【安全圈】Microsoft MSHTML 漏洞被利用来传播 MerkSpy 间谍软件工具
【安全圈】Microsoft MSHTML 漏洞被利用来传播 MerkSpy 间谍软件工具
安全圈 2024-07-04 19:01
关键词
漏洞
据观察，未知黑客组织利用 Microsoft MSHTML 中现已修补的安全漏洞传播名为MerkSpy的间谍软件监视工具，主要针对加拿大、印度、波兰和美国目标。
Fortinet FortiGuard Labs 研究员 Cara Lin在上周发布的一份报告中表示：“MerkSpy 旨在秘密监视用户活动，获取敏感信息并在受感染系统上建立持久性。”
攻击链的起点是一个 Microsoft Word 文档，其中表面上包含软件工程师职位的描述。
诱饵文档
但打开该文件会触发CVE-2021-40444漏洞利用，这是
MSHTML
中的一个高严重性漏洞，可能导致远程代码执行而无需任何用户交互。微软已在 2021 年 9 月发布的补丁更新中解决了该问题。
在这种情况下，它为从远程服务器下载 HTML 文件（“olerender.html”）铺平了道路，然后在检查操作系统版本后启动嵌入式 shellcode 的执行。
林解释说，“Olerender.html”利用“
VirtualProtect
”修改内存权限，从而允许将解码后的 shellcode 安全地写入内存”。
“随后，‘CreateThread’ 执行注入的 shellcode，为从攻击者的服务器下载和执行下一个负载做好准备。此过程确保恶意代码无缝运行，从而促进进一步的利用。”
该 shellcode 充当一个文件下载器，该文件的标题看似是“GoogleUpdate”，但实际上却包含一个注入器负载，负责逃避安全软件的检测并将 MerkSpy 加载到内存中。
攻击链
该间谍软件通过更改 Windows 注册表在主机上建立持久性，以便在系统启动时自动启动。它还具有秘密捕获敏感信息、监视用户活动以及将数据泄露到黑客控制的外部服务器的功能。
其中包括屏幕截图、按键、存储在 Google Chrome 中的登录凭据以及来自
MetaMask
浏览器扩展程序的数据。所有这些信息都传输到 URL“45.89.53[.]46/google/update[.]php”。
END
阅读推荐
【安全圈】可获 root 权限，思科 NX-OS 零日漏洞修复已发布
【安全圈】巴基斯坦 CapraRAT 间谍软件伪装成热门应用程序威胁印度 Android 用户
【安全圈】Juniper 警告存在严重身份验证绕过漏洞（CVE-2024-2973，CVSS 评分为 10）
安全圈
←扫码关注我们
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！