vpn_rce工具投毒事件分析

admin 2023年8月17日15:01:57评论29 views字数 1042阅读3分28秒阅读模式
前言

从蓝队中分析中,发现钓鱼和投毒事件越来愈多了,


不是星标不推送文章了。

师傅也不想吧~

快把极梦C设置成星标吧。


工具投毒


https://github.com/CyberSnakeSec/xaq-vpn-pwn
上传时间:2023.8.15
c2地址:108.61.89.77    
利用java加载shellcode进行上线
GitHub尚未下架该样本。
下图为Github界面详情,和激活样本的相关操作。




vpn_rce工具投毒事件分析


简单分析,下载样本后,所有的样本均带签名,唯有这个jar无签名信息



vpn_rce工具投毒事件分析


vpn_rce工具投毒事件分析

vpn_rce工具投毒事件分析


从jar包解压,看到5个文件,其中bin文件经过查看是MZ可执行文件,解码后是正常的VPN界面程序。




vpn_rce工具投毒事件分析

vpn_rce工具投毒事件分析


代码审计后发现,恶意代码藏在pwnAction.class 中,详细情况如图,在8位的byte类型中,-4,72相当于FC,48,熟悉Shellcode的兄弟,可以一眼看出问题




vpn_rce工具投毒事件分析




看不懂没关系,直接运行一下。



vpn_rce工具投毒事件分析



shellcode放到txt中.看到外联地址。




vpn_rce工具投毒事件分析



微步查看即可~


vpn_rce工具投毒事件分析


关于这个样本,免杀很好,
虽然微步将该样本判定为恶意,
但是检测引擎显示的是0/26
vt 0/61



vpn_rce工具投毒事件分析


vpn_rce工具投毒事件分析



造成这样情况的原因主要有两个,一个是样本增加了参数,无参执行并不会触发该外联行为,这个行为导致行为沙箱无法识别。
还有个原因是java的编译的底层是smali代码,虽然表面上是char数组,但是实际上shellcode并不是连续状态,参杂了执行的混淆代码。




vpn_rce工具投毒事件分析






后台回复"vpnrce",获取样本地址.









星球内容

正式运营星球:

1.src真实漏洞挖掘案例分享(永久不定时更新),过程详细一看就会哦。
2.自研/二开等工具/平台的分享。
3.漏洞分析/资料共享等。






vpn_rce工具投毒事件分析




vpn_rce工具投毒事件分析


vpn_rce工具投毒事件分析




vpn_rce工具投毒事件分析

vpn_rce工具投毒事件分析

vpn_rce工具投毒事件分析



vpn_rce工具投毒事件分析


vpn_rce工具投毒事件分析


vpn_rce工具投毒事件分析




vpn_rce工具投毒事件分析



vpn_rce工具投毒事件分析








关于文章/Tools获取方式:请关注交流群或者知识星球。











关于交流群:因为某些原因,更改一下交流群的获取方式:

1.请点击联系我们->联系官方->客服小助手添加二维码拉群 。  

vpn_rce工具投毒事件分析







关于知识星球的获取方式:

1.后台回复发送 "知识星球",即可获取知识星球二维码。

2如若上述方式不行,请点击联系我们->联系官方->客服小助手添加二维码进入星球 。  

3.为了提高质量,推出"免费名人堂"名额,后台回复发送 "知识星球"了解详情。

vpn_rce工具投毒事件分析








免责声明


        


本公众号文章以技术分享学习为目的。

由于传播、利用本公众号发布文章而造成的任何直接或者间接的后果及损失,均由使用者本人负责,公众号及作者不为此承担任何责任。

一旦造成后果请自行承担!如有侵权烦请告知,我们会立即删除并致歉。谢谢!





vpn_rce工具投毒事件分析



原文始发于微信公众号(极梦C):vpn_rce工具投毒事件分析

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年8月17日15:01:57
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   vpn_rce工具投毒事件分析https://cn-sec.com/archives/1961164.html

发表评论

匿名网友 填写信息