安全播报

防御吧作为15年知名老牌域名服务商,CNNIC和CANN双认证域名注册商,已经
持续为500多万个域名提供服务,包括智能DNS/自由转移/隐私保护等服务!
Zimbra XSS 0 day漏洞利用可窃取邮件内容
2022-02-15 14:50:59 【

Operation EmailThief利用Zimbra XSS 0 day漏洞窃取邮件内容。


Zimbra是一个开源邮件平台,常被企业用作Microsoft Exchange外的选项。Volexity研究人员在Zimbra邮件客户端中发现一个XSS 0 day漏洞,攻击者利用该漏洞可以窃取cookie信息,以实现对邮箱内容的持续访问、利用被黑的邮箱账号来发送钓鱼消息、下载其他恶意软件。



Operation EmailThief攻击

攻击活动可以分为2个阶段:第一个阶段负责侦查内容;第二个阶段引诱目标来点击恶意攻击者伪造的链接。攻击成功的话,受害者会从web浏览器登入Zimbra web邮箱客户端时访问攻击者发送的链接。该链接也可以从应用来启动,比如通过Thunderbird或Outlook。漏洞利用成功后,攻击者可以在用户的Zimbra会话环境中运行任意JS代码。整个攻击流程如图1所示:


鱼叉式钓鱼攻击活动

研究人员在2021年12月发现一个为期2周的鱼叉式钓鱼攻击活动,在攻击中攻击者使用了74个位于的outlook.com邮箱地址。邮箱地址的格式一般为


侦查阶段

攻击最开始是以2021年12月14日发送的一个鱼叉式钓鱼邮件开始的,通过在邮件中嵌入远程图像来诱使用户查看或打开邮件。邮件中除了远程图像外不含有其他内容,邮件主题一般是非定向垃圾邮件相关的通用主题。比如:邀请函、机票退款、警告等。


每个邮件中的图像链接都是唯一的。目的可能是测试邮件地址的有效性,并确定哪些地址更有可能打开钓鱼邮件消息。但是Volexity研究人员并没有发现侦查邮件和随后鱼叉式钓鱼攻击邮件的关联。远程图像URL地址如下:


复制

hxxp://fireclaws.spiritfield[.]ga/[filename].jpeg?[integer]

hxxp://feralrage.spiritfield[.]ga/[filename].jpeg?[integer]

hxxp://oaksage.spiritfield[.]ga/[filename].jpeg?[integer]

hxxp://claygolem.spiritfield[.]ga/[filename].jpeg?[integer]


每个URL后面的数是用来识别特定的受害者。每个子域名对每个邮件是唯一的。


恶意邮件

在攻击的第二个阶段,研究人员发现了多起鱼叉式钓鱼攻击活动。在这些攻击活动中,攻击者嵌入链接到攻击者控制的基础设施。在攻击活动中,使用了2类不同的主体,第一个是来自不同组织的面试邀请,第二个主体是一个慈善拍卖的邀请。



随后的攻击中使用类似的URI模式,但是子域名是固定的。格式如下:


复制

hxxps://update.secretstep[.]tk/[filename].jpeg?u=[integer]&t=[second_integer]

1.

其中第二个整数表示目标组织。点击恶意链接后,攻击者基础设施就会在目标组织的Zimbra webmail主机上尝试重定向,如果用户登录了,那么利用该漏洞就允许攻击者在用户登录的Zimbra 会话中加载JS代码。


攻击者的JS代码包括:


在用户的收件箱和发件箱中的每个邮件中循环;

对每个邮件,通过HTTP POST请求发送邮件主体和附件到配置的回调地址(mail.bruising-intellect[.]ml)。

从受害者收件箱中提取邮件的循环如下图所示:




攻击成功的效果就是攻击者可以窃取用户收件箱的内容。攻击者需要请求一个含有CSRF-Token的页面来进行随后的窃取邮箱数据的内容。成功窃取邮件的POST数据格式如下所示:



漏洞影响和补丁

截止目前,该漏洞尚未分配CVE编号,也没有针对漏洞利用的补丁发布。Volexity在最新的Zimbra 8.8.15版本上测试发现该版本受到影响,因此,研究人员建议用户尽快升级到9.0.0版本。


】【打印关闭】 【返回顶部
分享到QQ空间
分享到: 
上一篇VMware 二月多个安全漏洞 下一篇如何建立网络意识的企业文化

立足首都,辐射全球,防御吧专注云防御及云计算服务15年!

联系我们

服务热线:010-56157787 ,010-56159998
企业QQ:4000043998
技术支持:010-56159998
E-Mail:800@fangyuba.com
Copyright ? 2003-2016 fangyuba. 防御吧(完美解决防御与加速) 版权所有 增值许可:京B2-20140042号
售前咨询
公司总机:4000043998 01056155355
24小时电话:010-56159998
投诉电话:18910191973
值班售后/技术支持
售后服务/财务
备案专员
紧急电话:18610088800