CVE-2018-8174リグエクスプロイトキットで使用される脆弱性

セキュリティ研究者は、悪名高いRigエクスプロイトキットを取り巻く活動を追跡しています. これらのキャンペーンでは, 攻撃者はWebサイトを侵害して、潜在的な被害者をEKのランディングページにリダイレクトする悪意のあるスクリプトを挿入しています。. この攻撃シナリオは昨年3月にわずかに変更され、エクスプロイトキットのページに到達する前に別のレイヤーが追加されたいわゆるシームレスキャンペーンでリグが検出されました。.

コードの更新に加えて, セキュリティ研究者は、リグが操作の最終的なペイロードとして暗号通貨マイナーを実装していることを観察しました. トレンドマイクロによると, リグオペレーターは、エクスプロイトアーセナルに特定の脆弱性を追加しました – CVE-2018-8174. この欠陥はリモート実行タイプであり、5月に積極的に悪用されたと報告されています. この脆弱性は、Windowsを実行しているシステムに影響を及ぼします 7 以降, 脆弱なスクリプトエンジンを使用してInternetExplorerとMicrosoftOfficeのドキュメントを使用します.

CVE-2018-8174公式説明

VBScriptエンジンがメモリ内のオブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します. この脆弱性は、攻撃者が現在のユーザーのコンテキストで任意のコードを実行するような方法でメモリを破壊する可能性があります. 脆弱性の悪用に成功した攻撃者は、現在のユーザーと同じユーザー権限を取得する可能性があります. 現在のユーザーが管理ユーザー権限でログオンしている場合, 脆弱性の悪用に成功した攻撃者は、影響を受けるシステムを制御する可能性があります. 攻撃者はプログラムをインストールする可能性があります; 見る, 変化する, またはデータを削除します; または完全なユーザー権限で新しいアカウントを作成します.

Rig EKのキャンペーンは、それほど驚くべきことではありません。最大のエクスプロイトキットのいくつかを阻止することで、EKの状況が劇的に変化したことを念頭に置いてください。. 結果として, リグが最も普及したものになりました, さまざまな脆弱性を使用する, 古いものと新しいものの両方. Rigのオペレーターが使用した古い欠陥の1つは、CVE-2015-8651です。, 他のエクスプロイトキットでも使用されているAdobeFlashの古いコード実行の脆弱性.

RigEKオペレーターは最近何をしていますか?

CVE-2018-8174キャンペーンの場合, デプロイされたmalvertisementsには、被害者をRigのランディングページにリダイレクトする非表示のiframeがあります, これには、CVE-2018-8174とシェルコードのエクスプロイトが含まれます, トレンドマイクロは次のように書いています. このシナリオでは、ランディングページで難読化されたシェルコードを実行することにより、リモートでコードが実行される可能性があります。. 悪用に成功した後, 第2段階のダウンローダーが取得されます, これは、URLが原因でSmokeLoaderのバリアントである可能性が最も高いです。. 最終段階は、最終ペイロードのダウンロードです, モネロ鉱夫.

エクスプロイトキットから保護する方法, 暗号通貨マイナーとマルウェア?
EKは被害者にさまざまな脅威をもたらすことが知られているので, 保護を優先する必要があります. Rig EKはキャンペーンで脆弱性を使用してきました。つまり、タイムリーなパッチ適用は経験則である必要があります。. このような攻撃に対する保護を強化するためのその他の役立つヒントを次に示します。:

• レガシーシステムとネットワークを保護するための仮想パッチ;
• ファイアウォールと侵入検知および防止システムの有効化と展開;
• 不正アクセスと特権を軽減するためのアプリケーション制御の採用;
• 不要または古いプラグインの使用を制限または無効にする, エントリポイントとして使用できる拡張機能またはアプリケーション.

ホームユーザーの場合、マルウェア対策保護の採用もお勧めします.

SpyHunterスキャナーは脅威のみを検出します. 脅威を自動的に削除したい場合, マルウェア対策ツールのフルバージョンを購入する必要があります.SpyHunterマルウェア対策ツールの詳細をご覧ください / SpyHunterをアンインストールする方法