forrest-orr/doublestarDarkhotel「Double Star」APTエクスプロイトチェーンをWindows 8.1に焦点を当てて個人的に改良・再現し、独自のテクニックを組み合わせたもの
________ . . _________ __
_____ \ ____ __ _ | | | ____ / // | _____ _______
| | \ / _ \ | | | __ \ | | / __ \ _ \ \ \ \ _ __
| ` ( <_> )| | /| _\ | |\ / / \ | | / __ _| | /
/____ / _/ |/ | /|/ ___ > /___ / || (____ /||
/ / / / /
Windows 8.1 IE/Firefox RCE -> サンドボックス脱出 -> SYSTEM EoP エクスプロイトチェーン
______________
| Remote PAC |
|____________|
^
| HTTPS
_______________ RPC/ALPC _______________ RPC/ALPC _______________ | firefox.exe | ----------> | svchost.exe | -----------> | spoolsv.exe | || || <----------- || | RPC/Pipe | _______________ | | malware.exe | <---| Execute impersonating NT AUTHORY\SYSTEM ||
~
使用方法
このエクスプロイトチェーンを実行するには、完全なリリース/フォルダ構造をパッチ適用前の Windows 8.1 x64 マシンにダウンロードし、インターネットに接続した状態で次の 2 つの .html ファイルのいずれかを読み込んでください:
初期 RCE は IE または FF のいずれかを介して実行でき、NT AUTHORY\SYSTEM 権限を持つ cmd.exe プロセスがユーザーセッションで実行される結果となります。
個々のエクスプロイトは、以下の環境で正常にテストされています:
個々のエクスプロイト自体は複数の Windows バージョンで動作する可能性がありますが、完全なチェーンは Windows 8.1 でのみ動作することに注意してください。
~
概要
このエクスプロイトチェーンは 2 つの（現在はパッチ適用済みの）0day エクスプロイトを利用していますが、2021年5月4日時点ではまだパッチが適用されておらず、現在も将来の攻撃チェーンに組み込むことが可能なサンドボックス脱出および EoP テクニックも含んでいます。
Darkhotel APT グループ（韓国起源と見られている）は、2020年初頭に、スピアフィッシングと高級ホテルネットワークへのハッキングを組み合わせて、中国と日本の企業役員および政府関係者に対するキャンペーンを開始しました。
彼らが使用したエクスプロイト（CVE-2020-0674 と CVE-2019-17026、まとめて「Double Star」と呼ばれる）は、2019年の旧来/既存のエクスプロイトをわずかに変更した 0day 亜種でした。具体的には、レガシー JavaScript エンジン（jscript.dll）の UAF バグと、Firefox IonMonkey エンジンのエイリアシングバグです。
これらの 0day の使用が興味深いものであったのは、Internet Explorer と Firefox のウェブブラウザを介して RCE を達成できるという点だけではありません。特に CVE-2020-0674（レガシー jscript.dll エンジンの UAF）は、jscript.dll を介してレガシー JS コードが実行できる任意のプロセスで悪用可能です。
2017年末、Google Project Zero は「aPAColypse now: Exploiting Windows 10 in a Local Network with WPAD/PAC and JScript」[1] というブログ投稿を公開しました。
この研究により、（当時）Windows 7 以降のすべてのバージョンに影響する非常に興味深い攻撃ベクトルが明らかになりました。WPAD サービス（「WinHTTP Web Proxy Auto-Discovery Service」）には、PAC ファイルを介してプロキシ構成を更新するための古くからある機能が含まれています。
RPC 経由で WPAD サービス（svchost.exe プロセス内で LOCAL SERVICE として実行）に通信できるユーザーは、そのサービスに対して、ユーザーが指定した URL の正しいプロキシ構成を設定するための JS コードを含む PAC ファイルをリモート URL からダウンロードするよう強制できます。
最も注目すべき点は、これらの PAC ファイルの解析にレガシー jscript.dll エンジンが使用されることです。
これにより、任意のプロセス（制限されたユーザー権限やサンドボックス化されているかどうかに関係なく）が ALPC 経由でローカルの WPAD サービスに接続し、jscript.dll エクスプロイトを含む悪意のある PAC ファイルをリモート URL からダウンロードするよう強制できるという攻撃ベクトルが開かれました。
これにより、LOCAL SERVICE のコンテキストでコードが実行されることになります。
Darkhotel はこの概念を採用し、Firefox または Internet Explorer を介して RCE を取得した後のサンドボックス脱出として使用しました。
彼らの攻撃チェーンの次のステップは不明です。彼らは何らかの方法で権限を LOCAL SERVICE から SYSTEM に昇格させ、このコンテキストからマルウェアを実行したようです。
Darkhotel Double Star 攻撃チェーンの分析すべてを通じて、彼らがこれをどのように達成したかについての詳細な説明を見つけることはできませんでした。ただし、彼らのテクニックが 0day エクスプロイトである必要はなかったと推測するのが安全です。
LOCAL SERVICE アカウントによって起動されたプロセスには、デフォルトで SeImpersonate 特権が付与されます。そのため、名前付きパイプまたは ALPC を介して特権接続を自分自身に強制できた場合、セキュリティコンテキストを昇格させることができます。
Darkhotel APT グループは、LOCAL SERVICE からの EoP に Rotten Potato を使用した可能性が高いです。これは、数年前に広く使用されていた最も単純で一般的なテクニックであり（Google Project Zero の「aPAColypse now」研究で使用されたテクニックでもあります）。ただし私は、代わりに、より堅牢で現代的なテクニックである、プリントスプーラー [2] からの強制された RPC 接続の名前付きパイプ偽装を採用しました。
このテクニックは、制約のない委任が有効な環境での TGT 収集のために Red Teamer の間で人気のある古い RPC インターフェース（別名「Printer Bug」）と、ローカル権限昇格用に適合させた偽装/Rotten Potato スタイルの攻撃を組み合わせたものです。
さらに、Windows 7 をターゲットにするのではなく、非決定論的 LFH、高エントロピー ASLR、Control Flow Guard（CFG）などの強化されたセキュリティ緩和策によってもたらされる難易度の高さから、Windows 8.1 に焦点を当てることにしました。
~
CVE-2020-0674
CVE-2020-0674 UAF エクスプロイトを含む悪意のある PAC ファイル - RPC トリガーを介して WPAD サービス svchost.exe（LOCAL SERVICE）にダウンロードされます。ステージ 3 のシェルコード（Spool Potato EoP）が含まれています。このエクスプロイトは、IE11 64-bit を介した初期 RCE 攻撃ベクトルとしての二重の目的も果たします。
_______________ RPC _______________ CVE-2020-0674 ________________ | firefox.exe | -----> | svchost.exe | ---------------> | Spool Potato | || || | shellcode | |______________|
~
CVE-2019-17026
Firefox 64-bit IonMonkey JIT/Type Confusion RCE。ユーザーが脆弱なバージョンの Firefox で感染したウェブページを訪れた際の初期攻撃ベクトルを表します。このコンポーネントには、ステージ 1（エッグハンター）とステージ 2（WPAD サンドボックス脱出）のシェルコードが含まれており、後者は WPAD 用にハードコードされた RPC IDL インターフェースの詳細により Windows 8.1 でのみ有効です。
_______________ JIT spray ______________ DEP bypass _______________________ | firefox.exe | -----------> | Egg hunter | ------------> | WPAD sandbox escape | |___________| | shellcode | | shellcode (heap) | |________| |___________________|
~
ペイロード
このエクスプロイトチェーンには 3 つのシェルコードペイロードがあり、このリポジトリの Payloads\Compiled\JS の下に JavaScript エンコードされたシェルコード形式で置かれています:
IE が初期 RCE 攻撃ベクトルとして使用される場合、必要なのはステージ 2 と 3 のシェルコードのみです。FF が初期 RCE 攻撃ベクトルとして使用される場合、3 つすべてが使用されます。
テスト目的の追加シェルコードもいくつか含めました（MessageBoxA および WinExec シェルコード）。これらを使用する際の注意点として、Firefox CVE-2019-17026 の場合、シェルコードは、次のエッグ QWORD 0x8877665544332211 を前置した Uint8Array として表現する必要があります。CVE-2020-0674 の場合、シェルコードは DWORD 配列として表現する必要があります。
また、Firefox CVE-2019-17026 と組み合わせて WinExec または MessageBoxA ペイロードを使用する場合は、最初に「about:config」のサンドボックスコンテンツレベルを 2 に調整する必要があることにも注意してください。
~
クレジット
maxpl0it - CVE-2019-17026 の Linux OS に焦点を当てた初期分析と PoC の作成、および Windows 7 x64 上の IE8/11 に焦点を当てた CVE-2020-0674 の初期分析と PoC の作成に対して。
0vercl0k - エイリアシングと GVN に関する IonMonkey 内部のドキュメント化に対して。
HackSys Team - WPAD サービスと低レベル JS デバッグに関するヒントに対して。
itm4n - RPC プリンターバグと名前付きパイプ偽装の組み合わせに関する独自の研究に対して。
~
リンク
[1] https://googleprojectzero.blogspot.com/2017/12/apacolypse-now-exploiting-windows-10-in_18.html [2] https://itm4n.github.io/printspoofer-abusing-impersonate-privileges/