Приключенията на неуловимия злонамерен софтуер, част IV: DDE и Word документни полета

Тази статия е част от поредицата за злонамерен софтуер без файлове. Всички останали части от поредицата:

• Приключенията на неуловимия Малвари, част I
• Приключенията на неуловимия зловреден софтуер, част II: Тайни VBA скриптове
• Приключенията на неуловимия зловреден софтуер, част III: Заплетени VBA скриптове за смях и печалба
• Приключенията на неуловимия злонамерен софтуер, част IV: DDE и Word Document Fields (ние сме тук)

В тази статия щях да се потопя в още по-сложен сценарий на многоетапна атака без файлове с фиксиране на системата. Но тогава се натъкнах на невероятно проста атака без код - не са необходими макроси на Word или Excel! И това доказва много по-ефективно първоначалната ми хипотеза, залегнала в тази поредица от статии: нарушаването на външния периметър на всяка организация изобщо не е трудна задача.

Първата атака, която ще опиша, използва уязвимост на Microsoft Word, която се основава на остарял протокол за динамичен обмен на данни (DDE). Тя вече беше фиксиран. Вторият използва по-обща уязвимост в Microsoft COM и възможностите за прехвърляне на обекти.

Обратно в бъдещето с DDE

Някой друг да помни DDE? Вероятно не много. Беше един от първите протоколи за комуникация между процесите, които позволяват на приложения и устройства да прехвърлят данни.

Самият аз съм малко запознат с това, защото преди проверявах и тествах телеком оборудване. По това време DDE позволява например на операторите на кол център да прехвърлят ID на обаждащия се към CRM приложение, което в крайна сметка отваря клиентска карта. За да направите това, трябваше да свържете RS-232 кабел между телефона и компютъра. Това бяха дните!

Както се оказва, Microsoft Word е все още поддържа DDE.

Това, което прави тази атака ефективна без код, е, че имате достъп до DDE протокола пряко от автоматични полета в документ на Word (шапки долу на SensePost за изследвания и публикации за това).

Кодове на полета е друга древна функция на MS Word, която ви позволява да добавяте динамичен текст и малко програмиране към вашия документ. Най-очевидният пример е полето за номер на страница, което може да бъде вмъкнато в долния колонтитул с помощта на стойността {PAGE *MERGEFORMAT}. Това позволява номерата на страниците да се генерират автоматично.

Съвет: Можете да намерите елемента от менюто Поле под Вмъкване.

Спомням си, че когато за първи път открих тази функция в Word, бях изумен. И докато корекцията не го деактивира, Word все още поддържаше опцията за DDE полета. Идеята беше DDE да позволи на Word да комуникира директно с приложението, така че след това да може да прехвърли изхода на програмата в документ. Това беше много млада технология по това време - поддръжка на обмен на данни с външни приложения. По-късно беше разработена в COM технология, която също ще разгледаме по-долу.

В крайна сметка хакерите разбраха, че това DDE приложение може да бъде командна обвивка, която разбира се стартира PowerShell и оттам хакерите могат да правят каквото си искат.
Екранната снимка по-долу показва как използвах тази стелт техника: малък PowerShell скрипт (наричан по-долу PS) от полето DDE зарежда друг PS скрипт, който стартира втората фаза на атаката.

Благодаря на Windows за изскачащото предупреждение, че вграденото поле DDEAUTO тайно се опитва да стартира обвивката

Предпочитаният метод за използване на уязвимостта е да се използва вариант с полето DDEAUTO, което автоматично изпълнява скрипта при отваряне Word документ.
Нека помислим какво можем да направим по въпроса.

Като начинаещ хакер можете например да изпратите фишинг имейл, като се преструвате, че сте от Федералната данъчна служба, и да вградите полето DDEAUTO с PS скрипта за първия етап (по същество капкомер). И дори не е необходимо да правите истинско кодиране на макроси и т.н., както направих аз в предишна статия.
Жертвата отваря вашия документ, вграденият скрипт се активира и хакерът се озовава в компютъра. В моя случай отдалеченият PS скрипт просто отпечатва съобщение, но може също толкова лесно да стартира клиента PS Empire, който ще осигури отдалечен достъп до обвивката.
И преди жертвата да има време да каже нещо, хакерите ще се окажат най-богатите тийнейджъри в селото.

Обвивката беше стартирана без ни най-малко кодиране. Дори дете може да го направи!

DDE и полета

По-късно Microsoft деактивира DDE в Word, но не и преди компанията да заяви, че функцията просто е злоупотребена. Тяхното нежелание да променят нещо е разбираемо. Според моя опит самият аз съм виждал пример, при който актуализирането на полета при отваряне на документ е било активирано, но макросите на Word са били деактивирани от ИТ (но показващи известие). Между другото, можете да намерите съответните настройки в раздела за настройки на Word.

Въпреки това, дори ако актуализирането на полето е активирано, Microsoft Word допълнително уведомява потребителя, когато дадено поле поиска достъп до изтрити данни, какъвто е случаят с DDE по-горе. Microsoft наистина ви предупреждава.

Но най-вероятно потребителите все пак ще пренебрегнат това предупреждение и ще активират актуализацията на полетата в Word. Това е една от редките възможности да благодарим на Microsoft за деактивирането на опасната DDE функция.

Колко трудно е да се намери Windows система без корекции днес?

За това тестване използвах AWS Workspaces за достъп до виртуален десктоп. По този начин получих непоправена виртуална машина на MS Office, която ми позволи да вмъкна полето DDEAUTO. Не се съмнявам, че по подобен начин можете да намерите и други компании, които все още не са инсталирали необходимите пачове за сигурност.

Мистерията на предметите

Дори и да сте инсталирали тази корекция, в MS Office има други пропуски в сигурността, които позволяват на хакерите да направят нещо много подобно на това, което направихме с Word. В следващия сценарий ще научим използвайте Excel като стръв за фишинг атака, без да пишете никакъв код.

За да разберем този сценарий, нека си припомним Microsoft Component Object Model или накратко COM (компонентен обектен модел).

COM съществува от 1990-те години на миналия век и се определя като „езиково неутрален, обектно-ориентиран компонентен модел“, базиран на RPC извиквания на отдалечени процедури. За общо разбиране на COM терминологията прочетете този пост на StackOverflow.

По принцип можете да мислите за COM приложение като изпълним файл на Excel или Word или някакъв друг двоичен файл, който се изпълнява.

Оказва се, че COM приложение също може да работи сценарий — JavaScript или VBScript. Технически се нарича скриптлет. Може да сте виждали разширението .sct за файлове в Windows – това е официалното разширение за скриптлети. По същество те са код на скрипт, обвит в XML обвивка:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

Хакери и пентестери са открили, че в Windows има отделни помощни програми и приложения, които приемат COM обекти и съответно скриптлети.

Мога да предам скрипт на Windows помощна програма, написана на VBS, известна като pubprn. Той се намира в дълбините на C:Windowssystem32Printing_Admin_Scripts. Между другото, има и други помощни програми на Windows, които приемат обекти като параметри. Нека първо да разгледаме този пример.

Съвсем естествено е черупката може да се стартира дори от скрипт за печат. Напред Microsoft!

Като тест създадох прост отдалечен скрипт, който стартира обвивка и отпечатва забавно съобщение „Току-що сте скриптували!“ По същество pubprn създава обект на скриптлет, позволявайки на кода на VBScript да изпълнява обвивка. Този метод предоставя ясно предимство на хакерите, които искат да се промъкнат и скрият във вашата система.

В следващата публикация ще обясня как COM скриптовете могат да бъдат експлоатирани от хакери, използващи електронни таблици на Excel.

За домашно, погледнете този видеоклип от Derbycon 2016, което обяснява как точно хакерите са използвали скриптове. И също четете тази статия относно скриптлети и някакъв вид псевдоним.

Източник: www.habr.com