1个月前 (12-18) 铁匠  固若金汤
文章评分 0 次,平均分 0.0

0x00 前言


from:http://blog.0x3a.com/post/110052845124/an-in-depth-analysis-of-the-fiesta-exploit-kit-an

在这个文章中,我将一步步介绍Fiesta Exploit Kit是如何工作的:如何重定向,攻击感染客户端,包含一个Flash exploit,Java exploit,PDF exploit,在最后解密他的payloads.

第一步是感染我的虚拟机,幸运的是重定向页面仍然还在

深入分析 Fiesta Exploit Kit

在页面结束前,插入了一小段代码,有一点混淆,但是解码很简单:

深入分析 Fiesta Exploit Kit

exploit kit在znaaok.myftp.biz域名商,当时指向ip是92.63.87.16,在VirusTotal passivedns中查询该IP,有很多相似的域名

深入分析 Fiesta Exploit Kit

所有域名活跃时间都非常短暂,经常轮换。

0x01 The landing page


继续分析,虚拟机的浏览器每个页面都被嵌入javascript代码:

深入分析 Fiesta Exploit Kit

这个案例当中,exploit是一个Flash exploit,MD5值为f77e25d5a04d8035d49a27d1b680e35d

在VirusTotal提交样本的时候57个杀毒软件中只有3个可以识别出。

从Fiddler的请求中可以确定下面的顺序:

76:客户端访问页面页面
80:客户端下载flash exploit
81:客户端溢出成功后执行payload

再重新开始,当用sublime打开页面的时候,我立刻认出这是我2013年就见过的。除了上面的一些随机文本字符,JavaScript的混淆是一样的:

深入分析 Fiesta Exploit Kit

进行反混淆的工作:

1. 搜索Decrypter字符串
2. 解密所有使用过的函数跟字符串
3. 替换所有使用的变量
4. 删除所有被分割的字符串(如:var a = ‘from’+ ‘Char’ + ‘Code’)
5. 清理代码(删除未使用的变量)
6. 给变量函数易懂的命名

第一步找解密函数:

深入分析 Fiesta Exploit Kit

又去的是Fiesta没有改变解密函数,只是换了key,也可以在messop()函数中看到

深入分析 Fiesta Exploit Kit

现在怎么从哪些混淆的代码中解码呢,很简单,解密函数的的 顶部实际上是来自bonyv()函数,底部是seam9j函数,给他们换个易懂的名字。

现在可以把所有调用名字为messop()函数替换一遍:

深入分析 Fiesta Exploit Kit

正如你所看到的,开头大部分声明的变量都是全局变量。解密所有的字符串之后,我们开始替换全局变量(比如lintl变成window.document等使代码更易读一些),整理之后,页面的结构更清晰了:

 

看一下Fiesta使用了哪些漏洞:

Adobe Flash:

CVE-2014-8439: Adobe Flash Player before 13.0.0.258 and 14.x and 15.x before 15.0.0.239 on Windows and OS X and before 11.2.202.424 on Linux, Adobe AIR before 15.0.0.293, Adobe AIR SDK before 15.0.0.302, and Adobe AIR SDK & Compiler before 15.0.0.302

CVE-2014-0497: Adobe Flash Player before 11.7.700.261 and 11.8.x through 12.0.x before 12.0.0.44 on Windows and Mac OS X, and before 11.2.202.336 on Linux

 

Adobe PDF

CVE-2010-0188: Adobe Reader and Acrobat 8.x before 8.2.1and 9.x before 9.3.1

 

Java

CVE-2012-0507: Java SE 7 Update 2 and earlier, 6 Update 30 and earlier, and 5.0 Update 33

CVE-2013-2465: Java SE 7 Update 21 and earlier, 6 Update 45 and earlier, and 5.0 Update 45 and earlier, and OpenJDK 7

 

Silverlight

CVE-2013-0074: Microsoft Silverlight 5, and 5 Developer Runtime, before 5.1.20125.0

 

Microsoft Internet Explorer

CVE-2013-2551: Microsoft Internet Explorer 6 through 11

有趣的是,Fiesta exploit kit完全专注的IE浏览器,检测到Adobe PDF, Adobe Flash, Java插件也只是用于IE。

0x02 Following the flash exploit landing page trail


通过网络抓包可以确定虚拟机是被用的FLash exploit攻击,通过对比URL看到使用的是CVE-2014-8439。

这个CVE最初由kafeine在Angler exploit kit中以0day的方式发现的。CVE-2014-0569 (Flash Player) integrating Exploit Kit Out-of-Band Flash Player Update for CVE-2014-8439

反编译ActionScript代码之后,我们找到一段脚本:

深入分析 Fiesta Exploit Kit

整理之后代码:

深入分析 Fiesta Exploit Kit

截图显示的不是很完整,有一个函数没有展示出来LoadComplete函数:

深入分析 Fiesta Exploit Kit

stage 2的数据追加到root/main对象中,stage 2实际上是另外一个flash文件,通过addChild函数,stage 2 flash文件将会被激活,从内存当中dump出来解密的stage 2数据,我们可以看到Flash文件的头:

深入分析 Fiesta Exploit Kit

反编译这个FLash文件获得了大约820行的ActionScript代码,我不打算针对这个漏洞继续深入他是如何利用的,如果你想知道是如何利用的已经有人写过相关文章 An interesting case of CVE-2014-8439 exploit

截图当中的ActionScript代码只是第一步打包加载的作用,第二步才是真正的利用漏洞获取执行权限,为了获得执行权限,垃圾收集器的

垃圾收集器内部有一指针指向一个ITelemetry对象,通过一个包含精心准备构造虚拟表的ITelemetry对象能够获得执行权限,修改虚拟表后的ITelemetry,替换了正确的ITelemetry函数,指向了我们的shellcode。

反编译完嵌入的flash文件(第二步中)之后,我们得到了一个简单的as脚本,发现了一个有趣的函数initialization,代码引用目标网页上的一个变量,然后调用了一些函数:

深入分析 Fiesta Exploit Kit

如果我们跟踪seatk函数,看到了跟之前很类似的代码,是一个字符串解密函数:

深入分析 Fiesta Exploit Kit

看来Fiesta把同一个加密混淆的函数用在了很多地方,函数返回解码后的数据就是结合ROP链利用的shellcode。

由于这个flash漏洞(CVE-2014-8439)是刚刚发现的,POC并没有放出来,所以我不会泄露利用的细节。

现在已经知道了Fiesta现在的使用的攻击:

登陆页面给使用哪个shellcode/payload提供信息 exp有打包来应对检测 第3阶段的exp显示他是一种可以很容易置换的框架

接下来讲一下针对Java 的exp

0x03 JAVA payload解密


该java的exp样本基于CVE-2013-2465

5c6c4a6a4c5adc49edabd21c0779c6e3

我们可以从登陆界面发现,‘JavaExploit_CVE20132465’ 功能,对java applet进行如嵌入。

在我们反编译jar包之后我们可以得到一份存在一些混淆的java源码,审查源码我们可以发现,其中一个功能在于下载payload并执行。对java源码进行处理后如图片所示我们可以一份清晰的源码。

深入分析 Fiesta Exploit Kit

让我们先看函数的顶部,我们可以发现exp似乎对不同的payload提供了支持。

下载payload之后读取前256个字节,其中包括了xor key以及payload的有效部分,我们可以在虚拟机中分析这256个字节的差异。

深入分析 Fiesta Exploit Kit

其中我们可以看到关键的java代码在于 “Decrypt” 功能,用于payload的解码,在还原java源码之后,这部分函数如下图所示:

深入分析 Fiesta Exploit Kit

代码的第一部分使用两个index把需要解密的每字节数据递增,两个index中key的值被交换,相加掩藏在形成为XOR运算的关键位置。

这个XOR解密用在整个PE数据回收中,从前面的代码段中还可以看到payload的文件名是纯数字的为当前的计算机的时间。

在将java代码转换成python后我们可以很容易的解码他。

深入分析 Fiesta Exploit Kit

在成功解码数据后我们可以将payload放入Fiesta,现在在payload上让我们尝试我们前面说过的flash exp。

深入分析 Fiesta Exploit Kit

可惜看起来似乎不能工作,解密后的payload的运行结果无论是Flash,adobe PDF还是Silverlight都返回错误。它看起来似乎不是普通的java代码,是利用了一种基于控制执行的shellcode,并且使用不同的加密手段。我们可以从硬盘上解密出的payload看到,是不同于最初256字节的XOR块的,payload可以传输任何shellcode。

深入分析 Fiesta Exploit Kit

现在我们需要查看exp中的shellcode,先前我们已经看过了flash exp但是停在了利用点,现在我们可以通过java exp去解密payload,那么接下来我们来看看另一种类型:adobe pdf

0x04 Adobe PDF exploit


样本:f4346a65ea040c1c40fac10afa9bd59d

使用peepdf分析PDF:

深入分析 Fiesta Exploit Kit

peepdf告诉我们有一个AcroForm和一些JavaScript。我们看一下AcroForm,就会看到调用初始化时其实用的是JavaScript,手续跟踪object关系直到找到XFA:

深入分析 Fiesta Exploit Kit

下滑就找到真正的AcroForm脚本,就能找到初始化设置的(混淆的)JavaScript代码

深入分析 Fiesta Exploit Kit

清理下代码找到最后看看漏洞如何触发的,在这段JavaScript代码中,一个恶意的image对象被shellcode创建:

深入分析 Fiesta Exploit Kit

在expl_imgdata传给image之前提取出来,可以用base64解码,看看shellcode,在shellcode当中我们找到真正的解密函数,与之前的Java exploit完全一样。

256字节的XOR key之前有16个(额外)个字节保存信息。shellcode中下载payload,前16个字节被用于确定实际payload的大小,这些值是XOR的。前4个字节是下12个字节XOR key。看起来是这样子的:

深入分析 Fiesta Exploit Kit

解密这个payload,我们可以跳过前16字节,解密出来的数据多了25字节,25字节之后就是正常的MZ头,我们找到了有效的PE。那么这里有什么呢?更多的信息需要把文件放在系统上,MZ头之前的数据是文件大小,硬盘上的文件名:

深入分析 Fiesta Exploit Kit

通过这些信息,我们得到一个可以执行的PE文件,解密的样本可以从这里下载:31af1a5656ce741889984e8e878c7836

我写了一个可以从网络数据中解密任何Fiesta payload的Python脚本,已经在最近10个Fiesta EK上测试过了,两个参数,第一个是需要解密文件,第二个是输出文件,将会输出有效的PE文件:

https://github.com/0x3a/tools/blob/master/fiesta-payload-decrypter.py


//下面这个css和插件后台设置的主题有关系,如果需要换样式,则需要修改以下CSS名称

 

除特别注明外,本站所有文章均为铁匠运维网原创,转载请注明出处来自http://www.tiejiang.org/26199.html

关于

发表评论

暂无评论

切换注册

登录

忘记密码 ?

您也可以使用第三方帐号快捷登录

切换登录

注册

扫一扫二维码分享