正在阅读：黑客用Excel文档来执行ChainShot恶意软件攻击黑客用Excel文档来执行ChainShot恶意软件攻击

　　【PConline资讯】针对近日曝光的AdobeFlash零日漏洞（CVE-2018-5002），已经出现了一款名叫 CHAINSHOT的恶意软件攻击。其利用微软Excel文件包含的微型ShockwaveFlashActiveX对象、以及一个所谓的“电影”的URL链接，忽悠人们去下载Flash应用程序。研究人员攻破了其采用的512-bitRSA密钥，从而揭开了它的神秘面纱。

恶意ShockwaveFlashActiveX对象属性

　　研究人员发现，该Flash应用程序其实是一个混淆的下载器：

　　进程会在内存中创建一个随机的512-bitRSA密钥对，将私钥保留在内存中、并将公钥发送到攻击者的服务器，以加密AES密钥（用于加密有效负载）。

　　之后将加密的有效负载和现有的私钥发送到下载程序，以解密128位AES密钥和有效负载。PaloAltoNetworksUnit42的研究人员破解了加密，并分享了他们的破解方法。

　　尽管私钥仅保留在内存中，但公钥的模数n被发送到了攻击者的服务器。

　　在服务器端，模数与硬编码指数e0x10001一起使用，以加密此前用于加密漏洞和shellcode有效载荷的128-bitAES密钥。

揭秘shellcode有效载荷的HTTPPOST请求（其模数n为十六进制）

　　一旦研究人员解密了128-bitAES密钥，就能够解密有效负载。

　　获得RWE权限之后，执行就会传递给shellcode，然后在内部加载一个名为FirstStageDropper.dll的嵌入式DLL。

　　最后，研究人员分享了感染指征（IndicatorsofCompromise）：

　　AdobeFlashDownloader

　　189f707cecff924bc2324e91653d68829ea55069bc4590f497e3a34fa15e155c

　　AdobeFlashExploit（CVE-2018-5002）

　　3e8cc2b30ece9adc96b0a9f626aefa4a88017b2f6b916146a3bbd0f99ce1e497

相关阅读:

澳大利亚少年黑客入侵苹果 窃走了90GB安全文件

//pcedu.pconline.com.cn/1161/11612248.html

俄罗斯黑客疑似本月盗取了上百个Ins账号！

//pcedu.pconline.com.cn/1160/11602504.html

黑客称能通过“合成点击”绕开macOS安全警报！

//pcedu.pconline.com.cn/1159/11593626.html