🥇অ্যাডভেঞ্চারস অফ দ্য ইলুসিভ ম্যালওয়্যার, পার্ট V: আরও বেশি DDE এবং COM স্ক্রিপ্টলেট

এই নিবন্ধটি ফাইলহীন ম্যালওয়্যার সিরিজের অংশ। সিরিজের অন্য সব অংশ:

নিবন্ধগুলির এই সিরিজে, আমরা আক্রমণের পদ্ধতিগুলি অন্বেষণ করি যার জন্য হ্যাকারদের পক্ষ থেকে ন্যূনতম প্রচেষ্টা প্রয়োজন৷ অতীতে প্রবন্ধ আমরা কভার করেছি যে মাইক্রোসফ্ট ওয়ার্ডের DDE অটোফিল্ড পেলোডে কোডটি সন্নিবেশ করা সম্ভব। ফিশিং ইমেলের সাথে সংযুক্ত এই ধরনের একটি নথি খোলার মাধ্যমে, একজন অসতর্ক ব্যবহারকারী আক্রমণকারীকে তার কম্পিউটারে পা রাখার অনুমতি দেবে। তবে 2017 সালের শেষের দিকে মাইক্রোসফট বন্ধ DDE-তে আক্রমণের জন্য এই ফাঁকি।
ফিক্স একটি রেজিস্ট্রি এন্ট্রি যোগ করে যা নিষ্ক্রিয় করে DDE ফাংশন শব্দে. আপনার যদি এখনও এই কার্যকারিতার প্রয়োজন হয়, তাহলে আপনি পুরানো DDE সক্ষমতাগুলি সক্ষম করে এই বিকল্পটি ফিরিয়ে দিতে পারেন।

যাইহোক, মূল প্যাচ শুধুমাত্র মাইক্রোসফট ওয়ার্ড কভার. এই DDE দুর্বলতাগুলি কি অন্যান্য Microsoft Office পণ্যগুলিতে বিদ্যমান যা নো-কোড আক্রমণেও শোষণ করা যেতে পারে? হ্যাঁ অবশ্যই. উদাহরণস্বরূপ, আপনি এগুলিকে এক্সেলে খুঁজে পেতে পারেন।

নাইট অফ দ্য লিভিং ডিডিই

আমার মনে আছে যে শেষবার আমি COM স্ক্রিপ্টলেটগুলির বর্ণনায় থামিয়েছিলাম। আমি প্রতিশ্রুতি দিচ্ছি যে আমি এই নিবন্ধে পরে তাদের কাছে যাব।

এরই মধ্যে, আসুন এক্সেল সংস্করণে DDE-এর আরেকটি খারাপ দিক দেখি। ঠিক যেমন শব্দ, কিছু এক্সেলে DDE এর লুকানো বৈশিষ্ট্য আপনাকে অনেক প্রচেষ্টা ছাড়াই কোড চালানোর অনুমতি দেয়। একজন ওয়ার্ড ব্যবহারকারী যিনি বড় হয়েছি, আমি ক্ষেত্রগুলির সাথে পরিচিত ছিলাম, কিন্তু DDE-এর ফাংশনগুলি সম্পর্কে মোটেও নয়।

আমি শিখে অবাক হয়েছিলাম যে Excel এ আমি নীচে দেখানো হিসাবে একটি সেল থেকে একটি শেল কল করতে পারি:

আপনি কি জানেন যে এটি সম্ভব ছিল? ব্যক্তিগতভাবে, আমি করি না

একটি উইন্ডোজ শেল চালু করার এই ক্ষমতা DDE এর সৌজন্যে। আপনি আরও অনেক কিছু ভাবতে পারেন
আপনি Excel এর অন্তর্নির্মিত DDE ফাংশন ব্যবহার করে সংযোগ করতে পারেন এমন অ্যাপ্লিকেশন।
আমি যা ভাবছি আপনিও কি একই কথা ভাবছেন?

আমাদের ইন-সেল কমান্ডকে একটি পাওয়ারশেল সেশন শুরু করতে দিন যা তারপর লিঙ্কটি ডাউনলোড করে কার্যকর করে - এটি সংবর্ধনা, যা আমরা ইতিমধ্যেই ব্যবহার করেছি। নিচে দেখ:

এক্সেলে রিমোট কোড লোড করতে এবং চালাতে একটু পাওয়ারশেল পেস্ট করুন

কিন্তু একটি ধরা আছে: এক্সেলে এই সূত্রটি কাজ করার জন্য আপনাকে অবশ্যই ঘরে এই ডেটাটি স্পষ্টভাবে প্রবেশ করতে হবে। কিভাবে একজন হ্যাকার এই DDE কমান্ডটি দূরবর্তীভাবে কার্যকর করতে পারে? আসল বিষয়টি হল যে যখন একটি এক্সেল টেবিল খোলা থাকে, তখন এক্সেল DDE-তে সমস্ত লিঙ্ক আপডেট করার চেষ্টা করবে। ট্রাস্ট সেন্টার সেটিংসে এটি অক্ষম করার ক্ষমতা বা বহিরাগত ডেটা উত্সগুলিতে লিঙ্কগুলি আপডেট করার সময় সতর্ক করার ক্ষমতা রয়েছে৷

এমনকি সর্বশেষ প্যাচ ছাড়া, আপনি DDE-তে স্বয়ংক্রিয় লিঙ্ক আপডেট অক্ষম করতে পারেন

মাইক্রোসফট মূলত নিজেই পরামর্শ 2017 সালে কোম্পানিগুলিকে Word এবং Excel-এ DDE দুর্বলতা রোধ করতে স্বয়ংক্রিয় লিঙ্ক আপডেটগুলি অক্ষম করা উচিত। জানুয়ারী 2018 সালে, মাইক্রোসফ্ট এক্সেল 2007, 2010 এবং 2013 এর জন্য প্যাচগুলি প্রকাশ করেছে যা ডিফল্টরূপে ডিডিই অক্ষম করে। এই একটি নিবন্ধ Computerworld প্যাচের সমস্ত বিবরণ বর্ণনা করে।

আচ্ছা, ইভেন্ট লগ সম্পর্কে কি?

মাইক্রোসফ্ট তা সত্ত্বেও এমএস ওয়ার্ড এবং এক্সেলের জন্য ডিডিই পরিত্যাগ করেছে, যার ফলে শেষ পর্যন্ত ডিডিই কার্যকারিতার চেয়ে একটি বাগের মতোই স্বীকৃতি পেয়েছে। যদি কোনো কারণে আপনি এখনও এই প্যাচগুলি ইনস্টল না করে থাকেন, তবে আপনি স্বয়ংক্রিয় লিঙ্ক আপডেটগুলি নিষ্ক্রিয় করে এবং নথি এবং স্প্রেডশীট খোলার সময় ব্যবহারকারীদের লিঙ্কগুলি আপডেট করার জন্য অনুরোধ করে এমন সেটিংস সক্ষম করে DDE আক্রমণের ঝুঁকি কমাতে পারেন।

এখন মিলিয়ন ডলারের প্রশ্ন: আপনি যদি এই আক্রমণের শিকার হন, তাহলে কি Word ক্ষেত্র বা এক্সেল সেল থেকে চালু হওয়া PowerShell সেশনগুলি লগে প্রদর্শিত হবে?

প্রশ্ন: পাওয়ারশেল সেশনগুলি কি DDE এর মাধ্যমে চালু করা হয়েছে? উত্তরঃ হ্যাঁ

আপনি যখন ম্যাক্রোর পরিবর্তে এক্সেল সেল থেকে সরাসরি পাওয়ারশেল সেশন চালান, তখন উইন্ডোজ এই ইভেন্টগুলি লগ করবে (উপরে দেখুন)। একই সময়ে, আমি দাবি করতে পারি না যে নিরাপত্তা দলের পক্ষে পাওয়ারশেল সেশন, এক্সেল ডকুমেন্ট এবং ইমেল বার্তার মধ্যে সমস্ত বিন্দু সংযুক্ত করা এবং আক্রমণ কোথা থেকে শুরু হয়েছে তা বোঝা সহজ হবে। অধরা ম্যালওয়্যারের উপর আমার শেষ না হওয়া সিরিজের শেষ নিবন্ধে আমি এটিতে ফিরে আসব।

আমাদের COM কেমন?

পূর্ববর্তী প্রবন্ধ আমি COM স্ক্রিপ্টলেটের বিষয়ে স্পর্শ করেছি। তারা নিজেদের মধ্যে সুবিধাজনক. প্রযুক্তি, যা আপনাকে কোড পাস করতে দেয়, JScript বলুন, একটি COM অবজেক্ট হিসাবে। কিন্তু তারপরে স্ক্রিপ্টলেটগুলি হ্যাকারদের দ্বারা আবিষ্কৃত হয়েছিল, এবং এটি তাদের অপ্রয়োজনীয় সরঞ্জাম ব্যবহার না করেই শিকারের কম্পিউটারে পা রাখার অনুমতি দেয়। এই видео Derbycon থেকে regsrv32 এবং rundll32 এর মতো বিল্ট-ইন উইন্ডোজ টুলগুলি দেখায় যা রিমোট স্ক্রিপ্টলেটগুলিকে আর্গুমেন্ট হিসাবে গ্রহণ করে এবং হ্যাকাররা মূলত ম্যালওয়্যারের সাহায্য ছাড়াই তাদের আক্রমণ চালায়। আমি গতবার দেখিয়েছি, আপনি সহজেই একটি JScript স্ক্রিপ্টলেট ব্যবহার করে PowerShell কমান্ড চালাতে পারেন।

দেখা গেল একজন খুব স্মার্ট গবেষক একটি COM স্ক্রিপ্টলেট চালানোর একটি উপায় পাওয়া গেছে в এক্সেল ডকুমেন্ট। তিনি আবিষ্কার করেন যে যখন তিনি একটি কক্ষে একটি নথি বা ছবির লিঙ্ক ঢোকানোর চেষ্টা করেন, তখন একটি নির্দিষ্ট প্যাকেজ এতে ঢোকানো হয়। এবং এই প্যাকেজটি শান্তভাবে একটি দূরবর্তী স্ক্রিপ্টলেটকে ইনপুট হিসাবে গ্রহণ করে (নীচে দেখুন)।

বুম! COM স্ক্রিপ্টলেট ব্যবহার করে একটি শেল চালু করার আরেকটি গোপন, নীরব পদ্ধতি

একটি নিম্ন-স্তরের কোড পরিদর্শন করার পরে, গবেষক এটি আসলে কী তা খুঁজে পেয়েছেন বাগ প্যাকেজ সফটওয়্যারে। এটি COM স্ক্রিপ্টলেটগুলি চালানোর উদ্দেশ্যে নয়, শুধুমাত্র ফাইলগুলির সাথে লিঙ্ক করার জন্য। এই দুর্বলতার জন্য ইতিমধ্যে একটি প্যাচ আছে কিনা আমি নিশ্চিত নই। অফিস 2010 পূর্বে ইনস্টল করা Amazon WorkSpaces ব্যবহার করে আমার নিজের গবেষণায়, আমি ফলাফলগুলি প্রতিলিপি করতে সক্ষম হয়েছি। যাইহোক, যখন আমি একটু পরে আবার চেষ্টা করেছি, এটি কাজ করেনি।

আমি সত্যিই আশা করি যে আমি আপনাকে অনেক আকর্ষণীয় জিনিস বলেছি এবং একই সাথে দেখিয়েছি যে হ্যাকাররা আপনার কোম্পানিতে এক বা অন্য একইভাবে অনুপ্রবেশ করতে পারে। এমনকি যদি আপনি সমস্ত সাম্প্রতিক মাইক্রোসফ্ট প্যাচগুলি ইনস্টল করেন, তবুও হ্যাকারদের কাছে আপনার সিস্টেমে পা রাখার জন্য অনেকগুলি সরঞ্জাম রয়েছে, VBA ম্যাক্রো থেকে আমি এই সিরিজটি Word বা Excel-এ ক্ষতিকারক পেলোডগুলি দিয়ে শুরু করেছি।

এই গল্পের চূড়ান্ত (আমি প্রতিশ্রুতি দিচ্ছি) নিবন্ধে, আমি কীভাবে স্মার্ট সুরক্ষা প্রদান করা যায় সে সম্পর্কে কথা বলব।

উত্স: www.habr.com

দ্য অ্যাডভেঞ্চারস অফ দ্য ইলুসিভ ম্যালওয়্যার, পার্ট V: আরও বেশি DDE এবং COM স্ক্রিপ্টলেট

নাইট অফ দ্য লিভিং ডিডিই

আচ্ছা, ইভেন্ট লগ সম্পর্কে কি?

আমাদের COM কেমন?

একটি মন্তব্য জুড়ুন উত্তর বাতিল