NanSh0u攻击活动样本分析 – 作者:东巽科技2046Lab-安全小百科

NanSh0u攻击活动样本分析 – 作者:东巽科技2046Lab

NanSh0u背景

本文主要从漏洞的角度针对样本CVE-2014-4113漏洞提权操作进行分析。

具体的分析流程如下：

详细分析

1、初始加载Windbg

在系统启动之前利用Windbg工具加载整个操作系统，为样本运行后期内核调试做准备。然后让系统正常启动，并通过IDA加载运行样本。

2、获取内核PsLookupByProcessId函数

样本运行后，首先获取内核导出函数PsLookupByProcessId的内存地址，PsLookupByProcessId是一个内核函数，它的作用是通过进程ID号获取该进程的EPROCESS结构，获得了EPROCESS也就获得了整个进程最重要的数据结构。

在后面的章节中我们可以看到shellcode使用PsLookupByProcessId函数来获取SYSTEM进程的EPROCESS结构，从而达到提权的目的。

首先获取未公开的函数ZwQuerySystemInfomation。

获取ZwAllocateVirtualMemory内存函数地址，为后面提权操作分配tagWnd内存提供函数支持。

通过call函数获取当前运行环境的kernel的路径和名称, 并利用LoadLibrary函数加载内核库ntoskrnl.exe，成功加载内核库后获取到PsLookupByProcessId函数的内存地址。

3、 CVE漏洞提权

样本通过创建线程的方式，实现完整的CVE漏洞提权，线程截图如下：

进入CVE漏洞提权线程后，首先创建一个Windows窗口。（CVE-2014-4113是一个内核漏洞，因为内核在处理窗口菜单消息时，使用了不正确的窗口句柄，调用了固定内存地址的代码，从而造成了系统的漏洞）

因为调用的是固定内存地址位置的代码，所以我们需要在固定的内存地址位置分配内存页，在这个内存区域里准备tagWnd数据结构，并将shellcode写入到tagWnd数据结构中，初始化tagWnd结构数据。

创建两级菜单，设置窗口HOOK函数，以便窗口在收到消息的时候可以执行pfnFilterProc替换默认的消息处理函数。

在HOOK回调函数中，更改该窗口的默认消息函数为dwNewLong。

更改后的消息处理函数会销毁菜单，并且将消息处理函数返回值设置为-5（FFFFFFFB，这个数字是造成漏洞的重要原因，后面可以看到）

调用TrackPopupMenu模拟菜单事件，触发系统漏洞。在运行TrackPopupMenu之前，我们需要在Windbg工具界面针对内核态函数win32k!xxxMNFindWindowFromPoint下断点，win32k!xxxMNFindWindowFromPoint函数成功中断。

通过下图可以看到整个的函数调用栈，从TrackPopupMenu函数进入内核，然后看到xxxMNFindWindowFromPoint的整个调用过程。

Win32k!xxxMNFindWindowFromPoint函数执行完毕，返回值为-5。

TrackPopupMenu产生的消息交给了窗口的默认消息函数，即回调函数dwNewLong。

接下来代码返回到win32k!xxxHandleMenuMessages中，我们可以很清楚的看到，xxxMNFindWindowFromPoint的合法的返回值（tagWnd结构指针）为非0值，-1和-5。现在-5被当成了合法的tagWnd句柄，我们可以继续往下执行了。在Win32k!xxxSendMessageTimeout函数中，shellcode得以成功执行。

此样本shellcode主要用于提权，通过上文中的PsLookupByProcessId内存函数获取SYSTEM进程的令牌，并修改当前进程的令牌，从而获取到SYSTEM权限。

4、创建具有SYSTEM权限的进程

样本通过SYSTEM权限创建子进程，以SYSTEM的权限从C&C端下载挖矿程序，在后台运行并进行挖矿行为操作。

NanSh0u组织活动IOCs

Hash

685f1cbd4af30a1d0c25f252d399a666

c5c99988728c550282ae76270b649ea1

70857e02d60c66e27a173f8f292774f1

68862438fae4c937107999ff9d8ff709

3ccb047b631ed6cab34ef11ccf43e47f

1f9007fbf6a37781f7880c10fc57a277

5899fde33dc7cf35477b998c714454eb

1ad8d0594f9baffe332ccfefb25475df

1873944ee02b9e68af2d4997da5e5426

e6b9054759e4d2d10fcf42d47d9e9221

1770c9bf4a41c5115425d76df052b6a2

2d740789efd7f16bff42651ae69b0893

876e504b8ddb231d8eeaefa2b9e38093

e27490ae6debe3be25794b4dcbaa8e24

1f0606c722693c9307ebf524c53f3375

19594b72fc16539a5122217e6e3bb116

6dd0276e1f66f672e8c426c53b3125a5

82e55177fa37a34dca1375d542c06ac0

7c4b1ebba507bc2d0085278d28a899b2

c06c3a79f70bfd5474bab8a13acdb87e

8ca92722641c73758e5a762033e09b11

9887d95973ac89c802571c2bbd346cbf

252d1721335108cdc643d36c40d4eaf6

b9161d07b4954d071ae0f26c81e56807

3425fc4d60a7401c934c73a12a30742b

93610bed2e15e2167a67c0e18fee7e08

b79f7a7947cb7e9ea1f0d7648e765cee

df4bacb064a4668e444fd67585ea1d82