破壳漏洞(CVE-2014-6271)综合分析:“破壳”漏洞系列分析之二


发布人:admin分类:网络安全浏览量:36发布时间:2017-12-12

一、“破壳”漏洞概述

我们团队于9月25日10时发布了《“破壳”漏洞(CVE-2014-6271)综合分析》,并更新了多个版本。在这个过程中,我们的监测采集和样本交换体系发现了大量利用该漏洞的扫描攻击、后门投放等行为,并发现了多个与此漏洞相关的恶意代码。

二、网络数据包

基于漏洞的特点,我们利用与高校联合部署的“探云“体系等进行了流量监测。发现了捕获了部分网络攻击行为,下面列举一个攻击包进行说明:

从数据包信息可知:

主要攻击载荷位于User-Agent信息,由于相关漏洞利用原理在《“破壳”漏洞(CVE-2014-6271)综合分析一》中都已分析过,我们不再赘述。从攻击载荷中我们可见,下载regular.bot文件到/tmp目录,命名为sh文件,并执行这个文件,执行中去下载了其它恶意代码文件,然后删除此文件。

用于攻击的sh文件和再次下载的恶意代码文件,都针对Linux\Unix\Mac OS等目标系统,格式为:ELF文件或perl、bash脚本。

针对CGI-BASH的利用漏洞的传播方式非常好实现,几句脚本就能够完成,核心是运用构造好的Http头,针对不同的IP进行探测,IP只要在Host信息更换即可。

三、相关恶意代码

3.1 恶意代码信息

1. 恶意代码信息:

2.样本分析卡片

3.2 恶意代码流程分析

安天“探云”系统及形成部署的VDS网络病毒监控设备均捕获到大量攻击包。通过对其中的攻击载荷的提取,发现存在大量自动的重复载荷投放。例如第二章中的数据包中的载荷就存在大量重复投放的现象。这样便可实现批量的攻击。下面以第二章所列出的数据包的相关攻击过程为例,分析其攻击和使用相关样本的作业过程。图3-1中4个相关样本均为僵尸网络程序,得出攻击者是将不同操作系统、运行环境下编译的同一源程序文件进行投放,以达到能够感染Linux、Mac及支持gcc或Perl环境的相关系统。

图3‑1漏洞与样本作业流程图

四、恶意代码同源性分析

为了适应32位与64位结构,在两种版本的操作系统上都能够运行,攻击者进行了同一源码的多次的编译。为了能够躲避反病毒软件的检测查杀,攻击者也进行了简单的混淆。但无论是不同版本编译,还是做各种混淆,攻击者基于同一源码所做的程序文件仍能够找到共同点,这些共同点为我们确定同源性提供了便利。具体见图4-1,我们发现在两个不同事件中的6个“破壳”投放的Bot具有同源性。

图4‑1恶意代码同源性分析图

五、走出蠕虫地带(代小结)

我们在《“破壳”漏洞(CVE-2014-6271)综合分析》(《破壳》三部曲之一)报告中指出“破壳”漏洞“易于利用其编写蠕虫进行自动化传播,同时也将导致僵尸网络的发展”。几年来,尽管我们捕获的蠕虫样本数量还在持续增长,但其中真正有重大影响力的蠕虫确实并不多见。但今天,我们看到了“蠕虫”这个熟悉而陌生的老对手,借助“破壳”漏洞借尸还魂。如果说技术的发展是一个上升的螺旋,在某一时刻会表现出“高阶重复”的话,那么威胁的演进何尝不是如此呢?

反病毒工作者和反病毒产品为消亡蠕虫进行了很多尝试,但蠕虫大面积减少的更大原因还是其生态的变化。Windows系统控制Outlook的外部调用,沉重打击了邮件蠕虫的传播;DEP、ASLR、UAC等机制的引入,大大降低了扫描溢出型蠕虫传播的效果;对自动播放的控制,又降低了U盘传播。而从另一个角度看,随着漏洞私密化、攻击定向化的趋势,有编写蠕虫价值的漏洞,都被攻击者深藏武库,谨慎使用。而同时,一些僵尸网络的控制者,也逐渐把利用蠕虫的方式扩展规模,改为捆绑和FAKEAV等其他方式。

关于“心脏出血”是三年来最严重的漏洞定性后不过半年,“破壳”漏洞突然曝光,然不过几日:CVE-2014-6271、CVE-2014-7169、CVE-2014-7186、CVE-2014-7187、CVE-2014-6277接踵而至。严重漏洞的披露,经常有示范和攀比效应,这是我们暂时能想到的“扎堆到来”的成因。每个地震都有连锁余震,之后群鸦漫天。

同时,站在一个更熟悉Windows的安全团队视角看Linux/MacOS,无疑会有很多茫然,重新编译带来诸多的不变,大量版本带来的碎片化,又给修补带来了很多不确定性。而自带的编译器和丰富的脚本则既是程序员的舞台,也是攻击者的土壤。我们在Windows攻防中,也经常可见BAT和VBS脚本,但通常都是配角而非恶意代码功能主体。而除非目标是代码污染,把一段C++源码或者工程丢到被攻击者的场景中去编译的行为更非常罕见。而本报告中的gcc源码和perl脚本,则价值完全不同,而这种模式在过去和未来也都并不陌生。这个方式既符合场景特点,同时也是一个轻量级的“免杀”。而未来Linux/MacOS将是重要的攻防战场,尽管相关恶意代码的加壳、混淆工具和Windows下大量的地下壳、商用壳相比还那样简单幼稚,但一切早已经开始了。

谨把我们的工作献给我们家人、我们的战友和我们的祖国。

附录:参考资料

[1] 安天实验室:《"破壳"漏洞(CVE-2014-6271)综合分析》

http://www.antiy.com/response/CVE-2014-6271.html

[2] 知道创宇:《破壳漏洞(ShellShock)应急概要》

http://blog.knownsec.com/2014/09/shellshock_response_profile/

[3] 知道创宇:《Bash 3.0-4.3命令执行漏洞分析》

http://blog.knownsec.com/2014/09/bash_3-0-4-3-command-exec-analysis/

[4] First Shellshock botnet attacksAkamai  US DoD networks

http://www.itnews.com.au/News/396197,first-shellshock-botnet-attacks-akamai-us-dod-networks.aspx

[5] Linux ELF bash 0day(shellshock): The fun has only just begun…

http://blog.malwaremustdie.org/2014/09/linux-elf-bash-0day-fun-has-only-just.html

[6] 安天实验室:《走出蠕虫木马地带『AVER反思三部曲之二』》

http://www.antiy.com/presentation/Methodology_AVER_Introspection_Trilogy_II.htm


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21230194(PV) 页面执行时间:275.361(MS)
  • xml
  • 网站地图