• 我们在哪一颗星上见过 ,以至如此相互思念 ;我们在哪一颗星上相互思念过,以至如此相互深爱
  • 我们在哪一颗星上分别 ,以至如此相互辉映 ;我们在哪一颗星上入睡 ,以至如此唤醒黎明
  • 认识世界 克服困难 洞悉所有 贴近生活 寻找珍爱 感受彼此

恶意代码漏洞分析:CVE-2021-40444

恶意代码漏洞分析 云涯 3年前 (2021-10-09) 2673次浏览

漏洞概述

2021 年 8 月 21 日,MSTIC 观察到一名 Mandiant 员工在社交媒体上发布的帖子,该员工具有跟踪 Cobalt Strike Beacon 基础设施的经验。所写文章重点介绍了一个于 2021 年 8 月 19 日上传到 VirusTotal的 Microsoft Word 文档(SHA-256:3bddb2e1a85a9e06b9f9021ad301fdcde33e197225ae1676b8c6d0b416193ecf)。

MSTIC 对样本进行了分析,确定了文档中的异常对象,认为可能是未公开的漏洞。MSTIC 立即与 Microsoft 安全响应中心联系,并开始进行补丁工作。在此过程中,MSTIC 与 Mandiant 的原始发现者合作,减少对该问题的公开讨论,并避免在可用补丁之前引起威胁发起者对此问题的关注。Mandiant 与 MSTIC 合作并进行了逆向评估,并将他们的发现提交给 MSRC(Microsoft Security Response Center)

2021 年 9 月 7 日,Microsoft 发布了针对 CVE-2021-40444 的安全公告,其中包含部分解决方法。与此同时,第三方研究人员向微软报告了来自 Mandiant 最初共享的同一活动的样本。该样本于 9 月 8 日公开披露,并且观察到在 24 小时内的漏洞攻击有所增加。

IMG_256

CVE-2021-40444的利用链如下:首先请求目标链接下载一个cab临时文件,通过目录遍历漏洞保存inf文件在固定路径,然后通过url scheme(通过 url 可以启动某一个本地的应用程序)执行cpl文件的方式执行恶意inf文件。

漏洞分析

漏洞原理

  1. urlmon!DeleteExtractedFiles函数会删除下载的inf文件,如何规避?
  2. urlmon!RemoveDirectoryA函数会删除缓存inf文件的文件夹,如何规避?

mshtml下载cab临时文件后,Urlmon!GetSupportedInstallScopesFromFile函数中对cab包进行处理。在GetSupportedInstallScopesFromFile中先是通过Urlmon!GetExtnAndBaseFileName判断传入文件的后缀名,如果是“.cab”则返回2。之后通过urlmon!CreateUniqueCabTempDir为cab创建临时目录。

临时目录创建成功后,通过urlmon!ExtractInfFile来解压cab文件,提取其中的inf文件。在urlmon!ExtractInfFile函数中,urlmon!GetExtnAndBaseFileName函数判断提取是否为inf文件,再通过 urlmon!ExtractOneFile函数解压文件。

在urlmon!ExtractOneFile函数中,通过urlmon!Extract解压cab文件,其中传递给urlmon!Extract函数的参数为“../championship.inf”,也是cab文件中inf的构造的文件名称。其中urlmon!Extract函数会调用cabinet.dll对cab文件进行解压写入内存。

在调用cabinet.dll将inf文件写入内存时,攻击者伪造inf文件尺寸为0x415c00,远远大于真实inf文件尺寸,这就导致在调用cabinet!FDIGetFile函数时触发异常,不清理针对该文件在内存中的各种信息。

处理inf文件后,cabinet模块回调urlmon!fdiNotifyExtract函数,通过urlmon!catDirAndFile函数为inf文件生成路径,通过urlmon!Win32Open函数创建文件。

在urlmon!catDirAndFile函数生成文件路径时,没有对文件名进行验证,导致目录遍历,实际生成的为C:\User\ADMIN~1\AppData\Local\Temp\CabFB8D\../championship.inf。这就导致最后创建的文件驻留为C:\User\ADMIN~1\AppData\Local\Temp\championship.inf。因此规避了urlmon!RemoveDirectoryA函数删除临时目录的风险。

urlmon在处理cab文件后,会将缓存目录与文件进行删除。首先通过urlmon!DeleteExtractedFiles函数删除缓存文件,但是由于在调用cabinet模块时异常,内存中针对inf文件的信息没有清理,导致没有执行DeleteFileA函数,因此保留了inf文件,实现了文件驻留

恶意的javascript通过url scheme机制侧加载恶意inf文件。其中,在mshtml!ShellExecURL函数中,可以直接通过shell32!ShellExecuteW执行inf文件。

Urlmon!catDirAndFile补丁

2021年9月15日微软发布了月度补丁,修补了该漏洞。主要是修补了urlmon.dll中catDirAndFile函数目录遍历漏洞,增加了字符替换,将“/”替换成“\”,同时利用PathIsPrefixA判断下载的文件路径是否和生成的缓存路径一致,不一致则无法创建inf文件。

mshtml!ShellExecURL补丁

在mshtml!ShellExecURL函数中,ShellExecuteW函数执行前增加了一些的检查,利用mshtml!IsValidSchemeName函数对执行的路径进行检查,保证只有字母开头,十进制和ascii字符文件路径才能执行,使“.cpl”这类路径无法执行了。

其他

变种

目前的变种趋向于利用十六进制和字符串进行防检测。

Yara

针对恶意文件检测

Yara结合python脚本进行检测。

rule xml_encoded_2021_40444 : Windows CVE {

meta:

description = “Detects possible CVE-2021-40444 with no encoding, HTML/XML entity (and hex notation) encoding, or all 3”

strings:

$xml = “<?xml” ascii wide

$mhtml = /Target\s*=\s*\”([Mm]|&#(109|77|x6d|x4d);)([Hh]|&#(104|72|x68|x48);)([Tt]|&#(116|84|x74|x54);)([Mm]|&#(109|77|x6d|x4d);)([Ll]|&#(108|76|x6c|x4c);)(:|&#58;|&#x3a)/ ascii wide

$targetmode = /TargetMode\s*=\s*\”([Ee]|&#(x45|x65|69|101);)([Xx]|&#(x58|x78|88|120);)([Tt]|&#(x74|x54|84|116);)/ ascii wide

condition:

filesize < 500KB and $xml in (0..50) and $mhtml and $targetmode

}

/*

xml_encoded_2021_40444 .\document.xml.rels

0x442:$xml_e: Target=”&#109;&#104;&#116;&#109;&#108;&#58;&#104;&#116;&#116;&#112;

0x442:$xml_r: Target=”&#109;&#104;&#116;&#109;&#108;&#58;

0x62d:$t_mode_e: TargetMode=”&#x45;&#x78;&#x74;&#x65;&#x72;&#x6e;&#x61;&#x6c;”

0x62d:$t_mode_r: TargetMode=”&#x45;&#x78;&#x74;

*/

rule xml_obfus_hunting_1 {

meta:

author = “James E.C, Proofpoint”

description = “Suspicious leading 0’s in XML entity encoding”

credit = “@DissectMalware, @cyb3rops”

strings:

$xml = “<?xml” ascii wide

$leading_1 = “&#00” ascii wide

$leading_2 = “&#x00” ascii wide

condition:

filesize < 500KB and $xml in (0..50) and 1 of ($leading_*)

}

最新事件

2021年9月中旬,卡巴斯基观察到攻击者试图利用 CVE-2021-40444 漏洞攻击研发部门、能源部门和大型工业部门、银行和医疗技术开发部门以及电信和 IT 部门的公司。

2021年9月22日,Malwarebytes安全研究员发现黑客利用CVE-0-40444漏洞攻击俄罗斯政府,包括内政部和国家火箭中心。研究人员指出,针对俄罗斯实体发起网络犯罪的证据很少见。考虑到攻击者的目标是该国的太空/火箭开发商,有可能是国家支持的APT组织实施了这些网络攻击,其中恶意文档访问http://trendparlye[.]com/wiki0509[.]html加载恶意js代码,并下载http://trendparlye[.]com/task[.]cab,最后加载小型载荷task.inf(658efec066088e3f4558b9f2b3a57604),最后载荷为topbar.png (0cf9f934bfa992a48e21bf96852f174a),其中最后载荷c2为https://ilivesuite[.]com/wp-includes/kjiusg.php、https://dubbingking[.]com/wp-content/plugins/elementor/kjiusg.php、https://ricardodelahoz[.]com/wp-content/plugins/LayerSlider/z98unxk.php。

IMG_256

已发现的相关恶意文档

84674acffba5101c8ac518019a9afe2a78a675ef3525a44dceddeed8a0092c69

2e068beb40f8901b698d4fc2f5766564c8324d5ba95fb0a0ffa841f5da5c7e72

199b9e9a7533431731fbb08ff19d437de1de6533f3ebbffc1e13eeffaa4fd455
34ec4f2defd549b7c9a026b5498d09f5595ffe1396fe56509743820f20c610be
3bddb2e1a85a9e06b9f9021ad301fdcde33e197225ae1676b8c6d0b416193ecf
5b85dbe49b8bc1e65e01414a0508329dc41dc13c92c08a4f14c71e3044b06185
5e6e8883173603a0b3811302ee14a14c4f5708f1b756f2906a0749dd2fd1cfa0
938545f7bbe40738908a95da8cdeabb2a11ce2ca36b0f6a74deda9378d380a52
a5f55361eff96ff070818640d417d2c822f9ae1cdd7e8fa0db943f37f6494db9
cb85def3a47325722d0f87adb1975f6536de09095c1af6229bdb12b7fc32423b
d0e1f97dbe2d0af9342e64d460527b088d85f96d38b1d1d4aa610c0987dca745
e48f134c321fdc31a646e747993b1592f576519d7ebbc0ae9b0eac7337eaf422

参考链接

  1. https://mp.weixin.qq.com/s/q0lbegDjLViLI48N6RjGVw?scene=21#wechat_redirect
  2. https://mp.weixin.qq.com/s/6q9fbggpkhd4PtwnghvZgg?scene=21#wechat_redirect
  3. https://mp.weixin.qq.com/s/hHlscdLIvO0BY173ksq8vA
  4. https://mp.weixin.qq.com/s?__biz=Mzg3MTU0MjkwNw==&mid=2247484605&idx=1&sn=353e8ac03a9cca128e029b0054c2823e&chksm=cefdbda9f98a34bf8cc502d421b0459753ee39d38c01ad02e529a3b4a90fecf172addffcb680&scene=178&cur_album_id=2055944212667219970#rd
  5. https://paper.seebug.org/1718/
  6. https://paper.seebug.org/719/
  7. https://blog.malwarebytes.com/reports/2021/09/mshtml-attack-targets-russian-state-rocket-centre-and-interior-ministry/
  8. https://www.virustotal.com/gui/search/cve-2021-40444/comments
  9. https://www.sentinelone.com/blog/peeking-into-cve-2021-40444-ms-office-zero-day-vulnerability-exploited-in-the-wild/
  10. https://twitter.com/h2jazi/status/1438602462231941122

云涯历险记 , 版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明原文链接:恶意代码漏洞分析:CVE-2021-40444
喜欢 (0)