Shotput Malware

1. WEBIMPRINTS http://www.webimprints.com/seguridad-informatica.html Shotput Malware

2. SHOTPUT Malware Según Webimprints una empresa de pruebas de penetración en las últimas semanas, hubo una campaña de phishing a gran escala contra las organizaciones. Al hacer clic en las direcciones URL proporcionadas en los correos electrónicos de phishing, victimas fueron redirigidos a un servidor comprometido con un script de JavaScript. Las víctimas descargan un archivo de Adobe Flash SWF malicioso y un archivo FLV. Esto resulta, en una puerta trasera conocida como SHOTPUT. Los correos electrónicos de phishing utilizados durante esta campaña eran muy genérico, casi apareciendo ser spam.The ataque explota una vulnerabilidad no parcheado de Adobe Flash Player dea los archivos de Flash Video (FLV).

3. SHOTPUT Malware Según expertos deempresa de pruebas de penetración en Méxicoel exploit utiliza técnicas de corrupción de vector común para eludir Address Space Layout Randomization (ASLR), y utiliza-Return-Oriented Programming (ROP) para eludir Data Execution Prevention (DEP). Técnica ROP hace que sea más fácil de explotar y evadir algunas de las técnicas de detección de ROP. Shellcode se almacena en el archivo de Flash player exploit junto con una clave utilizada para su descifrado. La carga útil se xor codificada y escondido dentro de una imagen. El exploit de Flash Player explotar tiene una sencilla empacador RC4.

4. SHOTPUT Malware Comenta Mike Stevens profesional de empresas de seguridad informática que Capa 2 utiliza una técnica clásica de la corrupción de Adobe Flash Player Vector para hacer corrupción de heap. En esta técnica, el atacante envía Vectores de Adobe Flash player a heap para corrupción y explota una vulnerabilidad de escritura para cambiar el tamaño de uno de los vectores. Posteriormente el atacante puede leer y escribir a la memoria fuera de los límites previstos. Una vez que el atacante tiene acceso limitado a la memoria de lectura, optan por corromper a un segundo vector para aumentar el acceso. Este segundo vector se utiliza para el resto de exploit.

5. SHOTPUT Malware Comenta Mike Stevens que según noticias de empresas de seguridad informática Que Los atacantes utilizan un ROP chain para llamar kernel32! VirtualAlloc para marcar su código shell como ejecutable antes de saltar a su shellcode. En lugar de escribir su ROP chain al heap junto con su código shell y la carga útil, utilizaron una técnica diferente. Por lo general, los desarrolladores de exploits corromperá un objeto incorporado en Flash Player, como un objeto de sonido. Luego, los atacantes pueden simplemente sobrescribir el pointer de función con un proceso que se suma al stack pointer y vuelve a ROP. No tienen necesidad de identificar la dirección absoluta del ROP chain y conservarla en un registro para un reg32 xchg típica, esp pivote.

6. CONTACTO www.webimprints.com 538 Homero # 303Polanco, México D.F 11570 MéxicoMéxico Tel: (55) 9183-5420 DUBAI 702, Smart Heights Tower, DubaiSixth Floor, Aggarwal Cyber Tower 1Netaji Subhash Place, Delhi NCR, 110034IndiaIndia Tel: +91 11 4556 6845