Ejecutable a suelta, pero no por mucho tiempo!

por swiat

El fin de semana hemos recibido un informe de nuestros socios acerca de una posible vulnerabilidad de Internet Explorer sin parchear siendo explotado en la naturaleza. El código del exploit genera un error de corrupción de memoria activado de una página web pero profundamente aprovechase de  un archivo SWF de Flash con el fin de lograr la ejecución de la explotación y el código confiable. El archivo Flash está compuesto de un sofisticado código de ActionScript que asigna ciertos objetos en memoria de tal manera que puede corromperse más tarde por el error de Internet Explorer para dar acceso seguro a la memoria las regiones para el Flash ActionScript código que llevará a continuar la explotación.

En Resumen, nuestro análisis de esta muestra de exploit reveló lo siguiente:

• ASLR es circundada por el atacante a través de una vulnerabilidad de IE de uso después de liberación que corrompe el tamaño de un objeto de <>Flash Vector y genera la posibilidad de ActionScript de Flash acceder a la memoria de forma no segura y divulgar direcciones de módulo, incluyendo NTDLL base;
• DEP se puentea con un gadget ROP, que pone en ntdll!NtProtectVirtualMemory con el fin de cambiar la protección de páginas de memoria de no ejecutables a ejecutable.

La buena noticia es que la vulnerabilidad de corrupción de memoria usada en este ataque-CVE 2013-3163 - se ha dirigido ya por el  Microsoft Security Bulletin MS13-055. Si aún no ha actualizado, por favor hágalo en lo más temprano posible. EMET 4.0 fue capaz de detener esta variante de explotar antes el parche con los siguientes factores atenuantes:

• HeapSpray (también eficaz para EMET 3.0)
• Factores atenuantes de ROP múltiples o: StackPivot, CallerCheck, MemProt cuando se habilita el "DeepHooks"

Consejos para la detección e indicadores

El patrón común de este ataque dirigido limitado es una página web de drive-by "vid.aspx" o "list.aspx" utilizado como punto de partida para provocar el error y ejecutar la carga Flash secundaria; a continuación ofrecemos algunos patrones de URL que pueden ser útiles para el análisis de tráfico de red y registro:

A partir del 7 de julio, todavía algunas de las muestras específicas de Flash fueron detectados por la mayoría de la comunidad de AV según VirusTotal; hashes y nombres de archivos de estas muestras se enumeran también abajo para facilitar la detección para vendedores de AV:

 El código de Shell utilizado por los intentos de muestra recibida para descargar un archivo gráfico (pageerror.gif) que contiene anexo un ejecutable malicioso,  encriptado y comprimido, posiblemente lanzado desde la carpeta % TEMP % usando el nombre de archivo "javae.exe".

Manténgase seguro!,

Cristian Craioveanu, Elia Florio

MSRC Ingeniería