Author：Yuki Chen of Qihoo 360 Vulcan Team

Background

In May 2018, the Advanced Threat Response Team of 360 Core Security Division detected an APT attack exploiting a 0-day vulnerability and captured the world’s first malicious office sample that uses a browser 0-day vulnerability. The sample exploited a use-after-free vulnerability in the VBScript engine which was fixed by Microsoft as CVE-2018-8174 in May 2018 security update, the detailed analysis of the bug could be found at: http://blogs.360.cn/blog/cve-2018-8174-en/ After analyzing the patch for CVE-2018-8174 carefully, we realized that the fix was not so complete and there still exists similar problems which could be leveraged to achieve reliable remote code execution in VBScript engine. We reported the issues we found to Microsoft immediately and Microsoft addressed them with a new fix (CVE-2018-8242) in July 2018 security update. In this blog, we will introduce the details of the new exploitable issues with CVE-2018-8174 patch we found. We will also discuss how we exploit the new bug we found and get reliable remote code execution in an upcoming blog (part II).

阅读全文 »

Report provided by k0shl from 360vulcan team

@KeyZ3r0

1 Background

In recent years, the exploit of GDI objects to complete arbitrary memory address R/W in kernel exploitation has become more and more useful. In many types of vulnerabilityes such as pool overflow, arbitrary writes, and out-of-bound write, use after free and double free, you can use GDI objects to read and write arbitrary memory. We call this GDI data-only attack.

Microsoft introduced the win32k type isolation after the Windows 10 build 1709 release to mitigate GDI data-only attack in kernel exploitation. I discovered a mistake in Win32k TypeIsolation when I reverse win32kbase.sys. It have resulted GDI data-only attack worked again in certain common vulnerabilities. In this paper, I will share this new attack scenario.

阅读全文 »

作者：k0shl from 360vulcan team

作者微博：@我叫0day谁找我_ twitter：@KeyZ3r0

1 背景

近年来，在内核漏洞利用中利用GDI object来完成任意地址R/W的方法越来越成熟，在池溢出（pool overflow），任意地址写（arbitrary write），越界写（oob write），释放后重用（uaf），二次释放（double free）等很多漏洞类型的场景中，都可以利用GDI object来完成任意地址读写，我们称为GDI data-only attack。

微软在Windows 10 build 1709版本之后引入了win32k类型隔离用来缓解GDI object这种利用方式，我在对win32kbase.sys关于typeisolation实现的逆向工程中发现了微软在设计类型隔离这种缓解措施时的一处失误，导致在某些常见漏洞场景中仍然可以利用GDI object完成data-only exploitation，在本文中，我将与大家分享这个新的攻击方案思路。

阅读全文 »

更多详情请点击360勒索病毒专题页：http://lesuobingdu.360.cn

0x00 背景：

当前互联网行业发展迅速，拥有高效率编程的解释型语言更得到了广大网友的热爱，Autoit就是其中之一，本文分析的勒索病毒就是使用该语言进行编写，对文件加密完成后，将会在扩展名之前加入.encrypted ，例如1.txt 被加密后，文件名为1.encrypted.txt，并索要1000美元的赎金。

阅读全文 »

Pwn2own 2018 Firefox case study
Author: Hanming Zhang from 360 vulcan team

1. Debug Environment

• OS
  • Windows 10
• Firefox_Setup_59.0.exe
  • SHA1: 294460F0287BCF5601193DCA0A90DB8FE740487C
• Xul.dll
  • SHA1: E93D1E5AF21EB90DC8804F0503483F39D5B184A9

阅读全文 »

Pwn2own 2018 Firefox case study
Author: Hanming Zhang from 360 vulcan team

1. 调试环境

• OS
  • Windows 10
• Firefox_Setup_59.0.exe
  • SHA1: 294460F0287BCF5601193DCA0A90DB8FE740487C
• Xul.dll
  • SHA1: E93D1E5AF21EB90DC8804F0503483F39D5B184A9

阅读全文 »

几年前，敲诈者木马还是一个默默无闻的木马种类。然而，由于其极强的破坏力和直接且丰厚的财富回报，敲诈者木马这几年已经一跃成为曝光率最高的木马类型——甚至超越了盗号木马、远控木马、网购木马这传统三强。与此同时，各种敲诈者木马也在不断推陈出新，变着花样地出现在分析人员的视野中。

阅读全文 »

摘 要

• 2016年全年，360互联网安全中心累计截获Android平台新增恶意程序样本1403.3万个，平均每天新增3.8万恶意程序样本。
• 2016年全年，从手机用户感染恶意程序情况看，360互联网安全中心累计监测到Android用户感染恶意程序2.53亿，平均每天恶意程序感染量约为70万人次。
• 根据移动端恶意程序感情况，经历2012-2014三年的高速增长期，2016年首次停止增长，说明手机恶意程序进入平稳期。
• 2016年Android平台新增恶意程序主要是资费消耗，占比高达74.2%；其次是恶意扣费（16.5%）、隐私窃取（6.1%）。
• 2016年，从省级地域分布来看，感染手机恶意程序最多的地区为广东省，感染数量占全国感染数量的11.4%；其次为河南（6.31%）、江苏（5.86%）、山东（5.32%）、四川（5.3%）。
• 从城市看，北京用户感染Android平台恶意程序最多，占全国城市的4.0%；其次是广州（2.8%）、南京（2.4%）、重庆（2.0%）、成都（2.0%）。位居Top10的城市还有郑州、昆明、杭州、深圳、石家庄。
• 钓鱼软件、勒索软件、色情播放器软件、顽固木马成为2016年流行的恶意软件。

阅读全文 »

背景介绍

在12月Adobe狂补78个漏洞的一周后，国外安全研究人员kafeine(@kafeine)爆出Angler Exploit Kit开始使用这个月修补的CVE-2015-8446漏洞进行攻击。我们第一时间跟进对该漏洞的原理和样本的利用方式进行了分析，在此与大家分享。

阅读全文 »

• Qtest测试人的座右铭：

  • 比开发更懂技术
  • 比产品更懂设计
  • 比运营更懂用户

• 2014年9月16日，在中国软件行业协会系统与软件过程改进分会的组织下，奇虎360、京东、华为和光大银行的测试团队在360总部开展了亲切的交流会。

  

阅读全文 »