Udhaifu wa Utekelezaji wa Msimbo wa Mbali wa Mfumo wa .NET ( CVE-2017-8759 ) ni udhaifu wa kuingiza msimbo katika kichanganuzi cha SOAP WSDL cha mfumo wa .net. Udhaifu huu ulikuwa siku sifuri ulipoonekana porini. Maabara ya Usalama ya Quick Heal yalikuwa yametoa ushauri mwezi wa Septemba 2017 ili kuushughulikia. Udhaifu huu unapotumiwa humruhusu mshambuliaji kuingiza na kutekeleza msimbo wa mbali wakati kichanganuzi cha WSDL kinaposhughulikia majibu hasidi ya SOAP. Udhaifu huu ulirekebishwa na Microsoft mnamo tarehe 12 Septemba 2017. Maabara ya Usalama ya Quick Heal inaona kampeni inayoendelea ya malspam ambayo inatumia udhaifu huu, kampeni hii ya malspam inatumia faili hasidi ya RTF kama kiambatisho kinachotumia CVE-2017-8759 kutoa programu hasidi ya Infostealer.
Msururu wa Mashambulizi
Kielelezo 1. Mlolongo wa Mashambulizi
Maelezo ya kiufundi
Udhaifu huu (CVE-2017-8759) husababishwa na utunzaji usiofaa wa mwitikio wa SOAP WSDL na husababisha utekelezaji wa msimbo wa mbali. Washambuliaji wanatumia faili za RTF zilizotengenezwa ili kutumia udhaifu huo. Faili hii ya RTF ina kitu cha OLE kilichopachikwa kina SOAP Moniker CLSID na kiungo cha faili ya ufafanuzi wa SOAP WSDL iliyopangishwa kwa mbali kama inavyoonyeshwa kwenye Mchoro 2. Katika hali hii, mshambuliaji alikuwa amehifadhi mizigo yote kwenye tovuti ya WordPress iliyoathiriwa.
Kielelezo 2. Hati ya RTF iliyopachikwa ya OLE inaelekeza kwenye ufafanuzi wa SABUNI ya WSDL
Uchambuzi wa matumizi mabaya ya RTF
Shambulio katika kampeni hii linaanza na barua pepe taka yenye hati ya kutumia RTF kama kiambatisho. Faili hii ya RTF ina maudhui sawa na inavyoonyeshwa kwenye kielelezo 2. RTF inapofunguliwa na winword.exe, inatoa ombi la ufafanuzi hasidi wa SOAP WSDL kutoka kwa tovuti iliyoathiriwa kama inavyoonyeshwa kwenye Mchoro wa 3.
Mtini 3. Ombi la HTTP kwa ufafanuzi wa SABUNI WSDL
Kwa kujibu ufafanuzi wa WSDL unapakuliwa na kuchakatwa na moduli ya kichanganuzi cha WSDL. Kama inavyoonyeshwa kwenye Mchoro wa 4 hapa chini.
Kielelezo 4. Jibu la SABUNI la WSDL na msimbo uliodungwa
Mchoro 4. Inaonyesha msimbo ulioingizwa ambao unatekelezwa na kichanganuzi cha WSDL SOAP. Kutokana na ukosefu wa uthibitishaji sahihi, inatekeleza msimbo ulioingizwa. Kisha hupakua na kutekeleza faili ya "toZ.hta" iliyopangishwa kwa mbali kwa usaidizi wa "mshta.exe" . Hati hii ya .hta imefichwa, Mchoro 5 unaonyesha hati iliyofichwa na Mchoro 6 unaonyesha hati baada ya kufumbua.
Hati ya 5 ya HTA iliyofichwa
Kielelezo 6 Sehemu iliyofumbuliwa ya hati ya HTA
Kama inavyoonyeshwa katika hati iliyofutika powershell.exe inatekelezwa ili kupakua na kutekeleza programu hasidi "Image0072.exe" kutoka kwa tovuti iliyoathiriwa.
Uchambuzi wa Upakiaji
"Image0072.exe" iliyopakuliwa imefichwa kwa kutumia kificho maalum cha .NET. Inaficha vipengele viwili hasidi ndani ya rasilimali za bitmap katika mfumo wa data iliyobanwa na kusimbwa kwa njia fiche. Baada ya utekelezaji, hufichua na kuondoa mbonyeo kwenye moduli ya kwanza 'rp.dll'. Moduli ya pili ambayo kwa kweli ni Infostealer hufichua na kuondoa mbonyeo kwenye rp.dll. Moduli hii ya pili imeundwa kwa jina nasibu.
Muhtasari wa Vipengele vya Infostealer
Kielelezo 7. Vipengele vya Malware
sehemu ya rp.dll
Inanakili "Image0072.exe" katika %APPDATA% na kuiweka kwa ajili ya utekelezaji otomatiki kwa kuunda ingizo la "run" kwenye sajili. Inaunda mchakato mpya wenye jina "Image0072.exe" . Kisha huondoa na kuondoa msimbo wa siri sehemu ya <name random>.exe na kuiingiza katika mchakato mpya ulioundwa yaani "Image0072.exe".
.exe
Sehemu hii hufanya kazi halisi za Infostealer. Huiba vitambulisho vya mwathiriwa vilivyohifadhiwa katika vivinjari, mibofyo ya vitufe na kuchukua picha za skrini. Data iliyoibiwa kisha hutumwa kwa mshambuliaji kupitia barua pepe au kwa FTP. Wakati tunachanganua hatukuona data iliyoibiwa ikitumwa kupitia FTP lakini tuligundua anwani ya barua pepe na vitambulisho vyake ambapo data hiyo ilikuwa ikisukumwa.
Ili kufanya sehemu ya uchanganuzi kuwa ngumu kamba mbichi zinazohusiana na shughuli za wizi zilihifadhiwa kwa njia fiche kwa kutumia algoriti ya AES.
Uendeshaji wa hatua nyingi, ufiche, usimbaji fiche na ukandamizaji, mbinu za kupambana na vm hutumiwa kuzuia uchanganuzi na kupitisha ugunduzi wa tuli.
Data iliyoibiwa kwenye kisanduku cha barua cha mshambulizi
Picha zifuatazo zinaonyesha data iliyoibiwa kwenye kisanduku cha barua cha mshambulizi.
Kielelezo 8. Sanduku la Barua la Mshambulizi
Kielelezo 9. Hati za mtumiaji zilizoibiwa
Kielelezo 10. Vibonye Vibonye Vilivyoibiwa
Kwa hivyo shughuli ya mwathiriwa inafuatiliwa na kurekodiwa na programu hasidi na kutumwa kwa mshambulizi.
Hili ni tukio jingine ambapo tumeona matukio ya hivi karibuni ya siku zisizo na kikomo yakiunganishwa kwa kasi katika kampeni hasidi zinazoendelea. Tunawashauri sana watumiaji wetu kuendelea kuwa salama kwa kutumia masasisho ya hivi karibuni ya usalama yaliyotolewa na Microsoft na kwa kuweka Quick Heal/Seqrite imesasishwa na masasisho ya hivi punde.
Viashiria vya maelewano
9A8DE9ABC33FD8EE8BCA3D3673A92915
BEF17C7B359BCA2285311FB335951DD4
bali-accommodation[.]co/wp-admin/Image0072[.]exe
Pia Soma
CVE-2017-8759 – .NET Framework Athari ya Utekelezaji wa Msimbo wa Mbali
Wataalam wa Masomo
- Pawan Chaudhari, Amar Patil, Aniruddha Dolas | Maabara ya Usalama ya Uponyaji Haraka
