cve-2017-11826

2017年10月10日，微软在例行的月度补丁中修复了一个漏洞编号为CVE-2017-11826的在野Microsoft Office 0day 漏洞。鉴于CVE-2017-11826已存在在野利用案例，金睛安全研究团队发布安全预警，提醒广大用户及时修补漏洞。

漏洞编号：

CVE-2017-11826

漏洞影响软件：

Microsoft Office Compatibility Pack Service Pack 3

Microsoft Office Online Server 2016

Microsoft Office Web Apps Server 2010 Service Pack 2

Microsoft Office Web Apps Server 2013 Service Pack 1

Microsoft Office Word Viewer

Microsoft SharePoint Enterprise Server 2016

Microsoft Word 2007 Service Pack 3

Microsoft Word 2010 Service Pack 2 (32-bit editions)

Microsoft Word 2010 Service Pack 2 (64-bit editions)

Microsoft Word 2013 RT Service Pack 1

Microsoft Word 2013 Service Pack 1 (32-bit editions)

Microsoft Word 2013 Service Pack 1 (64-bit editions)

Microsoft Word 2016 (32-bit edition)

Microsoft Word 2016 (64-bit edition)

Word Automation Services

Word Automation Services

漏洞样本分析：

a. 样本运行后，会首先进行堆喷布置shellcode。漏洞利用成功后，会通过栈交换，ROP攻击等方式绕过ASLR并跳转到以下shellcode入口处。

b．shellcode中获取API地址的方法皆是通过Hash值匹配函数名，获取函数地址（以下示例为获取VirtualAlloc函数地址）。

c．通过遍历进程中的句柄，查找到文件，符合大小0xA000 ~ 0×200000之间，并且初始数据为0x74725C7B（rtf文件头），找到即是自身的rtf文件。

d． 对找到的文件进行搜索，通过0xFEFEFEFE，0xFFFFFFFF定位到一段加密的shellcode。

e． 继而通过异或（0xBCAD3333）对shellcode进行解密，并跳转执行。

f. 拼接一个文件名，并创建该文件（%temp%….\Roaming\Microsoft\Word\STARTUP..wll）。

g. 继续对文件内容向下搜索，再次通过0xBABABABA定位到一段加密的数据。

h．通过异或（0xCAFEBABE）解密，解密到值为0xBBBBBBBB为止。解密出来是一个dll文件，然后将它写入到..wll文件中。

i．然后跳过0xBB，继续向后进行解密（0xBAADF00D），到解密出的数据为0xBCBCBCBC为止。

j．最后解出来的数据为一个新的rtf数据文件，然后将其写回到原rtf文件。

k．最终解密出来的rtf文件如下：

该文档是为缅甸语编写，文档内容与某恐怖组织相关，再结合后续回连的C&C服务器，此次攻击应为一次APT定向攻击。

通过翻译发现该文档与恐怖组织德穆尔圣战组织相关。

释放动态库分析：

a. 释放的动态库主要有两个功能，一是下载payload压缩包并运行，二是上传系统信息。

b. Dll运行后下载https://cdn1.mymyawady.com/x4/dll/logo.jpg，这其实是一个压缩包。

c. 下载成功后，保存到系统临时目录，文件名称以_@开始。随后利用expand.exe解压文件。

d. 解压之后，创建进程，执行解压出的exe。由于之前的木马下载地址已经失效，暂时无法对木马进行深入分析。

e. 如果上述下载，解压，运行失败，会继续尝试一次，但url是https://cdn2.mymyawady.com/x4/dll/readme.txt。

f. 之后不管是否成功，都会上传系统信息。会收集系统的SID、账号、计算机名称、本地IP、所下载url、公网IP等。

g. 并把之前那两个url是否下载成功附加在后边，如果成功是Success，识别是Failed。

h. 上述数据经过Base64编码之后，通过POST协议发送给https://cdn3.mymyawady.com/x4/dll/info.php。

IOC：

https://cdn1.mymyawady.com/x4/dll/logo.jpg https://cdn2.mymyawady.com/x4/dll/readme.txthttps://cdn3.mymyawady.com/x4/dll/info.php

45.77.46.81

解决方案：

1. 及时更新并安装微软2017 年10月10日发布的补丁。

补丁链接：

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11826