前沿技术

30期报告汇总

安天发布《以印度驻阿富汗大使为目标的新型恶意软件“ROVER”分析报告》
 
       近日,安天追影小组在梳理近期恶意攻击事件时,发现了一起针对印度驻阿富汗大使的APT定向攻击事件。攻击者利用CVE-2010-3333漏洞制作富文本文件,以邮件为传播方式,实现下载木马主程序,最终窃取用户数据。

       以下内容为本次攻击过程的具体描述:近日印度驻阿富汗大使收到一封发件人署名为“印度目前的国防部长”的邮件,邮件中赞扬了该大使为国家所做的贡献和取得的成功,邮件中含有一份附件名为“Appreciation_letter.doc”。

       实际上,该邮件附件是利用了漏洞CVE-2010-3333的一个富文本文件,一旦受害者在有漏洞的word版本打开该文档,就会触发漏洞。该漏洞是office的RTF解析漏洞,主要是在解析pfragment属性出现的栈溢出问题,漏洞函数存在于mso.dll模块中,漏洞函数在数据复制时其复制次数可以在pfragment属性中设置。因为没有对复制次数进行检测,导致栈溢出,栈溢出后可以覆盖SEH链,最后触发异常劫持EIP并跳转到shellcode处执行,从而完成漏洞利用。
       
       被利用该漏洞后,受害机器将从newsumbrella.net下载文件“file.exe”,该程序是一个下载器,它从newsumbrella.net下载主Rover恶意软件和相关插件,随后这些文件会在受害机器上运行,盗取受害者硬盘中指定类型的文件及受害者键盘记录、屏幕截图等数据,并上传至C2服务器,完成攻击目的。

       据了解,恶意软件Rover主要利用的技术为“OpenCV”和“OpenAL”,相对于当下一些先进的恶意软件,Rover其实缺少很多常用功能,但它却能完美躲过各路安全厂商的查杀。随着“互联网+”时代的到来,安天追影小组预测越来越多以组织、国家为目标的“Rover”类似软件将会出现,了解其攻击行为和技术,是维护组织信息安全的关键所在。

 
按访问者
政府
运营商
金融
能源
合作伙伴
新闻媒体
求职者
关于我们
公司概况
工作机会
大事记
部分客户
公司荣誉
诚聘英才
常用链接
产品综述
终端侧安全
威胁深度鉴定
引擎类
态势感知
威胁响应
公告与报告
服务与支持
服务与支持
软件升级
售后服务
安全培训服务
安全技术服务