Win32 / Exploit.CVE-2013-3906.A का उपयोग करके लक्षित हमले का विवरण

इससे पहले, हमने बताया कि Microsoft ने दुर्भावनापूर्ण उपयोगकर्ताओं द्वारा CVE-2013-3906 के शोषण की आरसीई भेद्यता के शोषण की सूचना दी, जिसका उपयोग लक्षित हमलों को व्यवस्थित करने और पीड़ितों के सिस्टम पर दुर्भावनापूर्ण कोड स्थापित करने के लिए किया जाता है। हमलावरों ने विशेष रूप से तैयार की गई .docx फ़ाइल के माध्यम से Microsoft Word (2003-2007-2010 [Windows XP पर 2010]) के शोषक संस्करणों में भेद्यता का उपयोग किया। यह हमला मध्य पूर्व और दक्षिण एशिया में स्थित प्रणालियों पर लक्षित था। दुर्भावनापूर्ण .docx फ़ाइल को ईमेल के माध्यम से वितरित किया गया था, और ईमेल में एक फ़िशिंग संदेश था, जिसके अनुसार उपयोगकर्ता .docx फ़ाइल को खोलने के लिए।



भेद्यता ही कोड द्वारा TIFF छवियों का गलत प्रसंस्करण है, जिसे ActiveX का उपयोग करके एक दस्तावेज़ में डाला जा सकता है। Windows Vista और सर्वर 2008 पर DEP और ASLR शमन तंत्र को बायपास करने के लिए (विंडोज 7+ के नवीनतम संस्करण शोषक नहीं हैं), शोषण अपने कोड को किसी दिए गए पते पर कॉपी करने के लिए परिचित हीप-स्प्रे विधियों का उपयोग करता है, जबकि ढेर में बड़े मेमोरी ब्लॉक और ट्रांसफर के लिए ROP का उपयोग करता है। स्मृति के लिए DEP प्रतिबंधों को दरकिनार करते हुए वहां जाएं जो निष्पादन के लिए उपलब्ध नहीं है। हमले में इस्तेमाल किए जाने वाले विभिन्न शोषण संशोधनों के बीच अंतर यह है कि हीप-स्प्रे के लिए खुद एक्टिवएक्स पर्यावरण का उपयोग किया गया था। हमने इस शोषण को अपने डेटाबेस में Win32 / Exploit.CVE-2013-3906.A के रूप में जोड़ा है । जैसा कि अन्य समान कमजोरियों के मामले में, CVE-2013-3906 मेमोरी-भ्रष्टाचार प्रकार का है, जो इंगित करता है कि आरओपी श्रृंखला के प्रारंभिक निष्पादन वेक्टर को फ़ंक्शन के लिए एक विशेष तर्क पास करके शुरू किया जाएगा, जिससे मेमोरी ब्लॉक का अतिप्रवाह होगा और आरओपी के निष्पादन की शुरुआत होगी। इससे पहले, ActiveX ढांचे का उपयोग करते समय शेल कोड को स्प्रे के माध्यम से मेमोरी में रखा जाएगा।



अपने काम के दौरान, शोषण वहाँ से पेलोड को कॉपी करने के लिए एक दूरस्थ C & C सर्वर से जुड़ जाता है, जो कि वर्ड डॉक्यूमेंट और मैलवेयर के साथ एक संग्रह है। इस दस्तावेज़ का उपयोग उपयोगकर्ता के ध्यान को विचलित करने के लिए किया जाता है जबकि मैलवेयर सिस्टम पर गुप्त रूप से स्थापित होता है।

सी एंड सी सर्वरों में से एक से प्राप्त FireEye जानकारी के अनुसार, अधिकांश पीड़ित पाकिस्तान में स्थित हैं।


अंजीर। FireEye के अनुसार, एक साइबर हमले के पीड़ितों का स्थान।

हमलावरों ने हमले के लिए पेलोड के रूप में गढ़ बैंकिंग ट्रोजन को चुना।

कृपया ध्यान दें कि Office 2010-2013 के नवीनतम संस्करणों का उपयोग करते समय विंडोज के नवीनतम संस्करण 7-8-8.1 असुरक्षित नहीं हैं, जो आपको विशेष सेटिंग्स के माध्यम से वर्ड दस्तावेजों के विभिन्न अनुलग्नकों के निष्पादन को डिफ़ॉल्ट रूप से सक्रिय करने की अनुमति देता है। फ़ाइल-> विकल्प-> ट्रस्ट सेंटर-> ट्रस्ट सेंटर के लिए सेटिंग्स-> एक्टिवएक्स सेटिंग्स।



इसके अलावा, एमएस आउटलुक 2013 (विंडोज 7+) .docx संलग्नक के लिए एक सैंडबॉक्सिंग तंत्र को शामिल करता है, जो चल रहे ऑडियंस प्रक्रिया को अलग करता है।


अंजीर। Word प्रक्रिया का अलगाव जो Outlook 2013 के माध्यम से ईमेल में .docx फ़ाइलों को देखने पर होता है। इस प्रक्रिया को एक कम वफ़ादारी स्तर सौंपा गया है, टोकन में समूह अक्षम हैं, और विशेषाधिकार हटा दिए गए हैं।