近日,ESET安全研究人员发现韩国网络间谍组织APT-C-60利用WPS Office Windows版本中的一个零日代码执行漏洞(CVE-2024-7262),在东亚地区的目标系统中安装了名为SpyGlace的后门程序。

WPS Office是中国金山软件公司开发的一款生产力套件,在亚洲地区拥有广泛的用户基础,全球活跃用户超过5亿。

WPS零日漏洞被野外利用超过半年

此次曝光的CVE-2024-7262漏洞,涉及WPS Office对自定义协议处理程序(如"ksoqing://")的处理方式不当,使攻击者能够通过恶意URL在文档中执行外部应用程序。这一漏洞自2024年2月下旬以来已在野外被利用,影响了从2023年8月发布的12.2.0.13110版本到2024年3月发布的12.1.0.16412版本。

APT-C-60在攻击中使用了恶意超链接,隐藏在图片下方,诱使用户点击。点击后,会执行特定插件(promecefpluginhost.exe),加载恶意DLL文件(ksojscore.dll),最终下载并执行SpyGlace后门程序。

APT-C-60攻击路径 来源:ESET

SpyGlace是一个后门程序,根据Threatbook此前的分析报告,APT-C-60曾在攻击人力资源和贸易相关组织时使用过SpyGlace。

补丁不完善导致新的漏洞

更为严重的是,ESET的研究人员在调查APT-C-60的攻击时,还发现了另一个相关的任意代码执行漏洞(CVE-2024-7263)。这个漏洞是由于金山软件对CVE-2024-7262修补不完全导致的,某些参数如"CefPluginPathU8"未得到充分验证,攻击者可能利用这一漏洞再次执行恶意代码。(此漏洞可以在本地或通过网络共享进行利用)

尽管研究人员尚未观察到APT-C-60或其他攻击者利用CVE-2024-7263在野外发动攻击,但这个漏洞的存在意味着在足够的时间内,攻击者可能会发现并利用这一安全缺口。

漏洞披露时间线

以下为ESET官方博客(按照其与金山协调的漏洞披露政策)公布的自武器化文档上传到 VirusTotal至今的时间线:

  • 2024-02-29:CVE-2024-7262的漏洞利用文档上传至VirusTotal。

  • 2024-03-??:金山发布了一个更新,悄悄修补了CVE-2024-7672漏洞,因此 2024-02-29披露的漏洞不再有效。这是通过分析2024-03至2024-04之间所有可访问的WPS Office 版本后得出的结论,因为金山在尝试修复此漏洞时并未特别提供其操作的精确细节。

  • 2024-04-30:ESET分析了来自VirusTotal的恶意文档,发现它正在积极利用 CVE-2024-7262,这是文档首次使用时的一个零日漏洞。ESET还发现WPS的静默补丁仅解决了部分错误代码,其余有缺陷的代码仍然可被利用。

  • 2024-05-25:ESET联系了金山软件,报告了发现。虽然第一个漏洞已经修复,但ESET询问金山软件是否可以创建CVE条目和/或公开声明,就像对CVE-2022-24934所做的那样。

  • 2024-05-30:金山软件承认了这些漏洞并告诉ESET会及时更新信息。

  • 2024-06-17:ESET要求更新。

  • 2024-06-22:金山软件告诉ESET开发团队仍在努力解决这个问题,并计划在即将推出的版本中修复这个问题。

  • 2024-07-31:根据后续测试,ESET发现CVE-2024-7263已被悄悄修复,ESET告知金山软件已预留并正在准备CVE-2024-7262和CVE-2024-7263。

  • 2024-08-11:DBAPPSecurity团队独立发布了其调查结果。

  • 2024-08-15:CVE-2024-7262和CVE-2024-7263发布。

  • 2024-08-16:ESET要求金山软件进行另一次更新。

  • 2024-08-22:金山软件承认已于5月底修复了CVE-2024-7263,这与该公司在2024-06-22声称其开发团队“仍在努力解决该问题”的说法相矛盾。

  • 2024-08-28:金山软件已承认这两个漏洞,并已修复。但是,该公司表示无意公开CVE-2024-7262的野外利用情况,因此ESET决定发布博客文章警告金山软件的客户:由于CVE-2024-7262漏洞野外利用的第三方披露(会增加漏洞被利用的可能性),他们应紧急更新WPS Office。

应对措施与建议

目前,ESET强烈建议WPS Office用户尽快更新到最新版本,至少升级到12.2.0.17119版本,以解决这两个代码执行漏洞。ESET在报告中警告:“这个漏洞非常狡猾,足以诱使任何用户点击看似合法的电子表格,攻击成功率极高。”

结语

WPS零日漏洞攻击事件再次提醒我们,在使用流行办公软件时,仍需保持警惕,及时更新软件以防范潜在的安全威胁。此外,APT-C-60的攻击活动表明,针对东南亚地区的目标,网络间谍组织正在不断寻找新的漏洞和更高效的攻击手段。

有关APT-C-60活动的详细入侵指标(IoCs)列表,可以访问ESET在GitHub上的项目页面获取。

参考链接:

  • https://www.welivesecurity.com/en/eset-research/analysis-of-two-arbitrary-code-execution-vulnerabilities-affecting-wps-office/

  • https://threatbook.io/blog/Analysis-of-APT-C-60-Attack-on-South-Korea

声明:本文来自GoUpSec,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。