দ্য অ্যাডভেঞ্চারস অফ দ্য ইলুসিভ ম্যালওয়্যার, পার্ট IV: ডিডিই এবং ওয়ার্ড ডকুমেন্ট ফিল্ডস

এই নিবন্ধটি ফাইলহীন ম্যালওয়্যার সিরিজের অংশ। সিরিজের অন্য সব অংশ:

• অধরা মালভারির অ্যাডভেঞ্চারস, প্রথম খণ্ড
• দ্য অ্যাডভেঞ্চারস অফ ইলুসিভ ম্যালওয়্যার, পার্ট II: সিক্রেটিভ ভিবিএ স্ক্রিপ্ট
• The Adventures of the Elusive Malware, Part III: Tangled VBA Scripts for Laughter and Profit
• The Adventures of the Elusive Malware, Part IV: DDE এবং Word Document Fields (আমরা এখানে আছি)

এই নিবন্ধে, আমি সিস্টেমে পিন করার সাথে আরও জটিল মাল্টি-স্টেজ ফাইলবিহীন আক্রমণের দৃশ্যে ডুব দিতে যাচ্ছিলাম। কিন্তু তারপরে আমি একটি অবিশ্বাস্যভাবে সহজ, নো-কোড আক্রমণের সম্মুখীন হলাম—কোনও ওয়ার্ড বা এক্সেল ম্যাক্রোর প্রয়োজন নেই! এবং এই নিবন্ধগুলির এই সিরিজের অন্তর্নিহিত আমার মূল অনুমানটি আরও কার্যকরভাবে প্রমাণ করে: যে কোনও সংস্থার বাইরের পরিধি ভাঙা মোটেও কঠিন কাজ নয়।

প্রথম আক্রমণটি আমি বর্ণনা করব একটি মাইক্রোসফ্ট ওয়ার্ড দুর্বলতার উপর ভিত্তি করে সেকেলে ডাইনামিক ডেটা এক্সচেঞ্জ প্রোটোকল (DDE). তিনি ইতিমধ্যে ছিল স্থির. দ্বিতীয়টি মাইক্রোসফ্ট COM এবং অবজেক্ট ট্রান্সফার ক্ষমতার আরও সাধারণ দুর্বলতাকে কাজে লাগায়।

DDE এর সাথে ভবিষ্যতে ফিরে যান

অন্য কেউ DDE মনে আছে? সম্ভবত অনেক নয়। এটা প্রথম এক ছিল আন্তঃপ্রক্রিয়া যোগাযোগ প্রোটোকল যা অ্যাপ্লিকেশন এবং ডিভাইসগুলিকে ডেটা স্থানান্তর করার অনুমতি দেয়.

আমি নিজেই এটির সাথে একটু পরিচিত কারণ আমি টেলিকম সরঞ্জামগুলি পরীক্ষা ও পরীক্ষা করতাম। সেই সময়ে, ডিডিই, উদাহরণস্বরূপ, কল সেন্টার অপারেটরদের একটি CRM অ্যাপ্লিকেশনে কলার আইডি স্থানান্তর করার অনুমতি দেয়, যা শেষ পর্যন্ত একটি গ্রাহক কার্ড খুলেছিল। এটি করার জন্য, আপনাকে আপনার ফোন এবং আপনার কম্পিউটারের মধ্যে একটি RS-232 তারের সংযোগ করতে হবে৷ ঐগুলোই দিন ছিল!

এটি সক্রিয় আউট হিসাবে, মাইক্রোসফ্ট ওয়ার্ড এখনও আছে সমর্থন করে ডিডিই।

কোড ছাড়াই এই আক্রমণটিকে কার্যকর করে তোলে তা হল আপনি DDE প্রোটোকল অ্যাক্সেস করতে পারেন непосредственно একটি Word নথিতে স্বয়ংক্রিয় ক্ষেত্রগুলি থেকে (এর জন্য সেন্সপোস্টে হ্যাট অফ গবেষণা এবং প্রকাশনা এটি সম্পর্কে)।

ফিল্ড কোড আরেকটি প্রাচীন MS Word বৈশিষ্ট্য যা আপনাকে আপনার নথিতে গতিশীল পাঠ্য এবং কিছুটা প্রোগ্রামিং যোগ করতে দেয়। সবচেয়ে স্পষ্ট উদাহরণ হল পৃষ্ঠা নম্বর ক্ষেত্র, যা {PAGE *MERGEFORMAT} মান ব্যবহার করে ফুটারে সন্নিবেশ করা যেতে পারে। এটি স্বয়ংক্রিয়ভাবে পৃষ্ঠা নম্বর তৈরি করতে দেয়।

ইঙ্গিত: আপনি সন্নিবেশের অধীনে ক্ষেত্র মেনু আইটেমটি খুঁজে পেতে পারেন।

আমার মনে আছে যে যখন আমি ওয়ার্ডে এই বৈশিষ্ট্যটি প্রথম আবিষ্কার করি, তখন আমি বিস্মিত হয়েছিলাম। এবং প্যাচ এটি নিষ্ক্রিয় না হওয়া পর্যন্ত, Word এখনও DDE ক্ষেত্র বিকল্প সমর্থন করে। ধারণাটি ছিল যে ডিডিই ওয়ার্ডকে অ্যাপ্লিকেশনের সাথে সরাসরি যোগাযোগ করার অনুমতি দেবে, যাতে এটি একটি নথিতে প্রোগ্রামের আউটপুট পাস করতে পারে। এটি সেই সময়ে একটি খুব তরুণ প্রযুক্তি ছিল - বাহ্যিক অ্যাপ্লিকেশনগুলির সাথে ডেটা বিনিময়ের জন্য সমর্থন। এটি পরে COM প্রযুক্তিতে বিকশিত হয়েছিল, যা আমরা নীচেও দেখব।

অবশেষে, হ্যাকাররা বুঝতে পেরেছিল যে এই ডিডিই অ্যাপ্লিকেশনটি একটি কমান্ড শেল হতে পারে, যা অবশ্যই পাওয়ারশেল চালু করেছে এবং সেখান থেকে হ্যাকাররা যা খুশি তা করতে পারে।
নীচের স্ক্রিনশটটি দেখায় যে আমি কীভাবে এই স্টিলথ কৌশলটি ব্যবহার করেছি: ডিডিই ফিল্ড থেকে একটি ছোট পাওয়ারশেল স্ক্রিপ্ট (এখন পিএস হিসাবে উল্লেখ করা হয়েছে) আরেকটি PS স্ক্রিপ্ট লোড করে, যা আক্রমণের দ্বিতীয় পর্ব চালু করে।

পপ-আপ সতর্কতার জন্য উইন্ডোজকে ধন্যবাদ যে অন্তর্নির্মিত DDEAUTO ক্ষেত্রটি গোপনে শেলটি শুরু করার চেষ্টা করছে

দুর্বলতাকে কাজে লাগানোর পছন্দের পদ্ধতি হল DDEAUTO ক্ষেত্রের সাথে একটি বৈকল্পিক ব্যবহার করা, যা স্বয়ংক্রিয়ভাবে স্ক্রিপ্ট চালায় খোলার সময় শব্দ নথি।
আসুন আমরা এই বিষয়ে কি করতে পারি তা নিয়ে ভাবি।

একজন নবীন হ্যাকার হিসাবে, আপনি, উদাহরণস্বরূপ, একটি ফিশিং ইমেল পাঠাতে পারেন, ভান করে যে আপনি ফেডারেল ট্যাক্স সার্ভিস থেকে এসেছেন, এবং প্রথম পর্যায়ের জন্য PS স্ক্রিপ্টের সাথে DDEAUTO ফিল্ড এম্বেড করতে পারেন (একটি ড্রপার, মূলত)। এবং আপনাকে ম্যাক্রো ইত্যাদির কোনো বাস্তব কোডিং করতে হবে না, যেমন আমি করেছি পূর্ববর্তী নিবন্ধ।
শিকার আপনার নথি খোলে, এমবেডেড স্ক্রিপ্ট সক্রিয় হয়, এবং হ্যাকার কম্পিউটারের ভিতরে শেষ হয়। আমার ক্ষেত্রে, রিমোট পিএস স্ক্রিপ্টটি কেবল একটি বার্তা প্রিন্ট করে, তবে এটি পিএস এম্পায়ার ক্লায়েন্টটিকে সহজে চালু করতে পারে, যা দূরবর্তী শেল অ্যাক্সেস সরবরাহ করবে।
এবং শিকারের কিছু বলার আগে, হ্যাকাররা গ্রামের সবচেয়ে ধনী কিশোর হয়ে উঠবে।

শেলটি সামান্যতম কোডিং ছাড়াই চালু করা হয়েছিল। এমনকি একটি শিশু এটি করতে পারে!

DDE এবং ক্ষেত্র

মাইক্রোসফ্ট পরে ওয়ার্ডে ডিডিই নিষ্ক্রিয় করেছিল, কিন্তু কোম্পানিটি বলার আগে নয় যে বৈশিষ্ট্যটি কেবল অপব্যবহার করা হয়েছিল। কিছু পরিবর্তন করতে তাদের অনীহা বোধগম্য। আমার অভিজ্ঞতায়, আমি নিজেই একটি উদাহরণ দেখেছি যেখানে একটি নথি খোলার সময় ক্ষেত্রগুলি আপডেট করা সক্ষম করা হয়েছিল, কিন্তু ওয়ার্ড ম্যাক্রোগুলি আইটি দ্বারা অক্ষম করা হয়েছিল (কিন্তু একটি বিজ্ঞপ্তি দেখাচ্ছে)। যাইহোক, আপনি Word সেটিংস বিভাগে সংশ্লিষ্ট সেটিংস খুঁজে পেতে পারেন।

যাইহোক, ফিল্ড আপডেটিং চালু থাকলেও, Microsoft Word অতিরিক্তভাবে ব্যবহারকারীকে সূচিত করে যখন কোনো ফিল্ড মুছে ফেলা ডেটা অ্যাক্সেসের অনুরোধ করে, যেমন উপরের DDE-এর ক্ষেত্রে। মাইক্রোসফ্ট সত্যিই আপনাকে সতর্ক করছে।

কিন্তু সম্ভবত, ব্যবহারকারীরা এখনও এই সতর্কতা উপেক্ষা করবে এবং Word এ ক্ষেত্র আপডেট সক্রিয় করবে। বিপজ্জনক DDE বৈশিষ্ট্য নিষ্ক্রিয় করার জন্য মাইক্রোসফ্টকে ধন্যবাদ জানানোর এটি একটি বিরল সুযোগ।

আজ একটি আনপ্যাচড উইন্ডোজ সিস্টেম খুঁজে পাওয়া কতটা কঠিন?

এই পরীক্ষার জন্য, আমি ভার্চুয়াল ডেস্কটপ অ্যাক্সেস করতে AWS ওয়ার্কস্পেস ব্যবহার করেছি। এইভাবে আমি একটি আনপ্যাচড এমএস অফিস ভার্চুয়াল মেশিন পেয়েছি যা আমাকে DDEAUTO ক্ষেত্র সন্নিবেশ করার অনুমতি দিয়েছে। আমার কোন সন্দেহ নেই যে একইভাবে আপনি অন্যান্য সংস্থাগুলি খুঁজে পেতে পারেন যারা এখনও প্রয়োজনীয় সুরক্ষা প্যাচগুলি ইনস্টল করেনি।

বস্তুর রহস্য

এমনকি আপনি যদি এই প্যাচটি ইন্সটল করে থাকেন, তবুও এমএস অফিসে অন্যান্য নিরাপত্তা ছিদ্র রয়েছে যা হ্যাকারদেরকে আমরা Word এর সাথে যা করেছি তার অনুরূপ কিছু করতে দেয়। পরবর্তী দৃশ্যে আমরা শিখব কোনো কোড না লিখেই ফিশিং আক্রমণের জন্য টোপ হিসেবে Excel ব্যবহার করুন।

এই দৃশ্যটি বোঝার জন্য, আসুন মাইক্রোসফ্ট কম্পোনেন্ট অবজেক্ট মডেল বা সংক্ষেপে মনে রাখা যাক COM (কম্পোনেন্ট অবজেক্ট মডেল).

COM 1990 এর দশক থেকে প্রায় আছে, এবং RPC দূরবর্তী পদ্ধতি কলের উপর ভিত্তি করে একটি "ভাষা-নিরপেক্ষ, বস্তু-ভিত্তিক উপাদান মডেল" হিসাবে সংজ্ঞায়িত করা হয়েছে। COM পরিভাষা একটি সাধারণ বোঝার জন্য, পড়ুন এই পোস্ট স্ট্যাকওভারফ্লোতে।

মূলত, আপনি একটি COM অ্যাপ্লিকেশনটিকে এক্সেল বা ওয়ার্ড এক্সিকিউটেবল বা অন্য কিছু বাইনারি ফাইল হিসাবে ভাবতে পারেন যা চলে।

দেখা যাচ্ছে যে একটি COM অ্যাপ্লিকেশনও চালাতে পারে сценарий — জাভাস্ক্রিপ্ট বা ভিবিএসস্ক্রিপ্ট। টেকনিক্যালি এটা বলা হয় স্ক্রিপ্টলেট. আপনি উইন্ডোজে ফাইলগুলির জন্য .sct এক্সটেনশন দেখে থাকতে পারেন - এটি স্ক্রিপ্টলেটগুলির জন্য অফিসিয়াল এক্সটেনশন। মূলত, তারা একটি XML মোড়কে মোড়ানো স্ক্রিপ্ট কোড:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

হ্যাকার এবং পেন্টেস্টাররা আবিষ্কার করেছে যে উইন্ডোজে আলাদা ইউটিলিটি এবং অ্যাপ্লিকেশন রয়েছে যা COM অবজেক্ট গ্রহণ করে এবং সেই অনুযায়ী, স্ক্রিপ্টলেটগুলিও।

আমি ভিবিএস-এ লিখিত একটি উইন্ডোজ ইউটিলিটিতে একটি স্ক্রিপ্টলেট পাস করতে পারি যা pubprn নামে পরিচিত। এটি C:Windowssystem32Printing_Admin_Scripts এর গভীরতায় অবস্থিত। যাইহোক, অন্যান্য উইন্ডোজ ইউটিলিটি রয়েছে যা বস্তুগুলিকে পরামিতি হিসাবে গ্রহণ করে। আসুন প্রথমে এই উদাহরণটি দেখি।

এটা খুবই স্বাভাবিক যে শেলটি প্রিন্ট স্ক্রিপ্ট থেকেও চালু করা যেতে পারে। মাইক্রোসফট যান!

একটি পরীক্ষা হিসাবে, আমি একটি সাধারণ রিমোট স্ক্রিপ্টলেট তৈরি করেছি যা একটি শেল চালু করে এবং একটি মজার বার্তা প্রিন্ট করে, "আপনাকে এইমাত্র স্ক্রিপ্ট করা হয়েছে!" মূলত, pubprn একটি স্ক্রিপ্টলেট অবজেক্টকে ইনস্ট্যান্টিয়েট করে, VBScript কোডকে একটি মোড়ক চালানোর অনুমতি দেয়। এই পদ্ধতিটি হ্যাকারদের জন্য একটি সুস্পষ্ট সুবিধা প্রদান করে যারা আপনার সিস্টেমে লুকিয়ে থাকতে চায়।

পরবর্তী পোস্টে, আমি ব্যাখ্যা করব কিভাবে COM স্ক্রিপ্টলেটগুলি এক্সেল স্প্রেডশীট ব্যবহার করে হ্যাকারদের দ্বারা শোষণ করা যায়।

আপনার বাড়ির কাজের জন্য, একবার দেখুন এই ভিডিও Derbycon 2016 থেকে, যা হ্যাকাররা কীভাবে স্ক্রিপ্টলেট ব্যবহার করেছে তা ব্যাখ্যা করে। এবং পড়াও এই নিবন্ধটি স্ক্রিপ্টলেট এবং কিছু ধরণের মনীকার সম্পর্কে।

উত্স: www.habr.com