ધ એડવેન્ચર્સ ઓફ ધ ઇલુસિવ માલવેર, ભાગ V: ઇવન મોર ડીડીઇ અને કોમ સ્ક્રિપ્ટલેટ્સ

આ લેખ ફાઇલલેસ માલવેર શ્રેણીનો એક ભાગ છે. શ્રેણીના અન્ય તમામ ભાગો:

• ધી એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર, ભાગ I
• પ્રપંચી માલવેરના એડવેન્ચર્સ, ભાગ II: સિક્રેટિવ VBA સ્ક્રિપ્ટ્સ
• ધ એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર, ભાગ III: હાસ્ય અને નફા માટે ગંઠાયેલ વીબીએ સ્ક્રિપ્ટ્સ
• ધ એડવેન્ચર્સ ઓફ ધ પ્રપંચી માલવેર, ભાગ IV: DDE અને વર્ડ ડોક્યુમેન્ટ ફીલ્ડ્સ
• ધ એડવેન્ચર્સ ઓફ ધ ઇલુસિવ માલવેર, ભાગ V: ઇવન મોર ડીડીઇ અને કોમ સ્ક્રિપ્ટલેટ્સ (અમે અહિયાં છીએ)

લેખોની આ શ્રેણીમાં, અમે હુમલાની પદ્ધતિઓનું અન્વેષણ કરીએ છીએ કે જેને હેકર્સના તરફથી ન્યૂનતમ પ્રયત્નોની જરૂર હોય છે. ભૂતકાળ માં લેખ અમે કવર કર્યું છે કે માઇક્રોસોફ્ટ વર્ડમાં DDE ઓટોફિલ્ડ પેલોડમાં કોડ દાખલ કરવો શક્ય છે. ફિશિંગ ઈમેલ સાથે જોડાયેલા આવા દસ્તાવેજને ખોલીને, એક અવિચારી વપરાશકર્તા હુમલાખોરને તેના કમ્પ્યુટર પર પગ જમાવવાની મંજૂરી આપશે. જો કે, 2017 ના અંતમાં, માઇક્રોસોફ્ટ બંધ DDE પર હુમલા માટે આ છટકબારી.
ફિક્સ એક રજિસ્ટ્રી એન્ટ્રી ઉમેરે છે જે અક્ષમ કરે છે DDE કાર્યો શબ્દ માં. જો તમને હજુ પણ આ કાર્યક્ષમતાની જરૂર હોય, તો પછી તમે જૂની DDE ક્ષમતાઓને સક્ષમ કરીને આ વિકલ્પ પરત કરી શકો છો.

જો કે, મૂળ પેચ માત્ર માઇક્રોસોફ્ટ વર્ડને આવરી લે છે. શું આ DDE નબળાઈઓ અન્ય Microsoft Office ઉત્પાદનોમાં અસ્તિત્વ ધરાવે છે જેનો ઉપયોગ નો-કોડ હુમલાઓમાં પણ થઈ શકે છે? હા પાક્કુ. ઉદાહરણ તરીકે, તમે તેમને Excel માં પણ શોધી શકો છો.

નાઇટ ઓફ ધ લિવિંગ DDE

મને યાદ છે કે છેલ્લી વખત મેં COM સ્ક્રિપ્ટલેટ્સના વર્ણન પર રોક્યું હતું. હું વચન આપું છું કે હું આ લેખમાં પછીથી તેમને મળીશ.

આ દરમિયાન, ચાલો એક્સેલ વર્ઝનમાં DDE ની બીજી ખરાબ બાજુ જોઈએ. જેમ વર્ડમાં, કેટલાક Excel માં DDE ના છુપાયેલા લક્ષણો તમને ખૂબ પ્રયત્નો કર્યા વિના કોડ ચલાવવાની મંજૂરી આપે છે. એક વર્ડ યુઝર તરીકે જે મોટો થયો છે, હું ફીલ્ડ્સથી પરિચિત હતો, પરંતુ DDE માંના કાર્યો વિશે બિલકુલ નથી.

મને એ જાણીને આશ્ચર્ય થયું કે Excel માં હું નીચે બતાવ્યા પ્રમાણે સેલમાંથી શેલને કૉલ કરી શકું છું:

શું તમે જાણો છો કે આ શક્ય હતું? અંગત રીતે, હું નથી કરતો

વિન્ડોઝ શેલ લોન્ચ કરવાની આ ક્ષમતા DDE ના સૌજન્યથી છે. તમે બીજી ઘણી બાબતો વિશે વિચારી શકો છો
એપ્લીકેશન કે જેને તમે Excel ના બિલ્ટ-ઇન DDE ફંક્શનનો ઉપયોગ કરીને કનેક્ટ કરી શકો છો.
શું તમે એ જ વિચારી રહ્યા છો જે હું વિચારી રહ્યો છું?

અમારા ઇન-સેલ કમાન્ડને પાવરશેલ સત્ર શરૂ કરવા દો જે પછી લિંકને ડાઉનલોડ અને એક્ઝિક્યુટ કરે છે - આ રિસેપ્શન, જેનો આપણે પહેલા ઉપયોગ કર્યો છે. નીચે જુઓ:

એક્સેલમાં રિમોટ કોડ લોડ કરવા અને ચલાવવા માટે થોડો પાવરશેલ પેસ્ટ કરો

પરંતુ એક કેચ છે: એક્સેલમાં આ ફોર્મ્યુલા કામ કરવા માટે તમારે સ્પષ્ટપણે આ ડેટા સેલમાં દાખલ કરવો આવશ્યક છે. હેકર આ DDE આદેશને દૂરથી કેવી રીતે ચલાવી શકે છે? હકીકત એ છે કે જ્યારે એક્સેલ ટેબલ ખુલ્લું હોય છે, ત્યારે એક્સેલ DDE માં બધી લિંક્સને અપડેટ કરવાનો પ્રયાસ કરશે. ટ્રસ્ટ સેન્ટર સેટિંગ્સમાં લાંબા સમયથી આને અક્ષમ કરવાની અથવા બાહ્ય ડેટા સ્રોતોની લિંક્સ અપડેટ કરતી વખતે ચેતવણી આપવાની ક્ષમતા છે.

નવીનતમ પેચો વિના પણ, તમે DDE માં સ્વચાલિત લિંક અપડેટિંગને અક્ષમ કરી શકો છો

માઈક્રોસોફ્ટ મૂળ પોતે સલાહ આપી વર્ડ અને એક્સેલમાં DDE નબળાઈઓને રોકવા માટે 2017 માં કંપનીઓએ સ્વચાલિત લિંક અપડેટ્સને અક્ષમ કરવું જોઈએ. જાન્યુઆરી 2018માં, માઇક્રોસોફ્ટે એક્સેલ 2007, 2010 અને 2013 માટે પેચ બહાર પાડ્યા હતા જે ડિફોલ્ટ રૂપે ડીડીઇને અક્ષમ કરે છે. આ લેખ કોમ્પ્યુટરવર્લ્ડ પેચની તમામ વિગતોનું વર્ણન કરે છે.

સારું, ઇવેન્ટ લોગ વિશે શું?

માઇક્રોસોફ્ટે તેમ છતાં એમએસ વર્ડ અને એક્સેલ માટે ડીડીઇનો ત્યાગ કર્યો, જેનાથી અંતે તે ઓળખાયું કે ડીડીઇ કાર્યક્ષમતા કરતાં બગ જેવું છે. જો કોઈ કારણોસર તમે હજી સુધી આ પેચો ઇન્સ્ટોલ કર્યા નથી, તો પણ તમે સ્વચાલિત લિંક અપડેટ્સને અક્ષમ કરીને અને દસ્તાવેજો અને સ્પ્રેડશીટ્સ ખોલતી વખતે વપરાશકર્તાઓને લિંક્સ અપડેટ કરવા માટે સંકેત આપતા સેટિંગ્સને સક્ષમ કરીને DDE હુમલાના જોખમને ઘટાડી શકો છો.

હવે મિલિયન ડોલરનો પ્રશ્ન: જો તમે આ હુમલાના શિકાર છો, તો શું વર્ડ ફીલ્ડ્સ અથવા એક્સેલ સેલમાંથી લોંચ કરવામાં આવેલા પાવરશેલ સત્રો લોગમાં દેખાશે?

પ્રશ્ન: શું પાવરશેલ સત્રો DDE દ્વારા લોગ થયેલ છે? જવાબ: હા

જ્યારે તમે પાવરશેલ સત્રોને મેક્રોની જગ્યાએ એક્સેલ સેલમાંથી સીધા જ ચલાવો છો, ત્યારે વિન્ડોઝ આ ઇવેન્ટ્સને લૉગ કરશે (ઉપર જુઓ). તે જ સમયે, હું એવો દાવો કરી શકતો નથી કે સુરક્ષા ટીમ માટે પાવરશેલ સત્ર, એક્સેલ ડોક્યુમેન્ટ અને ઈમેલ મેસેજ વચ્ચેના તમામ બિંદુઓને કનેક્ટ કરવું અને હુમલો ક્યાંથી શરૂ થયો તે સમજવું સરળ રહેશે. પ્રપંચી માલવેર પરની મારી ક્યારેય ન સમાપ્ત થતી શ્રેણીના છેલ્લા લેખમાં હું આ પર પાછો આવીશ.

અમારી COM કેવી છે?

અગાઉના માં લેખ મેં COM સ્ક્રિપ્ટલેટ્સ વિષય પર સ્પર્શ કર્યો. તેઓ પોતાને અનુકૂળ છે. ટેકનોલોજી, જે તમને કોડ પાસ કરવાની પરવાનગી આપે છે, જેમ કે JScript, ફક્ત COM ઑબ્જેક્ટ તરીકે. પરંતુ તે પછી હેકરો દ્વારા સ્ક્રિપ્ટલેટની શોધ કરવામાં આવી, અને આનાથી તેમને બિનજરૂરી સાધનોનો ઉપયોગ કર્યા વિના પીડિતના કમ્પ્યુટર પર પગ જમાવવાની મંજૂરી મળી. આ видео ડર્બીકોન માંથી બિલ્ટ-ઇન વિન્ડોઝ ટૂલ્સ જેમ કે regsrv32 અને rundll32 દર્શાવે છે જે રિમોટ સ્ક્રિપ્ટલેટ્સને દલીલો તરીકે સ્વીકારે છે અને હેકરો આવશ્યકપણે માલવેરની મદદ વિના તેમનો હુમલો કરે છે. મેં છેલ્લી વાર બતાવ્યું હતું તેમ, તમે JScript સ્ક્રિપ્ટલેટનો ઉપયોગ કરીને પાવરશેલ આદેશો સરળતાથી ચલાવી શકો છો.

તે બહાર આવ્યું છે કે એક ખૂબ જ સ્માર્ટ છે સંશોધક COM સ્ક્રિપ્ટલેટ ચલાવવાનો માર્ગ મળ્યો в એક્સેલ દસ્તાવેજ. તેણે શોધ્યું કે જ્યારે તેણે કોષમાં દસ્તાવેજ અથવા ચિત્રની લિંક દાખલ કરવાનો પ્રયાસ કર્યો, ત્યારે તેમાં ચોક્કસ પેકેજ દાખલ કરવામાં આવ્યું હતું. અને આ પેકેજ શાંતિથી રિમોટ સ્ક્રિપ્ટલેટને ઇનપુટ તરીકે સ્વીકારે છે (નીચે જુઓ).

બૂમ! COM સ્ક્રિપ્ટલેટ્સનો ઉપયોગ કરીને શેલને લોન્ચ કરવાની અન્ય એક ચુસ્ત, શાંત પદ્ધતિ

નિમ્ન-સ્તરના કોડ નિરીક્ષણ પછી, સંશોધકને જાણવા મળ્યું કે તે ખરેખર શું છે ભૂલ પેકેજ સોફ્ટવેરમાં. તેનો હેતુ COM સ્ક્રિપ્ટલેટ ચલાવવાનો ન હતો, પરંતુ ફક્ત ફાઇલોને લિંક કરવાનો હતો. મને ખાતરી નથી કે આ નબળાઈ માટે પેચ પહેલેથી જ છે. Office 2010 પૂર્વસ્થાપિત સાથે Amazon WorkSpaces નો ઉપયોગ કરીને મારા પોતાના અભ્યાસમાં, હું પરિણામોની નકલ કરવામાં સક્ષમ હતો. જો કે, જ્યારે મેં થોડી વાર પછી ફરીથી પ્રયાસ કર્યો, તે કામ કરતું ન હતું.

હું ખરેખર આશા રાખું છું કે મેં તમને ઘણી રસપ્રદ વસ્તુઓ કહી છે અને તે જ સમયે બતાવ્યું છે કે હેકર્સ તમારી કંપનીમાં એક અથવા બીજી રીતે પ્રવેશ કરી શકે છે. જો તમે માઇક્રોસોફ્ટના તમામ લેટેસ્ટ પેચ ઇન્સ્ટોલ કરો છો, તો પણ હેકર્સ પાસે તમારી સિસ્ટમમાં પગ જમાવવા માટે ઘણા બધા સાધનો છે, VBA મેક્રોથી મેં આ શ્રેણીની શરૂઆત વર્ડ અથવા એક્સેલમાં દૂષિત પેલોડ્સ સાથે કરી છે.

આ ગાથાના અંતિમ (હું વચન આપું છું) લેખમાં, હું સ્માર્ટ સુરક્ષા કેવી રીતે પ્રદાન કરવી તે વિશે વાત કરીશ.

સોર્સ: www.habr.com