新しいマルウェアが Microsoft IIS の機能を悪用してバックドアを確立

可能性ハンターチームシマンテック

シマンテック、

ブロードコムInstrument

は、Microsoft の Web データサービスおよび製品 (IIS) の機能を悪用して、特定のメソッドにバックドアを展開するまったく新しいマルウェアを発見しました。 .

Frebniis (Backdoor.Frebniis) と呼ばれるこのマルウェアは、危険度が未知のレベルにあるため、すぐに絶滅しました。

Frebniis によって絶滅したアプローチは、悪意のあるコードを DLL ファイルの記憶に挿入することを伴います ( iisfreb.dll) が IIS 機能にリンクされており、失敗したオンラインインターネットページ要求のトラブルシューティングと分析を行っていません。これにより、マルウェアはすべての HTTP リクエストをこっそりと画面に表示し、攻撃者が送信した特別にフォーマットされた HTTP リクエストを調べて、リモートでコードを実行できるようにします。この手段を実行するためには、攻撃者は、IIS サーバーを実行している Windows システムへのアセンブルエントリを他のスキルによって賞賛する必要があります。この関連ケースでは、このアセンブルエントリが達成された直後にどのように変更されたかは不明です。

Match Buffering からの Seek info に失敗しました

IIS は人気があります- Windows メソッドで実行されるインターネットサーバーを計画して、要求された HTML ページまたはレコードデータを助長します。 IIS インターネットサーバーは、リモートクライアントコンピューターからの要求を受け入れ、受け入れ可能な応答を返します。 IIS には、Failed Seek info from Match Buffering (FREB) という名前の機能があります。これは、元の IP ハンドルとポート、Cookie を含む HTTP ヘッダーなどに似た、要求に関する知識と小さな印刷物を収集します。

トレースからの失敗したシーク情報として知られる機能は、IIS の失敗した要求をトラブルシューティングするために、ほぼ確実に廃止される可能性があります。 Failed Seek info from Tracing は、質問のヒントイベントをバッファリングし、質問がユーザーによる「失敗」ビルドの定義を満たしている場合、それらをディスクにフラッシュします。リクエストが関連する HTTP ステーションコード (401 または 404 など) を返す理由、またはリクエストの処理に時間がかかりすぎている理由、または現在応答していない理由を知るために、失敗した ask の追跡は消滅する可能性があります。

IISのステルスコード乗っ取り

Frebniis は、トレースからの Failed Seek 情報が有効になっていることを確認した後、w3wp.exe (IIS) プロセスの記憶にアクセスし、のハンドルを取得します。 Match Buffering コード (iisfreb.dll) からの Failed Seek 情報のビルドが読み込まれます。このコード開始ハンドルを使用して、Frebniis はそこから操作ポインタテーブルを検索して、コードの実行を乗っ取ります

インターネットベースのクライアントから IIS に対して HTTP 要求が行われるたびに、iisfreb.dll 内の関連操作ポインターが iiscore.dll によって認識されることは明らかです。これは、HTTP 要求のうなり声がトレースソリューションからの Failed Seek 情報に適合する場合、全体的な評価に作用します。