系统相关
首页 > 系统相关> > 利用Windows 0day漏洞部署DevilsTongue恶意软件

利用Windows 0day漏洞部署DevilsTongue恶意软件

作者:互联网

导读以色列情报公司Candiru利用微软7月补丁日中修复的2个0day漏洞,部署名为 DevilsTongue 的新恶意软件。

利用Windows 0day漏洞部署DevilsTongue恶意软件利用Windows 0day漏洞部署DevilsTongue恶意软件

0x00 事件概述

近日,微软和Citizen Lab发现Candiru(微软称为 Sourgum)利用微软7月补丁日中修复的2个0 day漏洞(CVE-2021-31979和CVE-2021-33771)部署名为 DevilsTongue 的新恶意软件。

Citizen Lab在其报告中表示,Candiru 是一家位于以色列的情报公司,专门向政府出售间谍软件。根据报道,他们的间谍软件可以感染和监控iPhone、Android、Mac、PC 和云帐户。微软威胁情报中心 (MSTIC)于2021年7月15日发布了该事件的分析报告。据微软表示,Sourgum通常出售网络武器,使其客户(通常是世界各地的政府机构),能够入侵其目标的计算机、电话、网络基础设施和互联网连接设备,然后这些机构自己选择目标人物并进行实际操作。

微软和 Citizen Lab 合作禁用了DevilsTongue。微软研究人员发现,该恶意软件影响了巴勒斯坦、以色列、伊朗、黎巴嫩、也门、西班牙、英国、土耳其、亚美尼亚和新加坡等至少100名受害者,他们包括政治家、人权活动家、记者、学者、大使馆工作人员和政治异议人士。

0x01 事件详情

对Candiru攻击的调查是在CitizenLab分享了一个在受害者系统中发现的恶意软件样本,并导致发现CVE-2021-31979和CVE-2021-33771这2个Windows内核提权漏洞0 day漏洞之后开始的。攻击者可以利用这2个漏洞实现提升权限、浏览器沙箱逃逸并获得内核代码执行权限。目前这2个0 day已在微软7月补丁日中修复。

Citizen Lab使用 Internet 扫描将750多个网站与Candiru的间谍软件基础设施联系起来,进一步确认了事件可信度。此外,他们还发现,这些域中有许多被设计为模仿代表媒体公司和宣传组织的域,包括大赦国际和 Black Lives Matter 运动。

据表示,攻击者滥用了几种流行浏览器和Windows操作系统中的漏洞利用链,将DevilsTongue恶意软件投放到受害者的电脑上。

DevilsTongue恶意软件允许其操作者收集和窃取受害者的文件,解密和窃取Windows设备上的Signal信息,并从LSASS和Chrome、Internet Explorer、Firefox、Safari和Opera网络浏览器中窃取cookies和保存的密码。此外,它还可以利用存储在受害者电脑上的Facebook、Twitter、Gmail、Yahoo、Mail.ru、Odnoklassniki和Vkontakte等网站的cookie来获取敏感信息,比如读取受害者的消息,窃取照片等。

微软研究人员还发现,DevilsTongue还可以在其中一些网站上以受害者的身份发送信息,并且发送信息的能力可以被武器化,以向更多的受害者发送恶意链接。

据微软表示,这些攻击主要针对消费者,微软本周发布的保护措施将阻止Sourgum的工具在已经被感染的计算机上执行,并防止在更新的计算机、运行Microsoft Defender防病毒软件的计算机以及使用MicrosoftDefender for Endpoint的计算机上发生新的感染。

0x02 处置建议

建议Windows用户尽快应用CVE-2021-31979和CVE-2021-33771的安全更新(已于2021年7月13日发布),并启用Microsoft Defender防病毒软件,以防止被恶意软件利用。此外,建议应用以下通用安全建议:

标签:受害者,微软,Windows,恶意软件,2021,DevilsTongue,CVE,0day
来源: https://blog.csdn.net/llawliet0001/article/details/119031032