CVE-2020-0796 — CVSS: 10 (Kritik)

Windows SMBv3 İstemci/Sunucu Uzaktan Kod Yürütme (SMBGhost) — Sıkıştırılmış SMB paketleriyle arabellek taşması.

Zafiyet Detayları

CVE KimliğiCVE-2020-0796
CVSS Puanı10 / 10.0 — Kritik
Yayın Yılı2020
Saldırı VektörüNETWORK
Etkilenen SistemlerWindows 10 1903/1909, Server 2019

Bu Zafiyeti Kullanan Malware 家族leri

  • Conti
  • LockBit
  • Cl0p

Toplam 3 malware ailesi bu güvenlik açığından yararlanmaktadır.

Zafiyet Açıklaması

Windows SMBv3 İstemci/Sunucu Uzaktan Kod Yürütme (SMBGhost) — Sıkıştırılmış SMB paketleriyle arabellek taşması.

Yama ve Azaltma Önerileri

  1. 置信度lik güncellemesini derhal uygulayın — NVD: CVE-2020-0796
  2. Etkilenen sistemleri ağdan geçici olarak izole edin (yaması mümkün değilse)
  3. IDS/IPS kurallarını güncelleme yapılana kadar aktive edin
  4. Ağ trafiğini izleyin — olağandışı bağlantı girişimlerini bloklayın
  5. Yedeklerinizi doğrulayın ve güncel tutun
  6. Etkilenen sistemlerde tehdit avcılığı yapın

MITRE ATT&CK Haritalama

Bu zafiyet; T1190 (Halka Açık Uygulamaların Kötüye Kullanımı) ve T1203 (İstemci Yürütme Zafiyetleri) tekniklerine karşılık gelir.

Conti — 恶意软件档案

Conti ransomware. run-as-admin.exe UAC bypass. supp onion victim support. __MUTEX_NAME__ template. DisallowRun security block. TrickBot/BazarLoader delivery.

恶意软件类型
Ransomware
编程语言
C++
C2协议
目标系统
Windows/Linux

技术细节

Conti ransomware operated by WIZARD SPIDER, active 2020-2022. One of the most prolific and destructive RaaS operations. Double extortion: file encryption + data leak site (Conti News). Encryption: ChaCha20 for files + RSA-4096 for key exchange. Highly configurable with full C source code (supports network drives, SMB shares). Conti Playbook leaked September 2021 revealing TTPs. Source code and internal chats leaked by Ukrainian researcher March 2022 after Conti publicly sided with Russia in Ukraine conflict. Attack on Costa Rica government (2022) caused national emergency declaration. Dissolved into multiple successor groups: Black Basta, BlackByte, Royal, Akira.

归因 / 威胁行为者

WIZARD SPIDER, multiple successor groups

能力与行为

Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)

C2服务器 (该家族共有 8 台已记录服务器)

地址 类型 端口 协议 状态 国家
mojobiden.com domain 80 HTTP active —
mojobiden.com domain 80 HTTP active —
213.234.12.78 ip 8080 HTTP inactive UA
paymenthacks.com domain 443 HTTPS inactive —
myosbja7hixkkjqihsjh6yvmqplz62gr3r4isctjjtu2vm5jg6hsv2ad.onion domain 80 HTTPS inactive —
mblogci3rudehaagbryjznltdp33ojwzkq6hn2pckvjq33rycmzczpid.onion domain 80 HTTPS inactive —
paymenthacks.com domain 80 HTTP inactive —
85.62.61.3 ip 443 HTTPS sinkholed RU

C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。

标签
cvegüvenlik-açığıcriticalcontilockbitcl0p