勒索病毒预警(续):天融信关于勒索病毒 GlobeImposter 最新变种深度分析报告

1 背景介绍

近日,部分单位内部网络受到勒索病毒攻击,经确认是“GlobeImposter”勒索病毒的最新变种,该勒索病毒采用高强度加密方式加密用户文件。
攻击者在进入内网后,利用黑客工具进行内网渗透并选择高价值目标服务器进行人工投放勒索病毒。为防止其它单位受到该勒索病毒的攻击,需积极应对。

1.1 病毒情况描述

本次爆发的勒索病毒,它会使用高强度加密方式加密磁盘文件并将后缀名篡改为.Techno、.DOC、.CHAK、.FREEMAN、.TRUE. 、RESERVE 等。现已确认,在没有病毒作者私钥的情况下无法恢复被加密的文件。
最终该病毒将引导受害者通过邮件与勒索者进行联系,要求受害者将被加密的图片或文档发送到指定的邮箱进行付费解密。

image001

1.2 风险等级

风险等级:

 

[......]

Read more

天融信关于勒索病毒 GlobeImposter 最新变种的预警通告

1.背景介绍

近日,部分单位内部网络受到勒索病毒攻击,经确认是“GlobeImposter”勒索病毒的最新变种,该勒索病毒采用高强度加密方式加密用户文件。

攻击者在进入内网后,利用黑客工具进行内网渗透并选择高价值目标服务器进行人工投放勒索病毒。为防止其它单位受到该勒索病毒的攻击,需积极应对。

1.1病毒情况描述

本次爆发的勒索病毒,它会使用高强度加密方式加密磁盘文件并将后缀名篡改为.Techno、.DOC、.CHAK、.FREEMAN、.TRUE 等。现已确认,在没有病毒作者私钥的情况下无法恢复被加密的文件。

最终该病毒将引导受害者通过邮件与勒索者进行联系,要求受害者将被加密的图[......]

Read more

天融信关于Apache Struts2 S2-057命令执行漏洞预警

一、背景介绍

Apache Struts框架是一个一个基于 Java Servlets,JavaBeans, 和 JavaServer Pages (JSP)的Web应用框架的开源项目,Struts基于Model-View-Controller (MVC)的设计模式,可以用来构件复杂的Web应用。

它允许我们分解一个应用程序的商业逻辑、控制逻辑和表现逻辑的代码,使它的重用性和维护性更好。Struts框架是Jakarta工程的一部分,由Apache软件基金会管理

1.1漏洞描述

根据Apache 于2018年8月22日发布的安全公告表明,Struts2由于部分配置不当或可造成远程命令[......]

Read more

Windows下反(反)调试技术汇总

 

一、前言

对于安全研究人员来说,调试过程中经常会碰到反调试技术,原因很简单:调试可以窥视程序的运行“秘密”,而程序作者想要通过反调试手段隐藏他们的“秘密”,普通程序需要防止核心代码被调试逆向,恶意代码需要隐藏自己的恶意行为防止被跟踪。就像病毒和杀软的关系一样,为了顺利的逆向分析,有反调试手段就有对应的破解方法-反反调试。

关于各种反调试手段,网络上和各种安全书籍上都有对应的介绍、各种调试工具插件已经集成了反调试功能,但有的只是介绍了反调试方法,并没有对应的破解方式,有的反调试手段已经失效。本文并不是研究新的反调试方法,而是对windows平台的反调试技术进行分类总结,并[......]

Read more

天融信关于Microsoft Exchange内存损坏造成RCE漏洞的预警

一、背景介绍

Microsoft Exchange Server 是个消息与协作系统,可被用于构建企业、学校的邮件系统。它还是一个协作平台,可在此基础上开发工作流程、知识管理系统、Web系统或者是其他消息系统,是一个全面的Internet协作应用服务器,适用于有各种协作需求的用户使用。

1.1漏洞描述

Microsoft Exchange Server软件中存在一个远程执行代码漏洞,攻击者只需要通过一个普通权限账号来发送语音邮件,就可以在服务器以System用户权限执行任意代码漏洞。

Microsoft Exchange Server在开启UM后,会自动试图将语音转换成文本。恶意p[......]

Read more

针对CVE-2018-8120 Windows提权工具兼容性BUG定位及修复

一、背景介绍:

2018年5月微软发布了针对Windows操作系统内核组件漏洞(CVE-2018-8210)的补丁,该漏洞影响多个版本的操作系统,成功利用漏洞可使得普通应用程序以内核权限执行任意代码。

笔者在6月对该漏洞进行分析并发布了漏洞分析和漏洞利用文章(地址),文中同时附带了一份提权工具,支持WinXP、Win2003、Win7、Win2008等系统。后有网友回帖表示在Win7 x86系统下该利用工具无效,经调试确认提权工具确实存在部分兼容性问题。本文将针对该问题进行补充说明,解决存在的兼容性问题。

CVE-2018-8120为缓冲区溢出漏洞,可造成内核任意地址写入。 前文[......]

Read more

VLC Media Player 2.2.8 Use After Free漏洞分析

一、背景介绍

VLC 是一款自由、开源的跨平台多媒体播放器及框架。它支持众多音频与视频解码器及文件格式和各类流式协议,也能作为流式服务器在IPv4或IPv6的高速网络连接下使用。

本文主要分析VLC Media Player 2.2.8版本的MKV格式视音频分离器(demuxer)中存在的一个UAF漏洞,实验环境为最新版本的Win10 64位,主要从漏洞细节和漏洞的利用两大部分对漏洞进行分析。

在漏洞细节部分,主要分为以下三个方面:

1.如何找到漏洞触发点?

2.如何确定UAF对象?

3.分析漏洞成因。

在漏洞利用部分,下面这些问题都将得到说明:

1[......]

Read more

动态二进制修改(Dynamic Binary Instrumentation)入门:Pin、DynamoRIO、Frida

原文链接:http://deniable.org/reversing/binary-instrumentation
原文日期:Jul 25, 2018
原作者: rui
因原文较长,翻译分为2部分。此文为第1部分,覆盖原文的1-5章。
  • 介绍

Instrumentation(修改)

动态程序分析

性能

  • Pin

Pin配置(Windows)

Pin与Visual Studio集成

  • DynamoRIO

DynamoRIO配置(Windows)

DynamoRIO与Visual Studio集成

  • Frida

Frid[......]

Read more

天融信关于CVE-2018-2893 WebLogic反序列化漏洞分析

一、背景介绍

WebLogic是美国Oracle公司出品的一个Application Server,确切的说是一个基于JAVA EE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。

1.1 漏洞描述

Oracle官方在2018年7月发布了关键补丁更新,其中包含了Oracle WebLogic Server的一个高危的WebLogic反序列化漏洞,通过该漏洞,攻击者可以在未授权的情况下远程执行代码。

此漏洞产生于WebLogic T3服务,当开放WebLogic控制台端口(默认为7001端口)时,T3服务会默认[......]

Read more

天融信关于WebLogic反序列化漏洞CVE-2018-2893漏洞预警

一、背景介绍

WebLogic是美国Oracle公司出品的一个Application Server,确切的说是一个基于JAVAEE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。

1.1漏洞描述

近日研究人员发现了一个Oracle WebLogic Server的远程代码执行漏洞(CVE-2018-2893),通过该漏洞攻击者可以在未授权的情况下远程执行任意代码。该漏洞主要利用JDK反序列化漏洞结合JRMP[......]

Read more