Sicherheitsanfälligkeit in .NET Framework bezüglich Remotecodeausführung (CVE-2017-8759) ist eine Code-Injection-Schwachstelle im SOAP wsdl Parser des .NET Frameworks. Diese Sicherheitslücke war ein Zero-Day-Angriff, als sie entdeckt wurde. Quick Heal Security Labs hatte beratend im September 2017, um das Problem zu beheben. Diese Sicherheitslücke ermöglicht es Angreifern, Remotecode einzuschleusen und auszuführen, wenn der WSDL-Parser die bösartige SOAP-Antwort verarbeitet. Diese Sicherheitslücke wurde gepatcht von Microsoft am 12. September 2017. Quick Heal Security Lab beobachtet eine laufende Malspam-Kampagne, die diese Sicherheitsanfälligkeit ausnutzt. Diese Malspam-Kampagne verwendet eine schädliche RTF-Datei als Anhang und nutzt CVE-2017-8759 aus, um Infostealer-Malware zu verbreiten.
Angriffskette
Abb. 1. Angriffskette
Technische Details
Diese Sicherheitslücke (CVE-2017-8759) wird durch unsachgemäße Handhabung der SOAP-WSDL-Antwort ausgelöst und führt zur Remote-Codeausführung. Angreifer nutzen manipulierte RTF-Dateien, um die Sicherheitslücke auszunutzen. Diese RTF-Datei enthält ein eingebettetes OLE-Objekt mit SOAP-Moniker CLSID und einem Link zu einer remote gehosteten SOAP-WSDL-Definitionsdatei, wie in Abb. 2 dargestellt. In diesem Fall hatte der Angreifer alle Nutzdaten auf dem kompromittierten Server gehostet. WordPress Webseite.
Abb. 2. RTF-Dokument mit eingebettetem OLE-Objekt verweist auf WSDL-SOAP-Definition
RTF-Exploit-Analyse
Der Angriff in dieser Kampagne beginnt mit einer Spam-E-Mail mit dem Exploit-RTF-Dokument im Anhang. Diese RTF-Datei hat einen ähnlichen Inhalt wie in Abb. 2. Beim Öffnen der RTF-Datei durch winword.exe wird eine Anfrage an die bösartige SOAP-WSDL-Definition der kompromittierten Website gesendet (siehe Abb. 3).
Abb. 3. HTTP-Anforderung an SOAP-WSDL-Definition
Als Antwort wird die WSDL-Definition heruntergeladen und vom WSDL-Parsermodul verarbeitet. Wie unten in Abb. 4 gezeigt.
Abb. 4. SOAP-WSDL-Antwort mit eingefügtem Code
Abb. 4. Zeigt den eingeschleusten Code, der vom WSDL-SOAP-Parser ausgeführt wird. Aufgrund fehlender Validierung wird der eingeschleuste Code ausgeführt. Anschließend werden remote gehostete „toZ.hta“ Datei mit Hilfe von „mshta.exe“. Dieses .hta-Skript ist verschleiert. Abb. 5 zeigt das verschleierte Skript und Abb. 6 zeigt das Skript nach der Deobfuskierung.
Abb. 5 Verschleiertes HTA-Skript
Abb. 6 Deobfucated Teil des HTA-Skripts
Wie im deobfuskierten Skript gezeigt, wird powershell.exe ausgeführt, um die Malware „Image0072.exe“ von der kompromittierten Website herunterzuladen und auszuführen.
Nutzlastanalyse
Das heruntergeladene „Image0072.exe“ ist eine ausführbare .NET-Datei, die mit einem benutzerdefinierten Obfuscator verschleiert wurde. Sie verbirgt zwei schädliche Komponenten in Form komprimierter und verschlüsselter Daten in Bitmap-Ressourcen. Bei der Ausführung entschlüsselt und dekomprimiert sie das erste Modul „rp.dll“. Das zweite Modul, ein Infostealer, wird von rp.dll entschlüsselt und dekomprimiert. Dieses zweite Modul wird mit einem zufälligen Namen erstellt.
Übersicht über Infostealer-Komponenten
Abb. 7. Malware-Komponenten
rp.dll-Komponente
Es kopiert „Image0072.exe“ in %APPDATA% und setzt es für die automatische Ausführung ein, indem es einen „run“-Eintrag in der Registrierung erstellt. Es erstellt einen neuen Prozess mit dem Namen „Image0072.exe“. Anschließend entschlüsselt und dekomprimiert es die .exe-Komponente und fügt sie in den neu erstellten Prozess ein, d. h. „Image0072.exe“.
.exe
Diese Komponente übernimmt die eigentlichen Aufgaben des Infostealers. Sie stiehlt die im Browser gespeicherten Anmeldedaten des Opfers, erfasst Tastatureingaben und macht Screenshots. Die gestohlenen Daten werden dann per E-Mail oder FTP an den Angreifer gesendet. Bei der Analyse konnten wir zwar keine per FTP gesendeten Daten feststellen, aber wir konnten die E-Mail-Adresse und die zugehörigen Anmeldedaten ermitteln, an die die Daten gesendet wurden.
Um die Analyse zu erschweren, wurden die Rohzeichenfolgen im Zusammenhang mit der Diebstahlaktivität mithilfe des AES-Algorithmus verschlüsselt.
Der mehrstufige Betrieb, die Verschleierung, Verschlüsselung und Komprimierung sowie Anti-VM-Techniken werden verwendet, um die Analyse zu erschweren und die statische Erkennung zu umgehen.
Gestohlene Daten im Postfach des Angreifers
Die folgenden Bilder zeigen gestohlene Daten im Postfach des Angreifers.
Abb. 8. Mailbox des Angreifers
Abb. 9. Gestohlene Benutzeranmeldeinformationen
Abb. 10. Gestohlene Tastenanschläge
Somit werden die Aktivitäten des Opfers kontinuierlich von der Malware überwacht, aufgezeichnet und an den Angreifer gesendet.
Dies ist ein weiterer Vorfall, bei dem wir beobachten konnten, wie Zero-Day-Exploits schnell in laufende Schadkampagnen integriert wurden. Wir raten unseren Nutzern dringend, sich durch die Installation der neuesten Sicherheitsupdates von Microsoft und durch die Nutzung von Quick Heal/ zu schützen.Seqrite Aktualisiert mit den neuesten Informationen.
Kompromissindikatoren
9A8DE9ABC33FD8EE8BCA3D3673A92915
BEF17C7B359BCA2285311FB335951DD4
bali-accommodation[.]co/wp-admin/Image0072[.]exe
Lesen Sie auch
CVE-2017-8759 – Sicherheitsrisiko bei Remotecodeausführung im .NET Framework
Fachexperten
- Pawan Chaudhari, Amar Patil, Aniruddha Dolas | Quick Heal Security Labs
