ie浏览器修复工具_漏洞利用工具包Capesand来袭，Flash和IE浏览器用户请速打补丁...

在上个月，网络安全公司趋势科技( Trend Micro)发现了一种能够利用Adobe Flash和IE浏览器最新漏洞的新型漏洞利用工具包，名为“Capesand”。

分析显示，Capesand集合了大量在网上就可以找到的漏洞利用代码，其中一个IE浏览器漏洞甚至是在2015年被公开披露的，距今已近5年的时间。

发现过程

在10月中旬，趋势科技发现了一场利用Rig漏洞利用工具包来传递DarkRAT和njRAT恶意软件的恶意活动。

但到了10月底，重定向不再指向Rig漏洞利用工具包，而是一种此前从未被公开披露过的漏洞利用工具包——Capesand。

图1. Capesand漏洞利用工具包面板

图2. Capesand漏洞利用工具包的流量模式

与其他工具包相比，Capesand漏洞利用工具包的代码非常简单，几乎全都是从网上复制过来的，就连混淆和打包技术也都是直接照搬。

恶意活动

恶意网站伪装成一个讨论“区块链”的博客网站，但实际上包含一个隐藏的iframe，用于加载漏洞利用工具包。

图3.恶意网站页面

在10月中旬，隐藏的iframe加载的是Rig漏洞利用工具包。到了10月底，iframe被更改为了加载“landing.php”——托管在同一台服务器上的Capesand。

图4.隐藏的iframe重定向到Rig漏洞利用工具包(上)和Capesand漏洞利用工具包(上)

Capesand漏洞利用工具包

通过Capesand的面板，攻击者可以下载前端源代码、部署自己的服务器，以及查看当前的使用状态。

前端源代码看上去与被命名为“Demon Hunter”的老旧漏洞利用工具包的源代码非常类似，这使得趋势科技相信它很有可能就是Capesand的前身。

除了能够利用Adobe Flash漏洞CVE-2018-4878以及IE浏览器漏洞CVE-2018-8174之外，Capesand还能够利用CVE-2019-0752，这是一个在今年4月份才被公开披露的IE浏览器漏洞。

图5.Capesand登录页面脚本检查IE版本并加载CVE-2018-8174漏洞利用代码或CVE-2019-0752漏洞利用代码

图6. Capesand登录页面脚本检查Flash版本并加载CVE-2018-4878漏洞利用代码

随着调查的深入，趋势科技还发现了一个能够利用IE漏洞CVE-2015-2419的Capesand版本。

图7.携带恶意shellcode的CVE-2015-2419漏洞利用代码

图8.在受感染计算机上执行的恶意shellcode

Capesand攻击链

通过Capesand成功利用漏洞之后，第一阶段将下载mess.exe并尝试利用CVE-2018-8120升级特权，然后执行njcrypt.exe以释放最终有效载荷(如njRAT)。

图9.Capesand攻击链(CVE-2015-2419)

模块CyaX_Sharp.dll会生成一个配置文件来跟踪受感染计算机的配置，并检查杀毒软件ESET是否存在。

图10. CyaX_Sharp.dll检查杀毒软件ESET是否存在

结论

尽管Capesand漏洞利用工具包目前仍处于开发阶段，但已经具备了能够入侵目标计算机的能力，且试图通过蹭一些社会热点(如“区块链”)来吸引更多的受害者。

此外，尽管它利用的都是一些已知漏洞，但通过检查一些杀毒软件的存在，仍能够将检出率控制在最低。