CVE-2020-0796 — CVSS: 10 (Kritik)
Windows SMBv3 İstemci/Sunucu Uzaktan Kod Yürütme (SMBGhost) — Sıkıştırılmış SMB paketleriyle arabellek taşması.
Zafiyet Detayları
| CVE Kimliği | CVE-2020-0796 |
|---|---|
| CVSS Puanı | 10 / 10.0 — Kritik |
| Yayın Yılı | 2020 |
| Saldırı Vektörü | NETWORK |
| Etkilenen Sistemler | Windows 10 1903/1909, Server 2019 |
Bu Zafiyeti Kullanan Malware 家族leri
- Conti
- LockBit
- Cl0p
Toplam 3 malware ailesi bu güvenlik açığından yararlanmaktadır.
Zafiyet Açıklaması
Windows SMBv3 İstemci/Sunucu Uzaktan Kod Yürütme (SMBGhost) — Sıkıştırılmış SMB paketleriyle arabellek taşması.
Yama ve Azaltma Önerileri
- 置信度lik güncellemesini derhal uygulayın — NVD: CVE-2020-0796
- Etkilenen sistemleri ağdan geçici olarak izole edin (yaması mümkün değilse)
- IDS/IPS kurallarını güncelleme yapılana kadar aktive edin
- Ağ trafiğini izleyin — olağandışı bağlantı girişimlerini bloklayın
- Yedeklerinizi doğrulayın ve güncel tutun
- Etkilenen sistemlerde tehdit avcılığı yapın
MITRE ATT&CK Haritalama
Bu zafiyet; T1190 (Halka Açık Uygulamaların Kötüye Kullanımı) ve T1203 (İstemci Yürütme Zafiyetleri) tekniklerine karşılık gelir.
Conti — 恶意软件档案
Conti ransomware. run-as-admin.exe UAC bypass. supp onion victim support. __MUTEX_NAME__ template. DisallowRun security block. TrickBot/BazarLoader delivery.
技术细节
Conti ransomware operated by WIZARD SPIDER, active 2020-2022. One of the most prolific and destructive RaaS operations. Double extortion: file encryption + data leak site (Conti News). Encryption: ChaCha20 for files + RSA-4096 for key exchange. Highly configurable with full C source code (supports network drives, SMB shares). Conti Playbook leaked September 2021 revealing TTPs. Source code and internal chats leaked by Ukrainian researcher March 2022 after Conti publicly sided with Russia in Ukraine conflict. Attack on Costa Rica government (2022) caused national emergency declaration. Dissolved into multiple successor groups: Black Basta, BlackByte, Royal, Akira.
归因 / 威胁行为者
WIZARD SPIDER, multiple successor groups
能力与行为
C2服务器 (该家族共有 8 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| mojobiden.com | domain | 80 | HTTP | active | — |
| mojobiden.com | domain | 80 | HTTP | active | — |
| 213.234.12.78 | ip | 8080 | HTTP | inactive | UA |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
| myosbja7hixkkjqihsjh6yvmqplz62gr3r4isctjjtu2vm5jg6hsv2ad.onion | domain | 80 | HTTPS | inactive | — |
| mblogci3rudehaagbryjznltdp33ojwzkq6hn2pckvjq33rycmzczpid.onion | domain | 80 | HTTPS | inactive | — |
| paymenthacks.com | domain | 80 | HTTP | inactive | — |
| 85.62.61.3 | ip | 443 | HTTPS | sinkholed | RU |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。