在上個月,網絡安全公司趨勢科技( Trend Micro)發現了一種能夠利用Adobe Flash和IE瀏覽器最新漏洞的新型漏洞利用工具包,名為“Capesand”。
分析顯示,Capesand集合了大量在網上就可以找到的漏洞利用代碼,其中一個IE瀏覽器漏洞甚至是在2015年被公開披露的,距今已近5年的時間。
發現過程
在10月中旬,趨勢科技發現了一場利用Rig漏洞利用工具包來傳遞DarkRAT和njRAT惡意軟件的惡意活動。
但到了10月底,重定向不再指向Rig漏洞利用工具包,而是一種此前從未被公開披露過的漏洞利用工具包——Capesand。
與其他工具包相比,Capesand漏洞利用工具包的代碼非常簡單,幾乎全都是從網上覆制過來的,就連混淆和打包技術也都是直接照搬。
惡意活動
惡意網站偽裝成一個討論“區塊鏈”的博客網站,但實際上包含一個隱藏的iframe,用於加載漏洞利用工具包。
在10月中旬,隱藏的iframe加載的是Rig漏洞利用工具包。到了10月底,iframe被更改為了加載“landing.php”——託管在同一臺服務器上的Capesand。
Capesand漏洞利用工具包
通過Capesand的面板,攻擊者可以下載前端源代碼、部署自己的服務器,以及查看當前的使用狀態。
前端源代碼看上去與被命名為“Demon Hunter”的老舊漏洞利用工具包的源代碼非常類似,這使得趨勢科技相信它很有可能就是Capesand的前身。
除了能夠利用Adobe Flash漏洞CVE-2018-4878以及IE瀏覽器漏洞CVE-2018-8174之外,Capesand還能夠利用CVE-2019-0752,這是一個在今年4月份才被公開披露的IE瀏覽器漏洞。
隨著調查的深入,趨勢科技還發現了一個能夠利用IE漏洞CVE-2015-2419的Capesand版本。
Capesand攻擊鏈
通過Capesand成功利用漏洞之後,第一階段將下載mess.exe並嘗試利用CVE-2018-8120升級特權,然後執行njcrypt.exe以釋放最終有效載荷(如njRAT)。
模塊CyaX_Sharp.dll會生成一個配置文件來跟蹤受感染計算機的配置,並檢查殺毒軟件ESET是否存在。
結論
儘管Capesand漏洞利用工具包目前仍處於開發階段,但已經具備了能夠入侵目標計算機的能力,且試圖通過蹭一些社會熱點(如“區塊鏈”)來吸引更多的受害者。
此外,儘管它利用的都是一些已知漏洞,但通過檢查一些殺毒軟件的存在,仍能夠將檢出率控制在最低。
閱讀更多 黑客視界 的文章