.NET Framework リモート コード実行の脆弱性 ( CVE-2017-8759 ) は、.NET Framework の SOAP WSDLパーサーにおけるコード インジェクションの脆弱性です。この脆弱性は、実際に発見された時点ではゼロデイ脆弱性でした。Quick Heal Security Labs は、2017 年 9 月にこの脆弱性に対処するための勧告をリリースしました。この脆弱性が悪用されると、WSDL パーサーが悪意のある SOAP レスポンスを処理する際に、攻撃者がリモート コードを挿入して実行できるようになります。この脆弱性は、2017 年 9 月 12 日に Microsoft によって修正されました。Quick Heal Security Lab は、この脆弱性を悪用するマルウェア スパム キャンペーンが進行中であることを監視しています。このマルウェア スパム キャンペーンでは、CVE-2017-8759 を悪用して Infostealer マルウェアを配信するために、悪意のある RTF ファイルを添付ファイルとして使用しています。
攻撃チェーン
図1. 攻撃チェーン
技術的な詳細
この脆弱性（CVE-2017-8759）は、SOAP WSDLレスポンスの不適切な処理が原因で発生し、リモートコード実行につながります。攻撃者は、細工されたRTFファイルを使用してこの脆弱性を悪用しています。このRTFファイルには、SOAPモニカーCLSIDとリモートホストされているSOAP WSDL定義ファイルへのリンクを含む埋め込みOLEオブジェクトが含まれています（図2参照）。このケースでは、攻撃者は侵害されたWordPressウェブサイト上にすべてのペイロードをホストしていました。
図2. OLEオブジェクトが埋め込まれたRTFドキュメントはWSDL SOAP定義を指している
RTFエクスプロイト分析
このキャンペーンにおける攻撃は、エクスプロイトRTFドキュメントを添付したスパムメールから始まります。このRTFファイルは、図2に示すような内容です。winword.exeによってRTFファイルが開かれると、図3に示すように、侵害されたWebサイトから悪意のあるSOAP WSDL定義へのリクエストが発行されます。
図3. HTTPリクエストからSOAP WSDL定義
レスポンスとして、WSDL定義がダウンロードされ、WSDLパーサーモジュールによって処理されます。下の図4をご覧ください。
図4. 挿入されたコードを含むSOAP WSDLレスポンス
図4は、WSDL SOAPパーサーによって実行される注入されたコードを示しています。適切な検証が行われていないため、注入されたコードが実行されます。その後、「mshta.exe」を使用して、リモートでホストされている「toZ.hta」ファイルをダウンロードして実行します。この.htaスクリプトは難読化されており、図5は難読化されたスクリプトを、図6は難読化解除後のスクリプトを示しています。
図5 難読化されたHTAスクリプト
図6 HTAスクリプトの難読化解除された部分
難読化解除されたスクリプトに示されているように、侵害された Web サイトからマルウェア「Image0072.exe」をダウンロードして実行するために、powershell.exe が実行されます。
ペイロード分析
ダウンロードされた「Image0072.exe」は、カスタム難読化ツールで難読化された.NET実行ファイルです。圧縮・暗号化されたデータという形で、ビットマップリソース内に2つの悪意のあるコンポーネントが隠されています。実行時には、最初のモジュール「rp.dll」が復号化および解凍されます。2番目のモジュール（実際には情報窃盗マルウェア）は、rp.dllによって復号化および解凍されます。この2番目のモジュールは、ランダムな名前で作成されます。
インフォスティーラーコンポーネントの概要
図7. マルウェアのコンポーネント
rp.dll コンポーネント
%APPDATA% に「Image0072.exe」をコピーし、レジストリに「run」エントリを作成して自動実行するように設定します。次に、 「Image0072.exe」という名前の新しいプロセスを作成します。その後、<random name>.exe コンポーネントを復号化および解凍し、新しく作成されたプロセス、つまり「Image0072.exe」に挿入します。
。EXE
このコンポーネントは、Infostealerの実際のタスクを実行します。ブラウザに保存されている被害者の認証情報、キー入力、スクリーンショットを盗みます。盗まれたデータは、メールまたはFTP経由で攻撃者に送信されます。分析中に、盗まれたデータがFTP経由で送信されたことは確認できませんでしたが、データがプッシュされたメールアドレスとその認証情報は判明しました。
分析部分を困難にするために、盗難活動に関連する生の文字列は AES アルゴリズムを使用して暗号化されたままになりました。
多段階操作、難読化、暗号化と圧縮、アンチ VM 技術を使用して分析を妨害し、静的検出をバイパスします。
攻撃者のメールボックスに盗まれたデータ
次の画像は、攻撃者のメールボックスにある盗まれたデータを示しています。
図8. 攻撃者のメールボックス
図9. 盗まれたユーザー認証情報
図10. 盗まれたキーストローク
したがって、被害者の活動はマルウェアによって継続的に監視および記録され、攻撃者に送信されます。
これは、最近発生したゼロデイ攻撃が進行中の悪意のあるキャンペーンに急速に組み込まれている事例のもう一つです。マイクロソフトがリリースした最新のセキュリティ更新プログラムを適用し、Quick Heal/Seqrite 最新のアップデートで更新しました。
妥協の指標
9A8DE9ABC33FD8EE8BCA3D3673A92915
BEF17C7B359BCA2285311FB335951DD4
bali-accommodation[.]co/wp-admin/Image0072[.]exe
また読む
CVE-2017-8759 | .NET Framework のリモートコード実行脆弱性 – Quick Heal Security Labs による分析
CVE-2017-8759 – .NET Framework のリモートコード実行の脆弱性
主題の専門家
- パワン・チャウダリ、アマール・パティル、アニルッダ・ドラス |クイックヒールセキュリティラボ
