利用Firefox 0day漏洞攻击事件的关联分析
近期的 Firefox漏洞CVE-2019-11707最早是 Google Project Zero的Samuel Groß在4月15号提交的，不过他发现的0day只能导致代码执行，却无法进行Firefox的沙盒逃逸，因此如果在实际攻击中利用应该还需要配合一个沙盒逃逸的漏洞。
随后在近日，数字货币交易机构Coinbase的安全人员向Firefox提交了其内部遭到攻击时捕获到的一个漏洞，该漏洞经过证明为一处沙盒逃逸的漏洞，并被命名为CVE-2019-11708。
后续Coinbase的相关安全人员也公布了其中的 IOC，并且声称其并不是遭受攻击的唯一数字货币交易机构。
Hash：
af10aad603fe227ca27077b83b26543b
de3a8b1e149312dac5b8584a33c3f3c6
C2 IP：
89.34.111.113:443
185.49.69.210:80
并且著名的Mac恶意样本研究小站Objective-See发布了涉及该漏洞事件投递的macOS 后门的分析报告（https://objective-see.com/blog/blog_0x43.html）。
结合报告披露的内容，有数字加密货币的相关人员收到了如下图的邮件之后，点击了对应的html从而导致后台恶意代码执行，有意思的是其提供的后续恶意代码和之前Coinbase安全人员提供的一致，即de3a8b1e149312dac5b8584a33c3f3c6，因此将这个两次事件联系到一起，猜测这次0day的攻击源头来自于people.ds.cam.ac.uk/nm603/awards/Adams_Prize。
随后我们对相关线索进行进一步的分析。
分析
我们通过vt可以看到Coinbase提供的两个样本，其中主要关注第二个，该样本和之前objective-see中提到的一致。
第一次的提交时间为6月6日，来自于南非，第二次则是6月20日，来自于加拿大。
再看看由Coinbase提供的两个ip，89.34.111.113:443和185.49.69.210:80
其中89.34.111.113下就有之前提到的de3a8b1e149312dac5b8584a33c3f3c6（IconServicesAgent），除此之外一个还有一个windows相关的样本，上传时间为2018年4月16日。
结合奇安信TIP 平台也可以查看到该 IP 历史对应的样本，其为 Emotet，知名的银行木马。
185.49.69.210:80下则没有太多有效关联信息。
分析下de3a8b1e149312dac5b8584a33c3f3c6这个样本，该样本应该是 Mac 下的 Netwire RAT，Netwire RAT 是一个公开的木马。样本中有一处比较特殊的字符串”hyd7u5jdi8″。
hyd7u5jdi8这个字符比较特殊，其曾在2012年的Netwire样本中出现，该样本号称第一个mac osx及linux的样本。
而该Netwire 木马之前也被APT组织和网络犯罪团伙所使用。
例如被认为隶属于伊朗的APT 33所使用， 著名的网络犯罪团伙Carbanak和尼日利亚黑客组织SilverTerrier。
有意思的是之后名为Vitali Kremez的研究人员介绍该字符串也出现在 FireEye在2017年5月报的CVE-2017-0261 eps 0day攻击事件中。
而在当时的攻击中最后投递的样本正是Netwire。
而从fireeye的报告中可以看到，这起攻击中出现了三个团伙turla，apt28，及一个未知的经济动机组织，该组织使用的正是NETWIERE，且其攻击的目标为全球银行组织在中东的相关机构。