JIT SPRAY АНАЛИЗ TDSS - Xakep Online

Обыкновенный ярлык для элемента панели
управления
Измененный ярлык, уже ставший эксплойтом
Результат virustotal для нашего .LNK-эксплойта
(измененный Java-ярлык)
модели. ERP-системы отвечают за планирование и управление
бизнесом — деньгами, задачами, товарами и т.д., и т.п.
(Я бы даже сказал, что написать такого червя под ERP было
бы легче, но раз была выбрана SCADA и регионы Азии, то тут
скорее попахивает политикой...). Так что все эти бизнес- и промышленные
системы еще ждут своих героев (привет Александру
Полякову aka sh2kerr). Но вот что касается .LNK-уязвимости,
то, например, троянец Zeus уже стал использовать ее для
своего размножения. Кроме того, ребята из Rapid7 сделали эксплойт
для Metasploit, который способен работать через HTTP с
помощью WebDav.
При этом шеллкод забивается в .DLL-файл, и ярлык его подгружает.
Патча пока нет, а угроза весьма существенная — тут все
антивирусные компании говорят, что они прекрасно детектируют
виря по сигнатурам, поэтому самое время обратить внимание, что
сигнатуры — отстой. Сигнатура DLL нам не так интересна, а вот
сигнатура, по которой определяется, что данный ярлык — эксплойт,
определенно может хромать. Возьмем ярлык от публичного PoC
(suckme.lnk_, есть на диске с обзором эксплойтов) и отправим это
чудо на virustotal.com. В итоге мы имеем 27 антивирусов, которые
его обнаружили.
Теперь откроем панель управления и создадим пару ярлыков, один
желательно от Java. Далее переименуем эти ярлыки через консоль:
ñopy Java.lnk Java.lnk_
XÀÊÅÐ 09 /140/ 10
Результат virustotal для публичного PoC
Второй ярлык копируем аналогично первому. Теперь мы можем
редактировать их в HEX-редакторе. Обычно все ярлыки имеют
указатель в виде Unicode-формата, но Java-ярлык — нет. В итоге
мы видим две ссылки на CPL-апплеты, причем для Java — не в
Unicode-виде. Меняем путь к CPL (DLL) на наш файл, удаляем
посередине лишние байты (fa ff ff ff 20) и сохраняем. Копируем
обратно с расширением .LNK. Итоги отправляем на virustotal.com.
Для Unicode-ярлыка осталось 11 антивирусов, для Java-ярлыка —
8, то есть 70% антивирусов перестали детектить эксплойт, и среди
этих антивирусов такие гиганты, как Symantec, Kaspersky, AVG,
NOD32. Так что антивирус тут — не панацея. Это так... пять копеек
от меня, чтобы там не расслаблялись, а вообще, антивирусникам
надо сказать спасибо за столь тщательную и интересную работу,
которую они проделали, чтобы помочь нам разобраться в этой
угрозе. Спасибо Вам, бойцам антивирусного фронта: AdBlokAda
(первыми обнаружили и изучили), Symantec (за подробный технический
анализ в своем блоге), компании ESET и лично Александру
Матросову за их работу в московской лаборатории. Также спасибо
лаборатории Касперского и их блогу, в котором Александр Гостев
делился своими мыслями и красивыми картами :). Ну и спасибо
тебе, мой читатель, переваривший этот важный материал. z
057