Office漏洞被用於傳播FELIXROOT後門

新聞 08-01

攻擊活動詳情

2017年9月，FireEye的研究人員發現針對烏克蘭的工具活動中使用FELIXROOT後門作為payload，該攻擊活動中包括惡意的烏克蘭銀行文檔，該文檔中含有可以下載FELIXROOT的宏文件。近期，研究人員發現該後門被用於一起新的攻擊活動中。這次，聲稱含有研討會信息的武器化的誘餌文檔利用了Office CVE-2017-0199（WORD/RTF嵌入OLE調用遠程文件執行漏洞）和CVE-2017-11882（Office遠程代碼執行漏洞）兩個漏洞在受害者機器上釋放和執行後門二進位文件。

圖1: 攻擊概覽

惡意軟體通過用Office漏洞武器化的惡意文檔進行傳播，如圖2所示。惡意文檔名稱是「Seminar.rtf」，攻擊者利用CVE-2017-0199漏洞從193.23.181.151下載第二階段payload；下載的文件通過CVE-2017-11882漏洞武器化。

圖2: 誘餌文件

圖3: Seminar.rtf中嵌入的URL的十六進位形式

圖4是嘗試下載二階段Seminar.rtf的一階段payload。

圖4: 下載二階段Seminar.rtf

下載的Seminar.rtf文件含有嵌入的二進位文件，嵌入文件是通過公式編輯器釋放到%temp%文件夾中的。該文件會在%temp%目錄釋放可執行文件（MD5: 78734CD268E5C9AB4184E1BBE21A6EB9），可執行文件是用來執行FELIXROOT釋放器組件（MD5: 92F63B1227A6B37335495F9BCB939EA2）的。

釋放的可執行文件（MD5: 78734CD268E5C9AB4184E1BBE21A6EB9）在PE二進位覆蓋區含有壓縮的FELIXROOT釋放器組建。一旦執行，就會創建兩個文件，分別是指向%system32%
undll32.exe的LNK文件和FELIXROOT載入器組件。然後，LNK文件會被移動到開始目錄。圖5是LNK文件中用於執行FELIXROOT載入器組件的LNK文件。

圖5: LNK文件中的命令

嵌入的後門組件會用定製的加密方法加密，加密文件的解密和載入是在內存中進行的，不會在硬碟上留下痕迹。

技術細節

在成功利用漏洞之後，釋放器組件會執行並釋放載入器模塊。載入器模塊是通過RUNDLL32.EXE執行的。然後後門組件會在內存中載入，並有一個輸出函數。

後門中的字元串是通過與4位元組的key進行XOR運算進行加密的。對ASCII碼字元串的解密邏輯如圖6所示。

圖6: ASCII解密路徑

對Unicode字元串的解密邏輯如圖7所示。

圖7: Unicode解密路徑

執行後，會創建一個線程，而後門本身會休眠10分鐘。然後檢查後門有沒有通過RUNDLL32.exe和參數#1載入。如果惡意軟體通過RUNDLL32.exe和參數#1載入，然後在與C2通信前進行初步系統分類。初步系統分類從通過ROOTCIMV2命名空間連接Windows Management Instrumentation (WMI)開始。

圖8: 後門組件的初始執行過程

表1「ROOTCIMV2」和「RootSecurityCenter2」命名空間引用的類。

表1: 引用的類

使用的WMI查詢和註冊表

1.SELECT Caption FROM Win32_TimeZone

2.SELECT CSNAME, Caption, CSDVersion, Locale, RegisteredUser FROM Win32_OperatingSystem

3.SELECT Manufacturer, Model, SystemType, DomainRole, Domain, UserName FROM Win32_ComputerSystem

註冊表是從潛在的管理提權和代理信息中讀取的。

1.查詢註冊表「SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem 」是為了檢查ConsentPromptBehaviorAdmin和PromptOnSecureDesktop的值。

2.查詢註冊表「SoftwareMicrosoftWindowsCurrentVersionInternet Settings」是為了收集含有ProxyEnable, Proxy: (NO), Proxy, ProxyServer值的代理信息。

表2是FELIXROOT後門的一些功能，每個命令都是以單獨線程執行的。

表2: FELIXROOT後門命令

圖9: 命令執行後的日誌

網路連接

FELIXROOT通過HTTP和HTTPS POST協議與C2進行通信。網路上發送的數據會通過特殊的結構進行排列和加密。所有的數據都通過AES進行加密，然後進行Base 64編碼，再發送給C2伺服器。

圖10:發送給C2伺服器的POST請求

其他包括User-Agents, Content-Type, Accept-Encoding在內的其他request/response header域都進行XOR加密了。惡意軟體會查詢Windows API來獲取計算機名、用戶名、硬碟序列號、Windows版本、處理器架構和兩個其它值，這兩個值是1.3和KdfrJKN。KdfrJKN應該是用來識別該攻擊活動，可以在文件的JSON對象中看到，如圖11。