遠程代碼執(zhí)行漏洞利用

所有的攻擊活動都是通過Chrome瀏覽器執(zhí)行的。雖然研究人員無法獲取漏洞利用的JS代碼，但是研究人員根據相關攻擊活動的時間軸推測出了利用的漏洞——CVE-2021-21224。此外，研究人員還推測攻擊者使用JS文件以及正則測試來開發(fā)漏洞利用，并用于攻擊活動。

權限提升漏洞利用

CVE-2021-31955

CVE-2021-31955漏洞是ntoskrnl.exe中的一個信息泄露漏洞。該漏洞與Windows操作系統(tǒng)的一個特征SuperFetch有關。SuperFetch是在Windows Vista中引入的，旨在通過預加載常用的應用到內存中來減少軟件的加載時間。所以，函數(shù)NtQuerySystemInformation 實現(xiàn)了一個非常特殊的系統(tǒng)信息類——SystemSuperfetchInformation。系統(tǒng)信息類包含了多個不同的SuperFetch信息類。漏洞就存在于NtQuerySystemInformation 函數(shù)返回的 SuperFetch信息類SuperfetchPrivSourceQuery中包含當前執(zhí)行的進程的EPROCESS kernel 地址。

CVE-2021-31955 漏洞存在的MemInfo工具源碼

CVE-2021-31956

CVE-2021-31956漏洞是 ntfs.sys中的一個堆緩存溢出漏洞。函數(shù)NtfsQueryEaUserEaList會處理該文件的一系列擴展屬性，并保存提取的值到緩存中。該函數(shù)可以通過ntoskrnl syscall系統(tǒng)調用訪問，并可以控制輸出緩存的大小。如果擴展屬性的大小不一致，函數(shù)就會計算填充，并把下一個擴展屬性保存為32位。有代碼會檢查輸出緩存是否足以滿足擴展屬性+填充，但是該檢查的代碼并沒有檢查可能存在的證書下溢。因此，基于堆的緩存溢出就發(fā)生了。

NtfsQueryEaUserEaList函數(shù)偽代碼

漏洞利用使用CVE-2021-31955漏洞來獲取EPROCESS結構的kernel地址，可以使用相同的利用技術來竊取SYSTEM token。但是漏洞利用使用了很少見的“PreviousMode” 技術。

惡意軟件模塊

除了之前提到的漏洞利用外，完整的攻擊鏈中包含4個惡意軟件模塊，分別是：

· Stager

· Dropper

· Service

· Remote shell

Stager

Stager模塊是用來通知漏洞利用成功的。此外，該模塊還會從遠處服務器下載和執(zhí)行復雜的惡意軟件釋放器模塊。每個stager 模塊都會有受害者的配置信息，包括C2 URL、session ID、解密下一階段惡意軟件的秘鑰等。

研究人員發(fā)現(xiàn)所有stager模塊樣本都使用了相同的URL地址來下載加密的惡意軟件釋放器模塊——hxxps://p{removed}/metrika_upload/index.php。

Dropper

釋放器模塊是用來安裝偽裝成合法Windows操作系統(tǒng)文件的可執(zhí)行文件。其中一個文件 %SYSTEM%\WmiPrvMon.exe 注冊為服務，用作第二個可執(zhí)行文件的啟動器。第二個可執(zhí)行文件具有遠程shell功能，可以看做是攻擊活動的主要payload。目前還沒有發(fā)現(xiàn)該模塊與其他已知也軟件的相似之處。

Remote shell

遠程shell模塊硬編碼了C2服務器的URL。所有客戶端與C2服務器之間的通信都是經過認證和加密的。遠程shell模塊可以下載和上傳文件、創(chuàng)建進程、休眠特定時間、將自己從被黑的機器上刪除等。

微軟已經在6月的微軟補丁修復了這兩個安全漏洞。

【想領取網絡安全學習資料的點】

總結

以上是生活随笔為你收集整理的Chrome 0 day漏洞利用链的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。