份额减少,比如Nuclear EK和AnglerEK这样的行业大鳄几乎在同一时间消失了,我们推测这可能与相关的俄罗斯黑客组织被捕有关。
目前网络上,被黑客利用最多的是Neutrino,RIG和Sundown,它们被用于勒索软件传播等黑客攻击。
什么是Sundown?
Sundown是近两年才异军突起的漏洞利用套件,填补了Angler和Nuclear这些大鳄的空缺。早在2015年,安全研究人员就已经发现了Sundown,但当时Sundown还并不是很起眼。现在随着Sundown EK的兴起,其开发者也对这个套件进行了不断的升级,以不断满足各种攻击的需求。
但由于Sundown开发时间较短,还缺乏其他大型漏洞利用套件的复杂性,另外在其Sundown的攻击代码中还出现了很多简单的,易于被检测到攻击标识符,所以Sundown EK也在这些方面进行了大量的升级。比如研究者发现,近期Sundown已经批量购买了很多到期的域名。
正在进行的升级
比如,为了提高攻击效率,Sundown的开发人员曾将控制面板和DGA算法部分外包给了一家叫做”YBN(Yugoslavian Business Network)”的组织,同时他们还移植了大量其他套件里面的漏洞利用代码。
Sundown包含了从Angler中移植的CVE-2015-2419代码,RIG的Silverlightexploit CVE-2016-0034,Hacking Team的CVE-2015-5119以及Magnitude 的CVE-2016-4117。
Sundown登陆页会进行简单的浏览器环境检查,不同的环境执行不同的payload,另外Sundown还曾经利用了许多Adobe Flash的漏洞。
直接访问Sundown登陆页会得到一个html页面,里面的数据解密后得到YBN组织的标志:

YBN组织的标志,而不包含恶意代码,只有请求中包含特定HTTP Referer才能攻击成功。

但由于这些移植过来的套件代码很容易在HTTP标头以及组织标识中被发现,而这些标识又是Sundown URL的用户用于经常浏览的。所以在过去几个月,这些移植过来的套件代码已经被Sundown的研发人员删除了。如下图所示,用于清楚识别YBN的HTTP标头现在已经没了。

原先可以识别出YBN的版本

目前没有YBN的登陆页版本
此外,如果用户尝试浏览登陆页网址,那么他们将会得到“HTTP 404”这样的错误提示。但是,与登陆页有关的其他更重要的升级正在进行中。以下是几个月前从Sundown看到的原始登陆页面。

这与RIG攻击套件有一些显着的相似之处,包括所有使用基于base64编码的文本块的三个变量。这非常类似于RIG使用's'变量,这些变量也涉及检索恶意swf文件。除此之外,我们还发现了Sundown使用了几种其他类型的混合代码,其中包括许多不同的字符。下面的例子显示了使用ASCII chr()语法来作为混淆模式,这些都是在查看混淆代码时发现的常见技术。

原先的登陆页有很多变化,第一个变化可以在上面这个图中看到。Sundown的研发者现在已经对很多个移植过来的标识符进行了修改,比如,使用's'变量已被替换为随机字符串了。

从上图中,我们可以看到使用ASCII chr()的字符已被替换成十六进制的了,最近的Sundown登陆页的相关代码中有很多注释。

Sundown已经开始使用Lorem Ipsum的文本。 Lorem Ipsum是一篇常用于排版设计领域的拉丁文文章,主要的目的为测试文章或文字在不同字型、版型下看起来的效果。基本上,Sundown登陆页面充满了随机的文字评论,以进一步试图阻碍分析。
回到Sundown登陆页面的解码版本,我们可以看到与利用页面的URL结构相关的其他几个更改。以前,Sundown使用的是数字子文件夹(即'/ 12346 /')和具有适当扩展名的数字文件名(即'/496.swf')。现在较新版本的Sundown对其进行了更改,下图就显示的是恶意Flash文件的其中一个请求。

语法现已更改为仅使用数字字符串作为查询请求“/ 7 /”的子文件夹,一些请求还将包括ID参数,此外,不再包含扩展。目前,我们还没有发现任何Silverlight漏洞,这表明Sundown已经放弃了试图利用Silverlight浏览器插件中的漏洞。日前,许多利用Silverlight的工具已经添加了一个基于公开PoC的Microsoft Edge漏洞。因为在目标网页本身还有另一个PoC存在的漏洞,所以这是Sundown中唯一的浏览器漏洞利用。
Sundown目前似乎仍然正在利用CVE-2016189,这是Internet Explorer和Windows的JScript和VBScript脚本引擎中的远程执行代码漏洞。在我们对漏洞套件登陆页的分析中,发现了另一个编码的漏洞利用页面。

[1] [2] [3]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载