標籤: 概念驗證

《概念驗證》惡意軟體如何利用Intel的SGX Enclaves躲避防毒軟體偵測 ?

趨勢科技 TrendMicro

惡意軟體可以利用Intel 的軟體保護擴展（SGX）功能來躲避防毒（AV）軟體偵測。格拉茨科技大學的研究人員Michael Schwarz，Samuel Weiser和Daniel Gruss在最近證明了這一點。

SGX在2015年隨著第六代Intel Core處理器推出，存在於Intel的Core和Xeon處理器並支援各種硬體。它是中央處理器（CPU）指令集的架構擴展，用來保護資料不被洩露或修改。作法是讓應用程式能夠分區和分配記憶體區域，加密內容（如密碼、使用者資料）及限制對它們的存取。這是種非對稱保護，也就是說，作業系統或使用者應用程式不能存取安全區（enclave，Intel稱為指定位址空間）資料，但安全區（enclave）可以存取外部虛擬空間。

[相關新聞：SgxPectre可以從Intel SGX Enclaves取出資料]

根據研究人員的說法，駭客可以利用安全區（enclave）來隱藏惡意軟體。例如將勒索病毒的加密金鑰藏在記憶體內，讓系統更難修復。還可以用來執行未經授權的操作，如發送網路釣魚(Phishing)郵件和啟動分散式阻斷服務攻擊(DDoS)攻擊。駭客可以將惡意程式碼（如下載器）藏在受保護的安全區（enclave），讓惡意軟體解決方案無法觸及，同時可以下載並執行加密過的任意惡意程式碼。

繼續閱讀

Microsoft Office線上影片功能,被散播 URSNIF 資料竊取病毒

趨勢科技 TrendMicro

在10月下旬，Cymulate的安全研究人員展示了一個攻擊邏輯漏洞的概念證明樣本（PoC），讓駭客可以利用 Microsoft Office 的線上影片功能散播惡意軟體。我們在 VirusTotal 上找到一個真實病毒（趨勢科技偵測為TROJ_EXPLOIT.AOOCAI），會利用此手法來散播URSNIF資料竊取病毒（TSPY_URSNIF.OIBEAO）。

惡意軟體的感染媒介為何？

因為此種攻擊使用特製的Word文件，所以它可能會透過其他惡意軟體或作為垃圾郵件附件檔或連結/網址來進入使用者系統。

此漏洞會影響Microsoft Word 2013及後來的版本。概念證明樣本和真實病毒都是用Microsoft Word 的 DOCX 檔案類型，這是種能夠包含文字、物件、樣式、格式和圖片的XML檔案。它們儲存成分別的檔案並封裝成ZIP壓縮的DOCX檔案。

圖1：概念證明樣本（左）和真實病毒（右）感染鏈的比較

 

概念證明樣本和真實病毒的運作模式？

概念證明樣本和真實病毒利用了Microsoft Office內嵌線上影片功能的邏輯錯誤，這功能可以讓使用者嵌入外部來源（如YouTube或其他類似媒體平台）的線上影片。

概念證明樣本是將線上影片嵌入文件後再修改檔案內的XML完成。如Cymulate所示，它的作法包括：

  • 修改文件副檔名（從DOCX改成ZIP）。
  • 取出壓縮檔內的檔案。
  • 找出XML檔案內的可用來加入惡意腳本或網址的標籤（embeddedHtml）。請注意，修改embeddedHtml參數內的網址後，點擊文件內影片的任何位置都會自動將使用者導到指定的網址。
  • 修改embeddedHtml內的腳本來初始化和部署後續病毒。

繼續閱讀

HID門禁控制器的遠端管理漏洞威脅更新

趨勢科技 TrendMicro

趨勢科技想要提醒客戶一些關於HID門禁控制器遠端管理漏洞的最新發展。

你可能還記得，在2016年3月30日，我們的零時差計劃（ZDI）發表了一篇關於Rocky “HeadlessZeke” Lawshae與我們DVLabs團隊所發現漏洞的公告。這是HID VertX和Edge門禁控制器的遠端管理漏洞。如果遭受攻擊，此漏洞可能讓攻擊者完全控制系統。就實際狀況而言，這代表攻擊者可以取得送至門禁控制器系統的網路封包，有效地攻破系統並進行包括開鎖在內的動作。

幸運的是，廠商在趨勢科技披露時已經提供了修補程式給受影響的系統。

但因為趨勢科技的披露，我們已經看到有研究人員做出可用來找出有漏洞系統的概念證明(概念驗證)程式碼。

我們尚未知道是否有針對這些系統的攻擊出現。但概念證明程式碼的出現的確會使攻擊此漏洞的可能性增加：惡意分子可能會利用概念證明程式碼所提供的資訊來開發出有害或惡意的程式碼。

任何尚未更新此漏洞修復程式的HID VertX或Edge系統使用者都應該馬上進行部署。如果你是趨勢科技的TippingPoint客戶，在測試與部署HID VertX或Edge門禁系統修補程式前，可以透過2015年9月22日就提供的數位疫苗過濾器20820來獲得保護。

 

 

＠原文出處：Threat Update on Remote Root Vulnerability in HID Door Controllers作者：Christopher Budd（全球威脅交流）