ChainOfFools 又名 CurveBall 又名 CVE-2020-0601

CVE-2020-0601（#ChainOfFools | #CurveBall）资源合集

概述

来自 NSA 公告 的摘要指出：

NSA 发现了一个影响微软 Windows®1 加密功能的严重漏洞（CVE-2020-0601）。该证书验证漏洞允许攻击者破坏 Windows 验证加密信任的方式，并可能导致远程代码执行。该漏洞影响 Windows 10、Windows Server 2016/2019 以及依赖 Windows 信任功能的应用程序。利用该漏洞的攻击者可以绕过受信任的网络连接，并以合法受信任实体的身份传递可执行代码。可能受信任验证影响的情况包括：

• HTTPS 连接
• 签名文件和电子邮件
• 作为用户模式进程启动的签名可执行代码

博客与解释

来自 Kudelski Security 的详细说明与 PoC 演示

• https://research.kudelskisecurity.com/2020/01/15/cve-2020-0601-the-chainoffools-attack-explained-with-poc/

来自 Ken Whyte 的深度博客

• https://blog.lessonslearned.org/chain-of-fools/

Hacker News 讨论

• https://news.ycombinator.com/item?id=22048619

Tal Be'ery 评论

• https://medium.com/zengo/win10-crypto-vulnerability-cheating-in-elliptic-curve-billiards-2-69b45f2dcab6

概念验证

Kudelski Security 的 Python PoC

• https://github.com/kudelskisecurity/chainoffools

Ollypwn 的 Ruby PoC

• https://github.com/ollypwn/cve-2020-0601

用于 MitM 或钓鱼的伪造 GitHub 证书示例

• https://twitter.com/saleemrash1d/status/1217495681230954506

降低 AV 检测率的签名恶意软件示例

• https://twitter.com/RedDrip7/status/1217771072180801537

检测

来自 Tal Be'ery 的第三篇 CurveBall 博客，描述了 Wireshark 网络检测方法

• https://medium.com/zengo/hitting-a-curveball-like-a-pro-129c1dca427c

微软已发布当通过 CveEventWrite 函数尝试可疑利用时的事件日志消息

• https://docs.microsoft.com/en-us/windows/win32/api/securitybaseapi/nf-securitybaseapi-cveeventwrite

Matt Graeber 提供了一个用于主机 EDR 检测的 PowerShell 单行命令

Get-WinEvent -FilterHashtable @{ LogName = 'Application'; Id = 1; ProviderName = 'Microsoft-Windows-Audit-CVE' } | select -Property * -ExcludeProperty MachineName, UserId

来自 Florian Roth 的 Sigma SIEM 规则，基于微软事件日志，可用于多种 SIEM 工具

0xxon 为 Zeekurity 网络晨检工具提供的检测方法，用于发现证书中的自定义 ECC 生成器

• https://twitter.com/0xxon/status/1217288808443441152
• https://github.com/0xxon/cve-2020-0601

安全公告

• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601
• https://www.cisecurity.org/advisory/a-vulnerability-in-the-microsoft-cryptographic-library-crypt32dll-could-allow-for-remote-code-execution_2020-005/
• https://www.us-cert.gov/ncas/alerts/aa20-014a
• https://www.cisa.gov/blog/2020/01/14/windows-vulnerabilities-require-immediate-attention
• https://kb.cert.org/vuls/id/849224/
• https://cyber.dhs.gov/ed/20-02/
• https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF