Internet Explorer脚本引擎成为2018年朝鲜APT组织最喜爱的攻击目标

小二郎 漏洞 2018年11月16日发布
Favorite收藏

导语:今年,在黑客成功部署了两个0 day漏洞后,Internet Explorer的脚本引擎正式升级为朝鲜网络间谍组织最喜欢的攻击目标。

今年,在黑客成功部署了两个0 day漏洞后,Internet Explorer的脚本引擎正式升级为朝鲜网络间谍组织最喜欢的攻击目标。

没错,今天所说的这个组织就是DarkHotel,迈克菲和许多其他网络安全公司一致认为,这是一个与朝鲜政权存在联系的网络间谍组织。该组织自2007年以来一直处于活跃状态,但直至2014年才公开曝光在公众视野中。当时,卡巴斯基实验室发布了一份报告,详细介绍了该组织采取的一些黑客攻击手法,其中包括破坏数百家酒店的内部WiFi网络,以便通过恶意软件感染高端客户。

DH-1.png

尽管攻击手法在公开报道中得到了曝光,但是DarkHotel并没有就此停止攻击活动,其继续针对受害者(2016和2017年主要针对政治人物)采取相同的策略实施攻击。值得一提的是,在网络安全圈中,该组织还有很多不同的名称,包括APT-C-06、Dubnium、Fallout Team、Karba、Luder、Nemim、SIG25以及Tapaoux。

DarkHotel执着的偏好:INTERNET EXPLORER

直至2018年,该黑客组织仍然一直十分活跃,并且在多次攻击活动中采用了相同的技术——Internet Explorer的VBScript脚本引擎。

研究人员表示,DarkHotel黑客在今年4月份发现并利用了第一个IE 0 day(CVE-2018-8174),然后又在8月份利用了第二个IE 0 day(CVE-2018-8373)。据悉,CVE-2018-8174漏洞最初是由奇虎360的研究人员发现的,并将其戏称为“双杀(Double Kill)”,这是一个VBScript引擎远程执行代码漏洞,成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录,则成功利用此漏洞的攻击者可以控制受影响的系统,然后攻击者可以安装程序;查看、更改或删除数据;或创建具有完全用户权限的新帐户。

而CVE-2018-8373则是由网络安全公司趋势科技于今年7月份捕获到的一例在野0 day漏洞攻击,该攻击同样利用了Windows VBScript引擎的代码执行漏洞。研究人员经过分析对比发现,该0 day漏洞和2018年4月360公司首次发现的“双杀”漏洞使用了多个相同的攻击技术。对于这两款危害极大的0 day漏洞,微软公司已经分别于5月和9月完成了修复工作。

但是,根据近日奇虎360公司发布的一份新报告指出,该组织还为两个较旧的IE脚本引擎漏洞(即CVE-2017-11869和CVE-2016-0189)创建了新的漏洞利用。

研究人员介绍称,

经过分析,我们发现这4个漏洞(CVE-2017-11869和CVE-2016-018以及上述的CVE-2018-8174和CVE-2018-8373)的混淆和利用手法都高度一致,我们怀疑背后有一个写手(或团队),一直在开发vbscript的0 day利用并用于攻击活动。

0 day很难发现,甚至更难在可用的漏洞利用中武器化。而为旧漏洞创建新的漏洞利用更是一件困难的事情。我们可能永远都不会知道为什么DarkHotel要花费如此多的资源来针对Internet Explorer,但这种趋势对于所有APT研究人员来说都是非常明显且值得关注的。

攻击并未随IE VBscript引擎的“消亡”而消亡

Internet Explorer的VBScript脚本引擎并不是什么顶级微软技术,它实际上是Windows和Internet Explorer早期的一段古老代码,一直深受大量漏洞的困扰。

其实,早在多年前,微软就已经清楚的意识到该组件存在的安全隐患,并针对Web技术中的VBScript脚本技术发表过相关的声明,认为该技术应该被逐步淘汰,并不应该再被用做IE11的脚本语言。实际上,在IE11中,VBScript已经不能在Web页面显示中被执行了。但是,为了保证旧网站的兼容性,微软还是允许VBScript在传统文档模式中以临时解决方案的形式存在。

后来,到了2017年,随着Windows 10 Creators Update的推出,微软正式在其Windows官方博客中表示,允许用户在IE11中屏蔽面向所有的文档模式的VBScript实现。企业用户可以在组策略中配置这一功能,而普通用户可以通过注册表在安全区域中配置该功能,或者使用Microsoft Fix来一次性解决。

这一变化就意味着黑客无法再通过Windows 10中的Internet Explorer,使用VBScript代码对用户进行攻击。当然,此举也确实阻止了许多网络犯罪活动,但是DarkHotel似乎已经适应了微软最近的VBScript弃用公告。

据报道,DarkHotel已经发现了其他方法来加载脚本。例如,Office套件中的应用程序依赖IE引擎来加载和呈现Web内容。因此,该组织就选择使用嵌入在Office文档中的VBScript漏洞,并且不直接通过浏览器定位Internet Explorer用户。

相反地,DarkHotel会将Word文档发送给受害者,在文档中,他们可以通过可嵌入的IE框架加载恶意网页。DarkHotel黑客的选择无疑是非常明智的,因为2018年新出现的IE0 day漏洞表明,VBScript代码执行仍然可行。

根据目前的证据显示,随着微软继续为越来越多的用户禁用VBScript执行,该黑客组织可能正试图在VBScript漏洞利用变得毫无价值之前,充分发挥其“余热”,紧锣密鼓的部署一系列攻击活动。不知道,在今年结束之前,是否还会出现第5个针对IE VBScript的漏洞利用呢?

本文翻译自:https://www.zdnet.com/article/internet-explorer-scripting-engine-becomes-north-korean-apts-favorite-target-in-2018/如若转载,请注明原文地址: http://www.4hou.com/vulnerable/14518.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论