黑客技术大神联系 *** -FLASH零日漏洞CVE-2018-5002在中东国家的定项互联网攻击分析
最近，ICEBRG 安全性科学研究精英团队 (SRT) 鉴别出了Adobe Flash 0 day漏洞 CVE-2018-5002 的定项互联网攻击个人行为，该 0 day漏洞被攻击者用以对于中东国家关键人员和机构的 *** 渗透。攻击者利用该漏洞结构的故意Flash目标，能够在总体目标受害人电脑执行编码，完成事后渗入的一系列Payload和恶意程序运作。
文中对将该类攻击的关键点状况开展公布，包含技术指标分析、对于伊朗的定项攻击，及其一些保护性对策提议。大家期待公布这种发觉，有利于领域和本人警醒该漏洞的相近互联网攻击，立即搞好安全防护。对于该漏洞，大家已于2018年六月份 4:14 AM PDT 向Adobe开展了首报，在怎能寻找 *** 黑客帮助更快時间内，Adobe企业和大家ICEBRG 安全性精英团队开展了融洽处理并重现了全部漏洞，以后，2018年6月7日Adobe公布了该漏洞补丁下载。
攻击具体描述
大家发觉，此次CVE-2018-5002漏洞的攻击个人行为中，其在总体目标受害人电脑执行的利用编码是根据Microsoft Office来完成下载执行的，全部漏洞利用全过程如下图所显示，更先，当总体目标受害人点一下了攻击者置入故意目标的Microsoft Office文本文档后，会下载执行一个远程控制Shockwave Flash (SWF)文档。有别于大部分 Flash 利用编码配用Microsoft Office的内嵌式传播效果，这儿的 Microsoft Office 文本文档应用了一个非常少有些人熟识的作用，来从攻击者构架的服务端载入了全部采用的SWF內容。
怎能寻找 *** 黑客帮助之一阶段的SWF散播全过程中涉及到了一个 RSA AES 的数据加密体系，它能够维护事后做为具体exploit利用编码的SWF下载执行和派发。这类像RSA的对称加密运用能够避开一些传统式的播放型安全防护设备，并避免 过后互联网数据文件的捕捉剖析;第二阶段SWF派发中，当总体目标受害人系统软件执行Microsoft Office 文本文档被点一下开启后，便会应用以前的加密算法去从攻击者 *** 服务器中远程控制下载执行包括侧门作用和事后利用专用工具的shellcode编码，最后完成对总体目标电脑操作系统的侵入操纵。一般，最后的攻击Payload包括了一系列威慑力的关键shellcode编码，大家曾试着去修复获取最后Payload，但出自于其他缘故，最终仍未取得成功。
远程控制 FLASH 包括
因为许多 电脑浏览器禁止使用了Flash作用，因此 ，本次攻击是以 Microsoft Office 內部载入Adobe Flash Player而起的，它是一种十分时兴的方式。但从此外一个层面而言，本次攻击又别有不一样。一般而言，攻击者会在文本文档中置入全部做为exploit利用编码的Flash文档，或进行一些有可选择性的 exploit 或 payload下载实际操作(如 APT28/Sofacy DealersChoice等)，这就为安全性防御者留有了可被标识或被回朔鉴别的 Flash loader 文档。
与这怎能寻找 *** 黑客帮助些典型性的攻击利用不一样，本次攻击沒有立即置入Flash，只是应用了一个少为人正直知的作用来远程控制包括了Flash內容，如下图所显示，最后组成实际效果是，只看获得挑选了Flash Player ActiveX 控制的XML封裝器和一个带参OLE目标：
图中中的Flash目标中，包括了一个“Movie”特性，而在“Movie”特性中又界定了一个远程控制的Flach目标详细地址，这纯碎是一个原始目标包括的运用案例。这类远怎能寻找 *** 黑客帮助程载入内嵌式Flash目标的 *** 具备好几个明显优势：
免杀及避开性：更先，从 Microsoft Office 文本文档自身而言，不包含一切恶意程序。静态数据检验而言，更好是的查验 *** 是去剖析远程控制包括的Flash內容。动态性检验而言，必须防御力的沙盒游戏/手机模拟器务必与攻击者服务器虚拟机故意內容的接受互动，这就规定数据分析系统与Internet有即时联接。并且，攻击者能够根据要求的IP地址或HTTP报头，来有选择服务项目于下一阶段渗入。一旦对总体目标系统软件创建了访问限制通道，攻击者就可以停止使用她们的C2 *** 服务器，接着对攻击的剖析只有依靠一些遗留下个人行为物证了。
总体目标目的性：因为攻击者能够可选择性地为受害人系统软件出示漏洞攻击利用编码，她们能够将攻击限定在有目的性的受害人系统软件以上。就例如，攻击者能够根据地区ISP将总体目标企业或本人的互联网纳入授权管理怎能寻找 *** 黑客帮助，而将云系统架构和安全性企业纳入信用黑名单，进而限定对特殊IP地址的浏览。HTTP报头中的“Accept-Language” 和 “User-Agent”，也可用以将已经知道的受害人场地系统软件自然环境纳入授权管理，或将出现异常或落伍回应的 *** 安全产品纳入信用黑名单。HTTP报头的排列、包括或缺少一般也很有可能区别 *** 安全产品、真正受害人和定项总体目标。最终，“x-flash-version” 则能用来包括受害人系统软件的Flash Player版本号，攻击者在服务器端能够依据该版本号挑选最有效的漏洞利用编码来开展攻击。
即便 攻击者这类静态数据的存有 *** 占有室内空间较小，但在 Microsoft Office 文本文档载入全过程中，远程控制Flash目标也依然会在Microsoft Office 文本文档中获取执行怎能寻找 *** 黑客帮助。
数据加密体制
攻击取得成功后，从服务器端到手机客户端的数据通讯由下面的图利用AES对称性优化算法的自定数据加密体制来搞混，这类AES和RSA的组成利用，使Payload数据信息和对称性密匙也可以获得数据加密维护。而其自定的数据加密体制则利用了一个公共性的 ActionScript 脚本 *** 库来执行一些更底层实际操作。
手机客户端更先向服务器端进行数据通讯要求，在这里全过程中，手机客户端根据HTTP 怎能寻找 *** 黑客帮助 POST *** ，向服务器端推送一个随机生成的RSA算法变位系数n，及其公匙指数值e=0×10001，也即公匙(n，e)，以后服务器端用下列数据加密文件格式数据信息开展回应：
0×0: Encrypted AES key length (L)
0×4: Encrypted AES key
0×4 L: AES IV
0×14 L: AES encrypted data payload
为了更好地破译Payload数据信息，手机客户端用其随机生成的公钥对数据加密的AES密匙开展破译，以后，再用这一破译过的AES密匙对Payload数据信息开展破译。
在这里，具有任意密钥生成的公匙数据加密附加层尤为重要，假如要开展攻击剖析，务必利用它来修复随机生成密匙，或破译RSA数据加密以剖析攻击的事后层，如怎能寻找 *** 黑客帮助果手动式的调查取证剖析实际操作恰当，则很有可能会有一定的获得，而一些全自动型的 *** 安全产品做不到这一点，很有可能会捕捉到一些失效数据文件。并且，历经破译的Payload数据信息会停留在运行内存中，对传统式的硬盘调查取证和非易失性剖析产生挑戰。
在大家捕捉的攻击情景中，攻击者挑选了一种长短为512比特的RSA变位系数n，依照现如今规范看来，这类长短是不安全的，要是投入一些勤奋很有可能便会被破译。虽然能够根据线上剖析来检验仿真模拟受害人或建立中介人服务项目复原攻击，但来看线下剖析也是行得通的，仅仅会略微费劲。
远程控制包括的Flash漏洞利用编码和对称加密体制的组成是抵抗过后剖析的强有力对策，一旦受害人系统软件被攻克，则其系统软件上唯一的遗留物将总是是包括了URL连接的原始鱼饵文本文档。在这类状况下，安全防御方很有可能会根据互联网数据文件捕捉来复原攻击，可是，由于沒有为受害人任意建立的怎能寻找 *** 黑客帮助公钥，防御力方将没法破译攻击者的编码以修复事后渗入环节的exploit或payload数据信息，在这类状况下，防御力方唯一的行得通对策便是应用一个弱一点的RSA公匙模长开展暴力破解密码了。
0-day 漏洞的利用
手机客户端与服务器端根据加密算法建立联系以后，漏洞利用编码的Payload即被载入，并开启事后攻击编码执行。虽然鱼饵文本文档是一个 Microsoft Office，但事后攻击编码可能在 Adobe Flash 器皿中进行。
大伙儿很有可能会有疑问，为何要在 Microsoft Office 中执行 Flash 漏洞利用编码呢?过去两年，许多 电脑浏览器对包含 Adobe Flash 以内的外界软件和运用都作了限定以缓解攻击面。相近的安全防范措施可从GoogleChrome浏览器 v.55版本号看得出，它默认设置怎能寻找 *** 黑客帮助是禁止使用 Flash的。此外， Office 还依然适用 Flash 以内的内嵌式 ActiveX 控制，但依据全新微软公司表明，在今年最新版本的Office 365商品中这类适用作用会有一定的更改。
这类0-day而不是N-day漏洞的应用，在全部攻击链的运用中十分有趣。因为0-day漏洞对客户而言，沒有一切能用的恢复补丁下载，而对攻击者而言，其漏洞利用编码的低易用性及其检验鉴别的低通过率，导致对总体目标系统软件的攻击通过率十分之高。
但另一方面，0-day漏洞的应用也存有一些缺陷，不但攻击成本费会十分昂贵，并且也会提升一些被开展调查的风险性。就例如二零一五年Hacking Team的內部会话就揭秘了大量 Adobe Flash 0-day漏洞的在野利用，在其中每一个漏洞的利用编码市场价达到3到4万美元。并且，当 0怎能寻找 *** 黑客帮助-day漏洞攻击被公布以后，剖析调研工作人员会再次深层次对以后的N-day攻击开展科学研究。
通信 ***
在全部攻击全过程中，鱼饵文本文档被点一下以后便会更先向攻击者远程控制C2 *** 服务器，执行原始SWF和几块的数据加密数据信息下载，并传回受害人系统软件的基本资料，二种互联网个人行为全是HTTP *** 。全部下载內容都是会包括一个与众不同的名叫’token’的32字节数主要参数，这一主要参数也会在事后连接的URI途径做为 Flash 主要参数被器重。
下载的SWF会把系统日志数据信息额外到名叫 ‘stabUrl’ 的连接中，该连接也是偏向攻击者的C2 *** 服务器。全部的URI会被额外一个任意值产生特殊字符串数组搭建而成(如下图所显示)，该任意会显示信息当今涵数及其涵数内的过程，而该过程则用于以追踪攻击实际效果的取得成功是否，如怎能寻找 *** 黑客帮助取得成功查找传回之一阶段后的值是 ’0-0-0′：
stabUrl “%d-%d-%d.png?x=” Math.random()
取得成功与服务器端创建联接通讯以后，手机客户端会向包括第二阶段漏洞利用编码SWF的 ‘encKeyUrl’ 主要参数进行一个要求，以后也会向“downloadUrl”发出请求来下载shellcode payload。假如第三阶段中，假设的总体目标地区向C2 *** 服务器传回信息内容，但C2 *** 服务器无一切Payload回应，则表明本次攻击被阻止毁坏了。以后的GET要求中，应用’2-0-1.png’来认证说明受害人系统软件是一个在总体目标范畴内可适用的Windows版本号，这种信息内容会包含Windows 怎能寻找 *** 黑客帮助 XP 到 Windows 10的系统版本。全部与C2的互联网互动全过程如下列两图所显示：
对于伊朗的 定向攻击
在下图名为 “ا怎么能找到黑客帮忙;لراتب الاساسي.xlsx” 的诱饵文档中，翻译过来是 “basic_salary.xlsx”，这是一个 *** 语主题的文档，旨在告知目标受害者薪水调整方案。正巧，这个诱饵文档在2018年5月31日被从卡塔尔的某个IP地址上传到了VirusTotal。该薪水调整文档中大多涉及的职业，都是外交界相关的，如外交秘书、大使、外交官等。
在该文档中，攻击者使用了带有 “doha” (多哈)的域名 “dohabayt[.]com” 来作通信回连，其中之一部份包含了卡塔尔首都多哈“doha”，第二部份则是中东知名工作 *** 网站 “bayt[.]com”，这些都是一些迷惑性手段。
ICEBRG 评估认为，该文档是针对特怎么能找到黑客帮忙定卡塔尔目标受害者的定向 *** 攻击，鉴于最近其他一些中东国家对卡塔尔的持续封锁，以及有人指控卡塔尔利用 *** 和承包商对美国政坛组织人员发起攻击，而这种有针对性的定向 *** 攻击并不令人意外。
攻击指标
在以上识别捕获的攻击链中，我们分析出了很多原始的攻击威胁指标，这些指标通常是一些性状偏弱的指标，因为它们在其它攻击场景和活动中很容易被攻击者更改，以建立更加有力和隐蔽性的攻击路径。
虽然此次被捕获识别的攻击利用了0-day漏洞，但这种个别攻击行为不会孤立发生，可能还有其它能被检测的行为特征。任何单一的可检测指标的置信度较低，但多个被识别指标的组合就更能增加这种复杂定向攻击的目的性了：
使用新注册和低信誉度的域名架构：其使用的域名“dohabayt[.]com” 是最才近注册的域名，而且其域名托管商Abelons此前曾因 *** 滥用被举报。
恶意Flash内容的分阶段下载：在攻击链中，诱饵文档通过远程加载加载恶意Flash对象，从而产生可观察的HTTP流量，用标题 “x – Flash-version”来识别后续Flash利用代码下载。
使用了开源证书签发机构“Let’s Encrypt”签名证书：经分析，其中一个恶意伪造证书为在线免费的“Let’s Encrypt”网站签发。
Office 文档使用了远程包含实现嵌入使用：攻击怎么能找到黑客帮忙使用了一种不常见的远程包含Flash嵌入 *** ，该 *** 中对于一些不可信的包含源，可能存在威胁可能。
因为美俄两国之间最近签订了《削减进攻性战略核武器条约》,根据条约规定:美俄两国将拥有的核弹头削减至1550枚,所以美国拥有1550枚(不包括还未拆除的),世界上公认的五个核大国是中国、美国、 俄罗斯、英国、 法国。 1、中国 目前,中国核武库主要集中在中远程核力量方面。 *** 黑客高手联系方式
怎么成为黑客详细教程手机目前检测不出来,只能安装安全软件,一有什么关于病毒的都会拦截或者直接删除。防止黑了侵入要注意以下几点:之一,不。
*** 黑客高手联系方式白帽黑客是指白帽匿名者(whitehathacker),其又称为白帽子,是那些用自己的黑客技术来维护 *** 关系公平正义的黑客,测试 *** 和系统的性能来判怎么能找到黑客帮忙定它们能够。
。在群里直接解散群就好了能。 不过就算能,你也请不起。 他有这个能力还需要去帮你黑学信网吗? 随便干点正事年薪也有百万吧。 不要动这种歪心思了,想考学历可以通过合法正规。
开放平台品牌合作知道福利财富商城特色经验宝宝知道作业帮手机版我的知道如何防止通讯社网站及社交媒体帐号黑客攻击搜索资料。 *** 黑客高手联系方式
重要的是思路,工具不是最重要的。一些工具:FireBug,Autoproxy,nmap,sqlmap,metasploit,Wireshark,外加一些python小脚本提高效率。
*** 黑客高手联系方式。在这年头,有机会有时间多去一些站点和论坛区学习,当黑客很酷很牛!什么东西都不是很容易能做到的,不过很少有人知道有多少的辛酸和困苦,我说的有。
标签：
版权声明
本文仅代表作者观点，不代表本站立场。
本文系作者授权发表，未经许可，不得转载。
