Приключенията на неуловимия злонамерен софтуер, част IV: DDE и Word документни полета

Тази статия е част от поредицата за злонамерен софтуер без файлове. Всички останали части от поредицата:

• Приключенията на неуловимия Малвари, част I
• Приключенията на неуловимия зловреден софтуер, част II: Тайни VBA скриптове
• Приключенията на неуловимия зловреден софтуер, част III: Заплетени VBA скриптове за смях и печалба
• Приключенията на неуловимия зловреден софтуер, част IV: DDE и полета на Word документи (Тук сме)

В тази статия планирах да се задълбоча в още по-сложен сценарий на многоетапна безфайлова атака с упоритост. Но тогава се натъкнах на невероятно проста атака без код - не са необходими макроси на Word или Excel! И това много по-ефективно доказва първоначалната ми хипотеза, залегнала в основата на тази поредица: проникването във външния периметър на всяка организация не е трудна задача.

Първата атака, която ще опиша, използва уязвимост в Microsoft Word, която разчита на остарял протокол за динамичен обмен на данни (DDE)Тя вече беше там. фиксиранВтората използва по-обща уязвимост в Microsoft COM и неговите възможности за предаване на обекти.

Обратно към бъдещето с DDE

Някой все още ли си спомня DDE? Вероятно не много. Беше един от първите протоколи за междупроцесна комуникация, които позволяват на приложенията и устройствата да обменят данни.

Донякъде съм запознат с това, тъй като съм проверявал и тествал телекомуникационно оборудване. По онова време DDE позволяваше на операторите на кол центрове, например, да предават идентификация на обаждащия се към CRM приложение, което в крайна сметка отваряше профила на клиента. За да направите това, трябваше да свържете RS-232 кабел между телефона и компютъра. Това бяха дните!

Както се оказва, Microsoft Word все още е поддържа ДДЕ.

Това, което прави тази атака ефективна без код, е, че можете да получите достъп до DDE протокола. пряко от автоматичните полета на Word документ (свалям шапка на SensePost за изследвания и публикации относно това).

Кодове на полета – Това е друга стара функция на MS Word, която ви позволява да добавяте динамичен текст и малко програмиране към вашия документ. Най-очевидният пример е полето „номер на страница“, което може да се вмъкне в долния колонтитул, използвайки стойността {PAGE *MERGEFORMAT}. Това позволява автоматично генериране на номера на страници.

Съвет: Можете да намерите елемента от менюто „Поле“ в секцията „Вмъкване“.

Спомням си, че бях изумен, когато за първи път открих тази функция в Word. Докато един пач не я деактивира, Word продължи да поддържа опцията за DDE полета. Идеята беше, че DDE ще позволи на Word да комуникира директно с приложение, което му позволява след това да предава изходните данни на програмата в документа. Това беше много млада технология по онова време – поддръжка за обмен на данни с външни приложения. По-късно тя беше развита в COM технология, която също ще обсъдим по-долу.

В крайна сметка хакерите осъзнали, че това DDE приложение може да бъде командна обвивка, която, разбира се, изпълнява PowerShell, и оттам хакерите биха могли да правят каквото си поискат.
Снимката на екрана по-долу показва как използвах тази скрита техника: малък PowerShell скрипт (наричан по-долу PS) от DDE полето зарежда друг PS скрипт, който стартира втората фаза на атаката.

Благодаря на Windows за предупреждението, че вграденото поле DDEAUTO тайно се опитва да стартира обвивката.

Предпочитаният метод за използване на уязвимостта е използването на полето DDEAUTO, което автоматично изпълнява скрипта. при отваряне Документ на Word.
Нека помислим какво може да се направи по въпроса.

Като начинаещ хакер, бихте могли например да изпратите фишинг имейл, преструвайки се, че сте от Федералната данъчна служба, и да вградите полето DDEAUTO с PS скрипт за първия етап (по същество dropper). И дори не е нужно да правите реално макро кодиране или нещо подобно, както направих аз в предишна статия.
Жертвата отваря вашия документ, вграденият скрипт се активира и хакерът е вътре в компютъра. В моя случай, отдалеченият PS скрипт само отпечатва съобщение, но би могъл също толкова лесно да стартира PS Empire клиента, който би осигурил отдалечен достъп до обвивката.
И преди жертвата да успее да каже и дума, хакерите ще бъдат най-богатите тийнейджъри в селото.

Обвивката беше стартирана без никакво кодиране. Дори дете можеше да го направи!

DDE и полета

В крайна сметка Microsoft деактивира DDE в Word, но не преди това да заяви, че функцията просто е била използвана неправилно. Нежеланието им да променят каквото и да било е разбираемо. Лично аз наблюдавах ситуация, в която актуализирането на полета при отваряне на документ беше активирано, но макросите на Word бяха деактивирани от ИТ службата (въпреки че се показваше известие). Между другото, можете да намерите съответните настройки в настройките на Word.

Въпреки това, дори ако актуализирането на полетата е активирано, Microsoft Word допълнително уведомява потребителя, когато дадено поле изисква достъп до отдалечени данни, както в случая с DDE по-горе. Microsoft ви предупреждава.

Но потребителите вероятно ще игнорират това предупреждение и ще активират актуализации на полетата в Word. Това е една от редките възможности да благодарим на Microsoft за деактивирането на опасната функция DDE.

Колко е трудно да се намери неактуализирана Windows система в днешно време?

За това тестване използвах средата AWS Workspaces за достъп до виртуалния работен плот. Това ми даде виртуална машина без закърпки, работеща с MS Office, което ми позволи да вмъкна полето DDEAUTO. Не се съмнявам, че подобни усилия биха могли да бъдат положени, за да се намерят други компании, които все още не са инсталирали необходимите закърпвания за сигурност.

Мистерията на предметите

Дори и да сте инсталирали този пач, има други пропуски в сигурността в MS Office, които позволяват на хакерите да направят нещо много подобно на това, което направихме с Word. В следващия сценарий ще научим как Използвайте Excel като стръв за фишинг атака, без да пишете код.

За да разберем този сценарий, нека си припомним модела на компонентните обекти на Microsoft или накратко Component Object Model. COM (Модел на компонентни обекти).

COM съществува от 1990-те години на миналия век и се определя като „езиково неутрален, обектно-ориентиран компонентен модел“, базиран на отдалечени извиквания на процедури (RPC). За общо разбиране на COM терминологията, прочетете този пост на StackOverflow.

По принцип можете да мислите за COM приложение като изпълним файл на Excel или Word или някакъв друг изпълним двоичен файл.

Оказва се, че COM приложение може да се изпълнява и сценарий — JavaScript или VBScript. Технически се нарича скриптлетМоже би сте виждали разширението .sct във файловете на Windows – това е официалното разширение за скриптлети. Те по същество са скриптов код, обвит в XML:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

Хакери и пенетърсери са открили, че в Windows има отделни помощни програми и приложения, които приемат COM обекти и съответно скриптлети.

Мога да предам скриптлет на помощна програма за Windows, написана на VBS, известна като pubprn. Тя се намира в дълбините на C:\Windows\system32\Printing_Admin_Scripts. Между другото, има и други помощни програми за Windows, които приемат обекти като параметри. Нека започнем с този пример.

Съвсем естествено е, че обвивката може да се стартира дори от скрипт за печат. Давай, Microsoft!

За целите на тестването, създадох прост отдалечен скриптлет, който стартира shell и отпечатва забавно съобщение: „Току-що ви е изпълнен скрипт!“ По същество pubprn създава екземпляр на обект скриптлет, позволявайки на VBScript код да стартира shell-а. Този метод предлага ясни предимства за хакерите, които искат да се промъкнат и скрият във вашата система.

В следващата публикация ще обясня как COM скриптлетите могат да бъдат използвани от хакери, използващи електронни таблици в Excel.

За домашна работа, гледайте това този видеоклип от Derbycon 2016, което обяснява как точно хакерите са използвали скриптлети. Прочетете също тази статия относно скриптлети и някакъв вид прякор.

Източник: www.habr.com