CVE-2024-23940 恶意软件代理 EXE

近期，网络安全研究人员雷纳托·加雷顿和米格尔·门德斯进行了一项研究，发现了防病毒软件内部存在一些不容忽视的隐患。
恶意软件的新手法：在长时间的研究中，研究人员发现恶意软件愈发巧妙，逐渐采用使用合法应用程序执行代码的手法。尤其是那些带有提升权限签名的二进制文件，成为威胁行为者的目标。这些方法不仅能够逃避检测，有时还能通过攻击杀死反病毒解决方案，如勒索软件 Genshin Impact。
漏洞利用和市场上的防病毒软件：研究人员的研究重点在于分析市场上的防病毒软件，特别是那些需要购买的程序，但是这些问题并不是只存在于商业软件中。
下面是成功获取分析的一些防病毒程序漏洞。
为何选择代理 DLL 而非 DLL 劫持？
虽然通常采用 DLL 劫持的手法，但我们选择了代理 DLL，这一高级方法可以将功能合并到 DLL 中，而无需修改源代码效率比较高。

深度解析 BitDefender：为了避免冗余，将详细分析 BitDefender，以展示这些方法的应用。通过 Pestudio 工具，了解了 updcenter.exe 二进制文件的关键信息，包括 VirusTotal 检测结果。
易受攻击的 BitDefender 二进制文件：借助 Pestudio，发现了 BitDefender 的易受攻击的二进制文件，同时确认其合法性。

DLL Export Viewer 的角色：通过 DLL Export Viewer 工具，成功提取了 BitDefender 的函数列表

DLL 代理的利器：我们深入探讨了为何选择 DLL 代理，并在 Visual Studio Code 中执行了相关操作，从提取函数一直到最终 DLL 编译。

DLL 导出查看器导出的函数的结构：

bool __cdecl TinyXPath::o_xpath_attribute(class TiXmlNode const * __ptr64,wchar_t const * __ptr64,class TiXmlAttribute const * __ptr64 & __ptr64)

DLL 代码的格式化函数结构 (Visual Studio Code) :

#pragma comment(linker,”/export:bool __cdecl TinyXPath::o_xpath_attribute(class TiXmlNode const * __ptr64,wchar_t const * __ptr64,class TiXmlAttribute const * __ptr64 & __ptr64)=txmlutil_orig.bool __cdecl TinyXPath::o_xpath_attribute(class TiXmlNode const * __ptr64,wchar_t const * __ptr64,class TiXmlAttribute const * __ptr64 & __ptr64),@536")

在执行此操作之前，在 Visual Studio Code 中执行以下步骤：

1.打开 Visual Studio 并创建一个新项目：

    选择“文件”->“新建”->“项目...”

    选择“Visual C++”->“动态链接库（DLL）”

2. 为项目分配一个名称，例如，DLL 的原始名称。

3. 将代码添加到 DLL 包装文件 （dll_example.cpp） 中，并将其复制到项目的dllmain.cpp。

4. 在项目中，转到“属性”->“常规”->“配置类型”，然后选择“动态库（.dll）”。

5. 在“C/C++”->“代码生成”->“运行时库”中，选择“多线程（/MT）”。

6. 在“C/C++”->“预编译头文件”中，将“设置预编译头文件”设置为“不使用预编译头文件”。

7. 确保架构与“活动配置”中的目标可执行文件匹配。

1.点 (1)执行二进制文件并加载代理 （txmlutil.dll） 以进行函数调用。

2.点 (2)代理 DLL 截获对原始 DLL 函数的调用，并且可以在将调用传递给原始 DLL 之前或之后执行其他操作。

3.要点(3)代理 DLL 包含执行payload.bat文件的函数。

结论和影响：总的来说，研究揭示了合法防病毒软件中存在的漏洞，对个人用户和企业都带来了重大的影响。
影响程度：尽管这种攻击手法看似简单，却对防病毒系统的信任造成了严重冲击。使用有漏洞的二进制文件不仅暴露了个体系统的安全性，还可能对企业网络安全构成潜在威胁。信任有漏洞的软件的用户可能会面临意想不到的风险，因此企业必须加强产品的安全性，以维护用户的信任，确保有效防御不断复杂化的网络威胁。

原文:https://medium.com/@s1kr10s/av-when-a-friend-becomes-an-enemy-55f41aba42b1