Software enumeration using Internet Explorer

最新推荐文章于 2020-10-19 20:09:06 发布
最新推荐文章于 2020-10-19 20:09:06 发布
阅读量1.9k 收藏
点赞数

We do regularly see software enumeration using Internet Explorer in web infections. It tries to find some specific files(at fixed locations) related to AV and other analysis tools and avoids further execution of the exploit.

There are two different techniques used:
    1. Image()
    2. Microsoft.XMLDOM – ActiveXObject()

They look for some file that is installed in some fixed location in any system. As of today, these techniques 
doesn’t work in updated version of IE.

This is the usual Javascript code you will see in web injection to find
various software and OS architecutre..

1. Image()
    function Check(s) {
        x = new Image();
        x.onload = targetfunction();
        x.src = s;
        return 0;
    }
    Check(“res://C:\\Program Files\\Kaspersky Lab\\Kaspersky Anti-Virus 5.0 for Windows Workstations\\shellex.dll/#2/#102″)

2. Microsoft.XMLDOM – ActiveXObject()
    function checksys(txt) {
        var gytyyr = new ActiveXObject(“Microsoft.XMLDOM“);
        gytyyr.async = true;
        gytyyr.loadXML(‘<!DOCTYPE html PUBLIC “-//W3C//DTD XHTML 1.0 Transitional//EN” “res://’ + txt + ‘”>’);
        if (gytyyr.parseError.errorCode != 0) {
            var err = “Error Code: ” + gytyyr.parseError.errorCode + “\ n”;
            err += “Error Reason: ” + gytyyr.parseError.reason;
            err += “Error Line: ” + gytyyr.parseError.line;
            if (err.indexOf(“-2147023083″) > 0) {
                return 1;
            } else {
                return 0;
            }
        }
        return 0;
    }
    checksys(“c:\\Windows\\System32\\drivers\\kl1.sys”)

Malware authors used the second technique to find the OS arch type too.
    function arch() {
        try {
            var xmlDoc = new ActiveXObject(“Microsoft.XMLDOM”);
            xmlDoc.async = false;
            xmlDoc.loadXML(‘<!DOCTYPE html PUBLIC “-//W3C//DTD XHTML 1.0 Transitional//EN” “res://c:\\Program Files (x86)\\Internet Explorer\\iexplore.exe”>’);
            if (xmlDoc.parseError.errorCode == -2147023083)  {
                return 64;
            }
        }
        catch (ex) {
            return 0;
        }
        return 32;
    }

List of SYS/driver file paths searched for:
    c:\WINDOWS\system32\drivers\afwcore.sys
    c:\WINDOWS\system32\drivers\avgtpx86.sys
    c:\WINDOWS\system32\drivers\avipbb.sys
    c:\WINDOWS\system32\drivers\BkavAuto.sys
    c:\WINDOWS\system32\drivers\catflt.sys
    c:\WINDOWS\system32\drivers\cmderd.sys
    c:\Windows\System32\drivers\eamon.sys
    c:\WINDOWS\system32\drivers\econceal.sys
    c:\WINDOWS\system32\drivers\EstRtw.sys
    c:\WINDOWS\system32\drivers\FortiRdr.sys
    c:\WINDOWS\system32\drivers\FStopW.sys
    c:\WINDOWS\system32\drivers\HookHelp.sys
    c:\WINDOWS\system32\drivers\ImmunetProtect.sys
    c:\Windows\System32\drivers\kl1.sys
    c:\Windows\System32\drivers\klflt.sys
    c:\WINDOWS\system32\drivers\klif.sys
    c:\WINDOWS\system32\drivers\kneps.sys
    c:\WINDOWS\system32\drivers\MpFilter.sys
    c:\WINDOWS\system32\drivers\nvcw32mf.sys
    c:\Windows\System32\drivers\Parity.sys
    c:\Windows\System32\drivers\prl_boot.sys
    c:\Windows\System32\drivers\prl_fs.sys
    c:\Windows\System32\drivers\prl_kmdd.sys
    c:\Windows\System32\drivers\prl_memdev.sys
    c:\Windows\System32\drivers\prl_mouf.sys
    c:\Windows\System32\drivers\prl_pv32.sys
    c:\Windows\System32\drivers\prl_sound.sys
    c:\Windows\System32\drivers\prl_strg.sys
    c:\Windows\System32\drivers\prl_tg.sys
    c:\Windows\System32\drivers\prl_time.sys
    c:\Windows\system32\drivers\protreg.sys
    c:\Windows\system32\drivers\SophosBootDriver.sys
    c:\Windows\system32\drivers\SYMEVENT.SYS
    c:\Windows\system32\drivers\SysGuard.sys
    c:\windows\system32\drivers\tmactmon.sys
    c:\windows\system32\drivers\tmcomm.sys
    c:\windows\system32\drivers\TMEBC32.sys
    c:\windows\system32\drivers\tmeext.sys
    c:\windows\system32\drivers\tmevtmgr.sys
    c:\windows\system32\drivers\tmnciesc.sys
    c:\windows\system32\drivers\tmtdi.sys
    c:\Windows\system32\drivers\vbengnt.sys
    c:\Windows\System32\drivers\VBoxGuest.sys
    c:\Windows\System32\drivers\VBoxMouse.sys
    c:\Windows\System32\drivers\VBoxSF.sys
    c:\Windows\System32\drivers\VBoxVideo.sys
    c:\Windows\System32\drivers\vm3dmp.sys
    c:\Windows\System32\drivers\vmhgfs.sys
    c:\Windows\System32\drivers\vmmouse.sys
    c:\Windows\System32\drivers\vmnet.sys
    c:\Windows\System32\drivers\vmusbmouse.sys
    c:\Windows\system32\drivers\vmx86.sys
    c:\Windows\System32\drivers\vmxnet.sys
    c:\Windows\system32\drivers\WpsHelper.sys

List of EXE/DLL paths searched for:
    c:\PROGRA~1\Sophos\SOPHOS~1\SOPHOS~1.DLL
    c:\Program Files (x86)\7-Zip\7z.exe
    C:\Program Files (x86)\EMET 4.1\EMET.dll
    C:\Program Files (x86)\EMET 5.0\EMET.dll
    c:\Program Files (x86)\iTunes\iTunesHelper.exe
    C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 2013\x86\mfc42.dll/#2/#26567
    C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 2013\x86\mfc42.dll/#2/#26567
    C:\Program Files (x86)\Kaspersky Lab\Kaspersky PURE 2.0\x86\mfc42.dll/#2/#26567
    C:\Program Files (x86)\Kaspersky Lab\Kaspersky PURE 3.0\x86\mfc42.dll/#2/#26567
    C:\Program Files (x86)\Kaspersky Lab\Kaspersky PURE 3.0\x86\mfc42.dll/#2/#26567 
    C:\Program Files (x86)\Kaspersky Lab\Kaspersky PURE\mfc42.dll/#2/#26567
    c:\Program Files (x86)\Microsoft SQL Server\80\COM\sqlvdi.dll
    c:\Program Files (x86)\Microsoft SQL Server\90\COM\instapi.dll
    c:\Program Files\7-Zip\7z.exe
    C:\Program Files\a-squared Anti-Malware\a2cmd.exe
    C:\Program Files\agb7pro\agb.exe
    C:\Program Files\Agnitum\Outpost Security Suite Pro\acs.exe
    C:\Program Files\AhnLab\V3IS80\V3Main.exe
    c:\Program Files\AVG Secure Search\13.2.0.4\AVG Secure Search_toolbar.dll
    c:\Program Files\Bitdefender\Bitdefender 2013 BETA\Active Virus Control\avc3_000_001\avcuf32.dll
    c:\Program Files\Bitdefender\Bitdefender 2013 BETA\BdProvider.dll
    C:\Program Files\BkavHome\Bka.exe
    c:\Program Files\Common Files\AVG Secure Search\DNTInstaller\13.2.0\avgdttbx.dll
    c:\Program Files\Common Files\McAfee\SystemCore\mytilus3.dll
    c:\Program Files\Common Files\McAfee\SystemCore\mytilus3_worker.dll
    c:\Program Files\DrWeb\drwebsp.dll
    C:\Program Files\EMET 4.1\EMET.dll
    C:\Program Files\EMET 5.0\EMET.dll
    C:\Program Files\eScan\shortcut.exe
    C:\Program Files\ESET\ESET Smart Security\egui.exe
    C:\Program Files\ESTsoft\ALYac\AYLaunch.exe
    C:\Program Files\F-Secure\ExploitShield\fsesgui.exe
    c:\Program Files\F-Secure\FSPS\program\FSLSP.DLL
    c:\program files\f-secure\hips\fshook32.dll
    c:\program files\f-secure\scanner-interface\fsgkiapi.dll
    C:\Program Files\Fiddler2\Fiddler.exe
    C:\Program Files\Fortinet\FortiClient\FortiClient.exe
    C:\Program Files\FRISK Software\F-PROT Antivirus for Windows\FPWin.exe
    C:\Program Files\IKARUS\anti.virus\unGuardX.exe
    C:\Program Files\Immunet\ips.exe
    C:\Program Files\INCAInternet\nProtect Anti-Virus Spyware 3.0\nsphsvr.exe
    c:\Program Files\iTunes\iTunesHelper.exe
    C:\Program Files\JiangMin\AntiVirus\KVPopup.exe
    C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2011\avzkrnl.dll/#2/BBALL
    c:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2012\klwtblc.dll
    C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2012\x86\mfc42.dll/#2/#26567
    c:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2013\klwtblc.dll
    c:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2013\remote_eka_prague_loader.dll
    C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2013\x86\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 5.0 for Windows Workstations\shellex.dll/#2/#102
    C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\shellex.dll/#2/#102
    C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\shellex.dll/#2/#102
    C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\shellex.dll/#2/#102
    C:\Program Files\Kaspersky Lab\Kaspersky Endpoint Security 8 for Windows\avp.exe
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 14.0.0\x86\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 15.0.0\x86\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2011\avzkrnl.dll/#2/BBALL
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\x86\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2013\x86\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\shellex.dll/#2/#102
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\shellex.dll/#2/#102
    C:\Program Files\Kaspersky Lab\Kaspersky PURE 2.0\x86\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky PURE 3.0\x86\mfc42.dll/#2/#26567
    C:\Program Files\Kaspersky Lab\Kaspersky PURE\mfc42.dll/#2/#26567
    c:\Program Files\McAfee\VirusScan Enterprise\RES0402\McShield.dll
    c:\Program Files\Microsoft SQL Server\80\COM\sqlvdi.dll
    c:\Program Files\Microsoft SQL Server\90\COM\instapi.dll
    C:\Program Files\Norman\Nse\Bin\nse.exe
    C:\Program Files\Norton Internet Security\Branding\muis.dll
    C:\Program Files\Norton Internet Security\Engine\21.1.0.18\asOEHook.dll/#2/#102
    C:\Program Files\Norton Internet Security\Engine\21.6.0.32\asOEHook.dll/#2/#102
    C:\Program Files\Oracle\VirtualBox Guest Additions\uninst.exe/#2/#110
    C:\Program Files\Parallels\Parallels Tools\Applications\setup_nativelook.exe/#2/#204
    C:\Program Files\PC Tools Antivirus Software\pctsGui.exe
    C:\Program Files\Quick Heal\Quick Heal Total Security\ARKIT.EXE
    C:\Program Files\Rising\RFW\RavMonD.exe
    C:\Program Files\Rising\RIS\LangSel.exe
    C:\Program Files\Sophos\Sophos Anti-Virus\SavMain.exe
    C:\Program Files\Sunbelt Software\Personal Firewall\cfgconv.exe
    C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
    C:\Program Files\Symantec\Symantec Endpoint Protection\DoScan.exe
    c:\Program Files\Symantec\Symantec Endpoint Protection\wpsman.dll
    C:\Program Files\Trend Micro\Titanium\UIFramework\uiWinMgr.exe
    C:\Program Files\ViRobotXP\Vrmonnt.exe
    C:\Program Files\VirusBuster\winpers.exe
    C:\Program Files\VMware\VMware Tools\TPAutoConnSvc.exe/#2/#26567
    C:\Program Files\VMware\VMware Tools\TPAutoConnSvc.exe/#2/#30996
    c:\Program Files\WinRAR\WinRAR.exe
    c:\Program Files\WinZip\WZSHLSTB.DLL
    c:\Program Files\WinZip\ZipSendB.dll
    D:\Program Files (x86)\EMET 4.1\EMET.dll
    d:\Program Files (x86)\EMET 5.0\EMET.dll
    d:\Program Files\EMET 4.1\EMET.dll
    d:\Program Files\EMET 5.0\EMET.dll

List of ActiveX loaded:
    Kaspersky.IeVirtualKeyboardPlugin.JavascriptApi.1
    Symantec.IPS.WebProtection.1

cnbird2008
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
VC++网络资源集合
bcbobo21cn的专栏
04-08 2012
http://www.jizhuomi.com/software/257.html     第一部分：VS2010/MFC开发环境     第二部分：VS2010/MFC应用程序框架     第三部分：对话框     第四部分：常用控件     第五部分：菜单、工具栏与状态栏     第六部分：文档、视图和框架     第七部分：MFC常用类     第八部分：字体和文本输出  
Some of the best Open Source Project's in VC++ & MFC
tianyu的专栏 - Linux site:blog.csdn.net/wishfly
09-04 1753
IntroductionList of some of the best Open Source projects written in VC++/MFC. BackgroundCodeproject has the best source code repository for VC++ developers. But another site Sourceforge.net als
ContentResolver操作uri权限问题
最高永远来自最下
10-19 9576
在Android中使用ContentResolver通过uri代开输入流： ContentResolver contentResolver = getContentResolver(); InputStream inputStream = contentResolver.openInputStream(uri); 报了以下错误： java.lang.SecurityException: Permission Denial: reading com.android.externalstorage.Exter
android 系统相册调用，各方式返回的URI总结
kongku的专栏
05-13 3万+
请求系统相册有三个Action： 下面会详细介绍他们在不同版本系统中的测试结果区别：  测试系统：Android 7.0官方模拟器& Android 5.1的flyme 6 魅蓝note3 ACTION_OPEN_DOCUMENT 从文件管理器获取 >> content://com.android.providers.media.documents/document/image:1385
Android使用系统文件管理器选择文件，并将Uri转换为File
哈罗德Android笔记
03-09 6万+
0.README 1.利用系统文件管理器选择文件得到Uri码 2.Uri转化成File能读取的路径 参考文献 0.README 本文的android代码测试机型为：小米4。首先用系统文件管理器选择文件，获得文件Uri，然后解析Uri得到文件真实路径。 1.利用系统文件管理器选择文件得到Uri码 这里借鉴的是CSDN博客里别的大佬的回答（见参考文献...
电脑开机出现C:\Windows\System32\drivers\fs_rec.sys
weixin_30483697的博客
12-10 3953
复制其他电脑的C:\Windows\System32\drivers\fs_rec.sys使用大白菜u盘的winpe替换C:\Windows\System32\drivers\fs_rec.sy文件，开机出现更新，30分钟能正常使用，记得提前把fs_rec.sy文件备份，避免出现进步了共享的情况，网络能正常使用 转载于:https://www.cnblogs.com/bignine/p/10095...
WPS_Helper.7z
08-31
QT，EXCEL，表格，修改，build-WPS_Helper-Desktop_Qt_5_9_0_MinGW_32bit-Release
MiTeC System Information Component Suite 11.3.0 For D7 破解
04-09
+ TMiTeC_OperatingSystem: provides OS detailed information, Locale, Timezone, NT specific info, hotfixes, internet settings etc. + TMiTeC_Printers: detects installed printers and their properties +...
已加载“C:\Windows\System32\ntdll.dll”。无法查找或打开 PDB 文件。解决方法。
weixin_42586210的博客
03-07 2万+
解决方法： （1）工具——选项； （2）常规——启用源服务器支持；（如果有跟我一样的情况，可以在搜索选项中搜索“常规"）; 点击“是”； （3）符号——Microsoft符号服务器（PS：划线的位置在你点击之前是空白的，不用管直接点确定就行，完成之后就会自动出现，这是我之前的坑
kivy 中 .kv 文件的使用
constr的博客
10-18 7162
kivy 中使用 .kv 文件折腾了良久，终于OK ========= test.py ========= import kivy kivy.require('1.0.7') from kivy.app import App class TestApp(App):     pass if __name__ == '__main__':     TestApp().r
基于WPS的在线编辑服务【.net Core 3.1】
qq_36479244的博客
08-06 3189
很多时候大家都需要用到在线文档编辑服务之类的东西，今天就以WPS的在线编辑为例。【目前仅支持以企业形式申请】 链接WPS开放平台。 效果图如下 用到示例https://github.com/guolaopi/WPSOnlineDemo 改过之后的后台代码示例： [Route("api/[controller]/[Action]")] [ApiController] public class WpsController : ControllerBase { ..
打开office应用时报错：应用程序错误-(0xc0000142)--word, ppt, excel
热门推荐
个人博客
03-09 8万+
问题描述 我晚上在打开PPT时报错： powerpnt.exe- 应用程序错误 应用程序无法正常启动(0xc0000142)。请单击&amp;amp;quot;确认关闭应用程序&amp;amp;quot; 如下图： 解决方案 打开cmd的管理员窗口或者powershell的管理员窗口： 输入如下命令检查Windows系统完整性： DISM.exe /Online /Cleanup-image /Restorehealth ...
Android爬坑之旅之FileProvider（Failed to find configured root that contains）
weixin_34082789的博客
01-18 1130
最近在测试FileProvider相关功能的时候，在从自定义相册选择图片通过FileProvider来获取content uri的时候程序突然崩溃了，报出了 Failed to find configured root that contains xxxx 复制代码的错误，一开始以为是自己的配置出错了，但是参照官方文档改来改去仍然没有任何作用，通过绞尽脑汁地排查，终于发现了错误原因，并找到了正确的...
解决\windows\system32\DRIVERS\nvpciflt.sys出现错误，电脑无法开机的状况
jiuluguoshidai的专栏
08-13 2万+
今天更新显卡驱动时，不知什么原因电脑卡屏，于是强行关机，结果开启电脑时无法正常进入系统中，跳出\windows\system32\DRIVERS\nvpciflt.sys出现错误提示。慌忙之际，上网查找解决方案，结果一大堆人说重装系统，其实没有那个必要。         后天我用U盘做了一个通用PE启动盘，然后启动U盘上的PE，通用PE里有个系统引导修复的软件，点击该软件，然后选择你的系统盘的字
关于Web应用程序的写入权限的设置
五角大寨
03-29 5321
初学者在作需要保存文件到服务器的Web应用程序时可能会比较困惑，也就是即使在IIS中设置了写入权限，再实际操作时也造成错误。下面是我总结出的设置方法。在许多Web应用程序中，需要给网络用户以服务器文件的写入权限，以保存用户的信息、网络的信息等。在Xp下，写入权限的设置包括两个方面。1。在IIS管理器中设置网络用户的写入权限方法：在Internet信息管理器中，选中要设置权限的文件或文件
支付宝支付功能实现原理，微信公众号中实现支付宝支付功能开发流程
青崖梦
01-20 3万+
这篇文章使用一些简单的代码例子来解释微信接入支付宝支付功能的操作步骤，即使新手也可以轻松参透的。 第三方支付是指具备一定实力和信誉保障的独立机构，采用与各大银行签约的方式，通过与银行支付结算系统接口对接而促成交易双方进行交易的网络支付模式。 使用第三方支付，我们只要申请一个帐号平台即可以支持所以银行卡信用卡支付功能，具体支付功能由第三方支付平台来完成。本文所要介绍的是支付宝手机网站支付功能，而...
Enumeration遍历
最新发布
09-09
Enumeration接口是Java中早期的集合遍历接口，它提供了一种机制，允许用户访问集合中的各个元素，同时隐藏了集合的实现细节。它类似于迭代器，但相较于迭代器来说，功能更加简单，只提供了两个方法：`...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值