Приключенията на неуловимия злонамерен софтуер, част V: Още повече DDE и COM скриптове

Тази статия е част от поредицата за злонамерен софтуер без файлове. Всички останали части от поредицата:

• Приключенията на неуловимия Малвари, част I
• Приключенията на неуловимия зловреден софтуер, част II: Тайни VBA скриптове
• Приключенията на неуловимия зловреден софтуер, част III: Заплетени VBA скриптове за смях и печалба
• Приключенията на неуловимия злонамерен софтуер, част IV: DDE и Word документни полета
• Приключенията на неуловимия злонамерен софтуер, част V: Още повече DDE и COM скриптове (ние сме тук)

В тази поредица от статии ние изследваме методи за атака, които изискват минимални усилия от страна на хакерите. В миналото Статия Разгледахме, че е възможно да вмъкнете самия код в полезния товар на DDE автоматично поле в Microsoft Word. Отваряйки такъв документ, прикачен към фишинг имейл, непредпазлив потребител ще позволи на нападателя да стъпи на неговия компютър. Въпреки това, в края на 2017 г. Microsoft затворен тази вратичка за атаки срещу DDE.
Корекцията добавя запис в системния регистър, който деактивира DDE функции в Word. Ако все още имате нужда от тази функционалност, тогава можете да върнете тази опция, като активирате старите DDE възможности.

Оригиналната корекция обаче обхваща само Microsoft Word. Съществуват ли тези DDE уязвимости в други продукти на Microsoft Office, които също могат да бъдат използвани при атаки без код? Да, разбира се. Например можете да ги намерите и в Excel.

Нощта на живите DDE

Спомням си, че последния път се спрях на описанието на COM скриптлети. Обещавам, че ще стигна до тях по-късно в тази статия.

Междувременно нека да разгледаме друга лоша страна на DDE във версията на Excel. Точно като в Word, някои скрити функции на DDE в Excel ви позволяват да изпълнявате код без много усилия. Като потребител на Word, който е израснал, бях запознат с полетата, но не и с функциите в DDE.

Бях изумен да науча, че в Excel мога да извикам обвивка от клетка, както е показано по-долу:

Знаете ли, че това е възможно? Лично аз не го правя

Тази възможност за стартиране на обвивка на Windows е предоставена от DDE. Можете да се сетите за много други неща
Приложения, към които можете да се свържете с помощта на вградените DDE функции на Excel.
Мислиш ли същото, което си мисля и аз?

Нека нашата команда в клетката стартира сесия на PowerShell, която след това изтегля и изпълнява връзката - това прием, които вече сме използвали преди. Виж отдолу:

Просто поставете малко PowerShell, за да заредите и стартирате отдалечен код в Excel

Но има една уловка: трябва изрично да въведете тези данни в клетката, за да работи тази формула в Excel. Как един хакер може да изпълни тази DDE команда дистанционно? Факт е, че когато таблица на Excel е отворена, Excel ще се опита да актуализира всички връзки в DDE. Настройките на Trust Center отдавна имат възможност да деактивират това или да предупреждават при актуализиране на връзки към външни източници на данни.

Дори и без най-новите корекции, можете да деактивирате автоматичното актуализиране на връзките в DDE

Първоначално самият Microsoft посъветван Компаниите през 2017 г. трябва да деактивират автоматичните актуализации на връзките, за да предотвратят уязвимостите на DDE в Word и Excel. През януари 2018 г. Microsoft пусна пачове за Excel 2007, 2010 и 2013, които деактивират DDE по подразбиране. Това статия Computerworld описва всички подробности за корекцията.

Е, какво ще кажете за регистрационните файлове на събитията?

Въпреки това Microsoft изостави DDE за MS Word и Excel, като по този начин най-накрая призна, че DDE е по-скоро грешка, отколкото функционалност. Ако по някаква причина все още не сте инсталирали тези корекции, все пак можете да намалите риска от DDE атака, като деактивирате автоматичните актуализации на връзките и активирате настройки, които подканват потребителите да актуализират връзките при отваряне на документи и електронни таблици.

Сега въпросът за милиони долари: Ако сте жертва на тази атака, сесиите на PowerShell, стартирани от полета на Word или клетки на Excel, ще се показват ли в дневника?

Въпрос: Регистрират ли се сесиите на PowerShell, стартирани чрез DDE? Отговор: да

Когато изпълнявате сесии на PowerShell директно от клетка на Excel, а не като макрос, Windows ще регистрира тези събития (вижте по-горе). В същото време не мога да твърдя, че ще бъде лесно за екипа по сигурността да свърже всички точки между сесията на PowerShell, документа на Excel и имейл съобщението и да разбере откъде е започнала атаката. Ще се върна към това в последната статия от моята безкрайна поредица за неуловимия зловреден софтуер.

Как е нашият COM?

В предишния Статия Засегнах темата за COM скриптлетите. Те са удобни сами по себе си. технология, което ви позволява да предавате код, да речем JScript, просто като COM обект. Но след това скриптовете бяха открити от хакери и това им позволи да стъпят на компютъра на жертвата без използването на ненужни инструменти. Това видео от Derbycon демонстрира вградени инструменти на Windows като regsrv32 и rundll32, които приемат отдалечени скриптове като аргументи и хакерите по същество извършват своята атака без помощта на зловреден софтуер. Както показах миналия път, можете лесно да изпълнявате команди на PowerShell с помощта на JScript скриптлет.

Оказа се, че единият е много умен изследовател намери начин да стартира COM скрипт в Excel документ. Той откри, че когато се опита да вмъкне връзка към документ или картина в клетка, в нея се вмъква определен пакет. И този пакет тихо приема отдалечен скриптлет като вход (вижте по-долу).

Бум! Друг скрит, безшумен метод за стартиране на обвивка с помощта на COM скриптлети

След проверка на кода на ниско ниво, изследователят разбра какво всъщност представлява буболечка в пакетния софтуер. Не беше предназначен за стартиране на COM скриптове, а само за свързване към файлове. Не съм сигурен дали вече има корекция за тази уязвимост. В моето собствено проучване, използвайки Amazon WorkSpaces с предварително инсталиран Office 2010, успях да възпроизведа резултатите. Когато обаче опитах отново малко по-късно, не се получи.

Силно се надявам, че ви казах много интересни неща и в същото време показах, че хакерите могат да проникнат във вашата компания по един или друг подобен начин. Дори и да инсталирате всички най-нови кръпки на Microsoft, хакерите все още имат много инструменти, за да се закрепят във вашата система, от макросите на VBA, с които започнах тази серия, до злонамерени полезни натоварвания в Word или Excel.

В последната (обещавам) статия в тази сага ще говоря за това как да осигурим интелигентна защита.

Източник: www.habr.com