Flash 0day漏洞(CVE-2018-5002)

  • A+
所属分类:网络安全新闻
阿里


推广者专属福利,新客户无门槛领取总价值高达2775元代金券,每种代金券限量500张,先到先得。

2018年6月1日,360核心安全高级威胁应对团队在全球范围内率先捕获了新的一起使用Flash 零日漏洞的在野攻击,黑客精心构造了一个从远程加载Flash漏洞的Office文档,打开文档后所有的漏洞利用代码和恶意荷载均通过远程的服务器下发,此次攻击主要针对中东地区。该漏洞目前影响Adobe Flash Player 29.0.0.171及其以下版本,是今年出现的第二波Flash零日漏洞在野攻击。

Flash 0day漏洞(CVE-2018-5002)

相关漏洞文件分析

该样本具有比较诱惑性的文件名***salary.xlsx,其内容也与标题符合,为各个时间阶段的工资,语言采用阿拉伯语。

***salary.xlsx(MD5: ******517277fb0dbb4bbf724245e663)文档内容完整

黑客通过activex控件和数据嵌入了一个远程的flash文件链接,相关的漏洞攻击代码由远程的服务器脚本控制下发。

Flash 0day漏洞(CVE-2018-5002)

漏洞攻击流程分析

运行该xlsx后会从远端(C&C:people.doha****.com)下载释放恶意swf文件(MD5: ******66491a5c5cd7423849f32b58f5)并运行,该swf文件会再次请求服务端,下载加密数据以及解密KEY,解密后的文件swf(md5:****** e78116bebfa1780736d343c9eb),该文件为Flash 0day exploit,漏洞触发后请求远端下载恶意shellcode并执行。在实时分析的过程中,我们发现攻击者已关闭最终木马荷载的下发。

漏洞原理分析

漏洞的flash攻击代码经过了高度混淆,经过调试分析我们在攻击样本中定位到了零日漏洞攻击代码。

Flash 0day漏洞(CVE-2018-5002)

攻击关联信息分析

漏洞攻击的C&C是people.doha**.com,其对应的ip地址为**.145.128.57,从该域名的whois信息显示该域名注册时间为2018-02-18,说明攻击者在今年2月期间就开始筹备攻击。

写在最后的话

通过分析我们可以发现此次攻击不计成本使用了零日漏洞,攻击者在云端开发了精巧的攻击方案,并花了至少三个月以上的时间筹备攻击,针对攻击目标定制了详细的钓鱼攻击内容,是一起典型的APT攻击。请相关单位和普通用户都需提高安全防范意识,及时更新Flash版本,并使用360安全卫士防御可能出现的漏洞威胁。

CE安全网

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: