tgoop.com/secinfosex/21
Last Update:
Подробные детали истории WizardOpium
В общем кто-то подломил корейский портал, и разместил там свой js с закосом под jQuery компонент.
JS выполнял первую стадию атаки - валидацию Chrome браузера на x64 архитектуру и версию >=65, и в случае успеха серией ajax запросов загружал и расшифровывал основную начинку.
Обфусцированная часть снова валидировала версию, но уже 76 и 77, что может намекать на то, что 0day под 65+ еще небыл адаптирован, но планировалось.
Далее через уязвимость пытались вычитать адреса из памяти процесса для обхода ASLR, забили кучу, и загрузили шеллкод(аллё, песочница!).
Стянули им пошифрованный бинарь из "worst.jpg" и дропнули updata.exe. Для персистентности заюзали Task Sheduler.
Далее из updata.exe, которая на самом деле была rar sfx архивом, вылезло два бинаря, один из которых - msdisp64.exe - полез на удаленный сервер за доп нагрузкой в папочку, которая там была, и волшебным образом совпала с именем пробитого компьютера.
Это может говорить, что эксплоит писался под конкретную цель.
Что он там пытался стянуть, кто цель - неизвестно.
#wizardopium
BY secinfosex
Share with your friend now:
tgoop.com/secinfosex/21