DetectPacket-CVE-2017-8464

Construction d'une application de détection de vulnérabilité CVE-2017-8464

Source (cliquez ici)

CONTENU:

PARTIE 1: VUE D'ENSEMBLE DE CVE-2017-8464

1. CONCEPT DE FICHIER LNK
2. CRÉATION D'UN SYSTÈME VULNÉRABLE À CVE-2017-8464
3. OUTIL D'ATTAQUE DE LA VULNÉRABILITÉ CVE-2017-8464

PARTIE 2: UTILISATION DE METASPLOIT POUR EXPLOITER CVE-2017-8464

2.1. MODÈLE D'EXPLOITATION DE CVE-2017-8464

2.2. EXÉCUTION DE L'EXPLOITATION DE CVE-2017-8464

PARTIE 3: CONSTRUCTION D'UN OUTIL DE DÉTECTION DE CVE-2017-8464 BASÉ SUR PYTHON

3.1. ANALYSE DE LA SIGNATURE DE CVE-2017-8464 À PARTIR DES PAQUETS RÉSEAU CAPTURÉS

3.2. FONCTION DE DÉTECTION DE L'EXPLOITATION DE CVE-2017-8464 BASÉE SUR L'ANALYSE DE LA SIGNATURE DES PAQUETS RÉSEAU

CONCLUSION

**

PARTIE 1: VUE D'ENSEMBLE DE CVE-2017-8464

1. CONCEPT DE FICHIER LNK

LNK est un fichier système - Raccourci Windows, au format binaire développé par Microsoft.

Figure 1: Icône de raccourci sous Windows

Un fichier LNK est un raccourci ou un "lien" utilisé par Windows comme référence vers un fichier source, un dossier ou une application, similaire à un alias sur la plateforme Macintosh. Il contient le type de cible du raccourci, l'emplacement et le nom du fichier, ainsi que les programmes qui ouvrent les fichiers cibles et un raccourci optionnel. Les fichiers peuvent être créés dans Windows en cliquant avec le bouton droit sur un fichier, un dossier ou un exécutable, puis en sélectionnant 'Créer un raccourci'.

L'exploitation de cette vulnérabilité dans Microsoft Windows permet à un attaquant d'exécuter du code à distance si l'icône d'un raccourci (créé de manière spéciale) est affichée.

Figure 2: Création manuelle d'un raccourci exécutant le téléchargement et l'exécution du code d'attaque via un fichier .LNK

Le composant vulnérable est lié à la pile réseau. Une telle vulnérabilité est souvent appelée 'exploitable à distance' et peut être considérée comme une attaque exploitable au niveau du protocole ou sur plusieurs sauts réseau (par exemple, via un ou plusieurs routeurs).

1. CRÉATION D'UN SYSTÈME VULNÉRABLE À CVE-2017-8464

Les systèmes affectés par la vulnérabilité CVE-2017-8464 sont Windows Shell dans Microsoft Windows Server 2008 SP2 et R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold et R2, Windows RT 8.1, Windows 10 Gold, 1511, 1607, 1703 et Windows Server 2016. Cela permet à un utilisateur local ou à un attaquant distant d'exécuter du code arbitraire via un fichier .LNK créé manuellement, qui n'est pas correctement traité lors de l'affichage de l'icône dans l'Explorateur Windows ou toute autre application analysant l'icône du raccourci. Aussi appelée 'vulnérabilité d'exécution de code à distance LNK'.

La mise à jour de sécurité corrige la vulnérabilité en réparant la validation correcte de la référence de l'icône du raccourci. Microsoft Windows a publié une mise à jour pour cette vulnérabilité en juin 2017. Cette vulnérabilité n'affecte pas les versions Windows XP et antérieures.

1. OUTIL D'ATTAQUE DE LA VULNÉRABILITÉ CVE-2017-8464

Metasploit

Metasploit Framework est un environnement utilisé pour tester, attaquer et exploiter les vulnérabilités des services en ligne de commande. Cet outil est disponible sur Kali Linux version VMware.

Figure 3: Outil Metasploit

Armitage

Outil à interface graphique basé sur le projet Metasploit.

Figure 4: Outil Armitage.

PARTIE 2: UTILISATION DE METASPLOIT POUR EXPLOITER CVE-2017-8464

2.1. MODÈLE D'EXPLOITATION DE CVE-2017-8464

Machine victime – Windows 7 Pro

Figure 5: Version du système d'exploitation de la victime

Figure 6: Adresse IP de la machine victime

Machine attaquante – Kali Linux – Utilisation de l'outil Metasploit.

Figure 7: Adresse IP de la machine attaquante

Le réseau actif est VMnet8 sous-réseau 192.168.169.0

2.2. EXÉCUTION DE L'EXPLOITATION DE CVE-2017-8464

• Créer un payload reverse_tcp et écouter les connexions TCP vers la machine Kali.
• Avec LHOST comme adresse d'écoute de la machine attaquante.

Figure 8: Création du payload et écoute de la connexion TCP vers la machine attaquante

• Créer un fichier raccourci contenant la vulnérabilité CVE-2017-8464 pour lancer automatiquement le payload reverse_tcp inséré.

Figure 9: Création d'un fichier .lnk exécutant automatiquement le code malveillant

Figure 10: Informations de configuration du payload

• Lancer la commande exploit pour initialiser les raccourcis contenant la vulnérabilité pointant vers le fichier payload.
• Concrètement, comme décrit ci-dessus, il y aura un fichier payload nommé FlashPlayerCPApp.cpl et un fichier raccourci contenant la vulnérabilité qui exécute automatiquement le fichier payload.
• Après avoir créé tous ces fichiers nécessaires, ils seront enregistrés dans le dossier /root/.msf4/local/ sur la machine attaquante, puis l'attaquant copiera tous les fichiers de ce dossier sur une clé USB quelconque.

Figure 11: Création du fichier .lnk accompagné du code malveillant

Figure 12: Copie de tout le code malveillant sur USB

• Après avoir incité la victime à brancher la clé USB sur son ordinateur. La victime n'a pas besoin de cliquer sur quoi que ce soit dans la clé USB, mais la vulnérabilité du fichier .lnk (fichier de raccourci) lance automatiquement le payload malveillant pour exécuter du code à distance.

Figure 13: La victime branche une clé USB contenant un fichier .lnk vulnérable avec code malveillant

• En observant la machine attaquante, on voit que la machine victime s'est connectée à la machine attaquante. À ce moment, l'attaquant a exploité avec succès CVE-2017-8464 et exécuté le code malveillant à distance sur la machine victime.

Figure 14: L'attaquant a exploité avec succès et pénétré la machine victime

**

PARTIE 3: CONSTRUCTION D'UN OUTIL DE DÉTECTION DE CVE-2017-8464 BASÉ SUR PYTHON

3.1. ANALYSE DE LA SIGNATURE DE CVE-2017-8464 À PARTIR DES PAQUETS RÉSEAU CAPTURÉS