मायावी मैलवेयर का रोमांच, भाग IV: DDE और वर्ड दस्तावेज़ फ़ील्ड

यह लेख फाइललेस मालवेयर सीरीज का हिस्सा है। श्रृंखला के अन्य सभी भाग:

• मायावी मालवरी का रोमांच, भाग I
• मायावी मैलवेयर एडवेंचर्स भाग II: छिपी हुई VBA लिपियाँ
• मायावी मैलवेयर का रोमांच, भाग III: हंसी और लाभ के लिए उलझी हुई वीबीए स्क्रिप्ट
• मायावी मैलवेयर का रोमांच, भाग IV: डीडीई और वर्ड दस्तावेज़ फ़ील्ड (हम यहां हैं)

इस लेख में, मैं सिस्टम पर पिनिंग के साथ और भी अधिक जटिल मल्टी-स्टेज फ़ाइल रहित हमले परिदृश्य में गोता लगाने जा रहा था। लेकिन फिर मुझे एक अविश्वसनीय रूप से सरल, बिना कोड वाला हमला मिला - किसी वर्ड या एक्सेल मैक्रोज़ की आवश्यकता नहीं! और यह लेखों की इस श्रृंखला में अंतर्निहित मेरी मूल परिकल्पना को अधिक प्रभावी ढंग से साबित करता है: किसी भी संगठन की बाहरी परिधि को तोड़ना बिल्कुल भी मुश्किल काम नहीं है।

मैं जिस पहले हमले का वर्णन करूंगा वह Microsoft Word भेद्यता का शोषण करता है जो कि पर आधारित है रगड़ा हुआ गतिशील डेटा विनिमय प्रोटोकॉल (डीडीई). वह पहले से ही थी तय. दूसरा Microsoft COM और ऑब्जेक्ट स्थानांतरण क्षमताओं में अधिक सामान्य भेद्यता का फायदा उठाता है।

डीडीई के साथ भविष्य में वापस

क्या किसी और को डीडीई याद है? शायद बहुत ज्यादा नहीं. यह सबसे पहले में से एक था अंतर-प्रक्रिया संचार प्रोटोकॉल जो अनुप्रयोगों और उपकरणों को डेटा स्थानांतरित करने की अनुमति देते हैं.

मैं खुद इससे थोड़ा परिचित हूं क्योंकि मैं टेलीकॉम उपकरणों की जांच और परीक्षण करता था। उस समय, उदाहरण के लिए, DDE ने कॉल सेंटर ऑपरेटरों को कॉलर आईडी को CRM एप्लिकेशन में स्थानांतरित करने की अनुमति दी, जिससे अंततः एक ग्राहक कार्ड खुल गया। ऐसा करने के लिए, आपको अपने फ़ोन और कंप्यूटर के बीच एक RS-232 केबल कनेक्ट करना होगा। वो दिन थे!

जैसा कि बाद में पता चला, माइक्रोसॉफ्ट वर्ड अभी भी है का समर्थन करता है डीडीई।

बिना कोड के इस हमले को प्रभावी बनाने वाली बात यह है कि आप DDE प्रोटोकॉल तक पहुंच सकते हैं सीधे किसी Word दस्तावेज़ में स्वचालित फ़ील्ड से (SensePost को सलाम)। अनुसंधान और प्रकाशन इसके बारे में)।

फील्ड कोड एक और प्राचीन एमएस वर्ड सुविधा है जो आपको अपने दस्तावेज़ में गतिशील टेक्स्ट और थोड़ी सी प्रोग्रामिंग जोड़ने की अनुमति देती है। सबसे स्पष्ट उदाहरण पृष्ठ संख्या फ़ील्ड है, जिसे {PAGE *MERGEFORMAT} मान का उपयोग करके पादलेख में डाला जा सकता है। यह पेज नंबरों को स्वचालित रूप से उत्पन्न करने की अनुमति देता है।

संकेत: आप सम्मिलित करें के अंतर्गत फ़ील्ड मेनू आइटम पा सकते हैं।

मुझे याद है कि जब मैंने पहली बार वर्ड में इस सुविधा की खोज की थी, तो मैं आश्चर्यचकित रह गया था। और जब तक पैच ने इसे अक्षम नहीं किया, तब तक Word अभी भी DDE फ़ील्ड विकल्प का समर्थन करता था। विचार यह था कि DDE वर्ड को एप्लिकेशन के साथ सीधे संचार करने की अनुमति देगा, ताकि वह प्रोग्राम के आउटपुट को दस्तावेज़ में पास कर सके। उस समय यह एक बहुत ही नई तकनीक थी - बाहरी अनुप्रयोगों के साथ डेटा विनिमय के लिए समर्थन। इसे बाद में COM तकनीक के रूप में विकसित किया गया, जिसे हम नीचे भी देखेंगे।

आखिरकार, हैकर्स को एहसास हुआ कि यह DDE एप्लिकेशन एक कमांड शेल हो सकता है, जिसने निश्चित रूप से पावरशेल लॉन्च किया, और वहां से हैकर्स जो चाहें कर सकते थे।
नीचे दिया गया स्क्रीनशॉट दिखाता है कि मैंने इस स्टील्थ तकनीक का उपयोग कैसे किया: डीडीई फ़ील्ड से एक छोटी पावरशेल स्क्रिप्ट (बाद में पीएस के रूप में संदर्भित) एक और पीएस स्क्रिप्ट लोड करती है, जो हमले के दूसरे चरण को लॉन्च करती है।

पॉप-अप चेतावनी के लिए विंडोज़ को धन्यवाद कि अंतर्निहित DDEAUTO फ़ील्ड गुप्त रूप से शेल को प्रारंभ करने का प्रयास कर रहा है

भेद्यता का फायदा उठाने का पसंदीदा तरीका DDEAUTO फ़ील्ड के साथ एक वेरिएंट का उपयोग करना है, जो स्वचालित रूप से स्क्रिप्ट चलाता है खोलते समय शब्द दस्तावेज़.
आइए सोचें कि हम इस बारे में क्या कर सकते हैं।

उदाहरण के लिए, एक नौसिखिए हैकर के रूप में, आप एक फ़िशिंग ईमेल भेज सकते हैं, यह दिखावा करते हुए कि आप संघीय कर सेवा से हैं, और पहले चरण के लिए पीएस स्क्रिप्ट (अनिवार्य रूप से एक ड्रॉपर) के साथ DDEAUTO फ़ील्ड को एम्बेड कर सकते हैं। और आपको मैक्रोज़ इत्यादि की कोई वास्तविक कोडिंग करने की भी आवश्यकता नहीं है, जैसा कि मैंने किया था पिछला लेख.
पीड़ित आपका दस्तावेज़ खोलता है, एम्बेडेड स्क्रिप्ट सक्रिय हो जाती है, और हैकर कंप्यूटर के अंदर पहुँच जाता है। मेरे मामले में, रिमोट पीएस स्क्रिप्ट सिर्फ एक संदेश प्रिंट करती है, लेकिन यह पीएस एम्पायर क्लाइंट को आसानी से लॉन्च कर सकती है, जो रिमोट शेल एक्सेस प्रदान करेगी।
और इससे पहले कि पीड़ित के पास कुछ भी कहने का समय हो, हैकर्स गांव के सबसे अमीर किशोर बन जाएंगे।

शेल को थोड़ी सी भी कोडिंग के बिना लॉन्च किया गया था। यहां तक ​​कि एक बच्चा भी ऐसा कर सकता है!

डीडीई और फ़ील्ड

माइक्रोसॉफ्ट ने बाद में वर्ड में डीडीई को अक्षम कर दिया, लेकिन इससे पहले कंपनी ने कहा था कि इस सुविधा का दुरुपयोग किया गया था। कुछ भी बदलने की उनकी अनिच्छा समझ में आती है। अपने अनुभव में, मैंने खुद एक उदाहरण देखा है जहां दस्तावेज़ खोलते समय फ़ील्ड अपडेट करना सक्षम था, लेकिन वर्ड मैक्रोज़ को आईटी द्वारा अक्षम कर दिया गया था (लेकिन एक अधिसूचना दिखा रहा था)। वैसे, आप वर्ड सेटिंग्स अनुभाग में संबंधित सेटिंग्स पा सकते हैं।

हालाँकि, भले ही फ़ील्ड अपडेटिंग सक्षम हो, Microsoft Word अतिरिक्त रूप से उपयोगकर्ता को तब सूचित करता है जब कोई फ़ील्ड हटाए गए डेटा तक पहुंच का अनुरोध करता है, जैसा कि उपरोक्त DDE के मामले में है। माइक्रोसॉफ्ट वास्तव में आपको चेतावनी दे रहा है.

लेकिन सबसे अधिक संभावना है, उपयोगकर्ता अभी भी इस चेतावनी को अनदेखा करेंगे और वर्ड में फ़ील्ड अपडेट को सक्रिय करेंगे। खतरनाक DDE सुविधा को अक्षम करने के लिए Microsoft को धन्यवाद देने का यह दुर्लभ अवसरों में से एक है।

आज एक बिना पैच वाला विंडोज सिस्टम ढूंढना कितना मुश्किल है?

इस परीक्षण के लिए, मैंने वर्चुअल डेस्कटॉप तक पहुँचने के लिए AWS वर्कस्पेस का उपयोग किया। इस तरह मुझे एक अनपैच्ड एमएस ऑफिस वर्चुअल मशीन मिली जिसने मुझे DDEAUTO फ़ील्ड डालने की अनुमति दी। मुझे इसमें कोई संदेह नहीं है कि इसी तरह से आप अन्य कंपनियों को भी पा सकते हैं जिन्होंने अभी तक आवश्यक सुरक्षा पैच स्थापित नहीं किए हैं।

वस्तुओं का रहस्य

भले ही आपने यह पैच इंस्टॉल कर लिया हो, एमएस ऑफिस में अन्य सुरक्षा खामियां हैं जो हैकर्स को कुछ वैसा ही करने की अनुमति देती हैं जैसा हमने वर्ड के साथ किया था। अगले परिदृश्य में हम सीखेंगे बिना कोई कोड लिखे फ़िशिंग हमले के लिए एक्सेल को चारा के रूप में उपयोग करें।

इस परिदृश्य को समझने के लिए, आइए संक्षेप में माइक्रोसॉफ्ट कंपोनेंट ऑब्जेक्ट मॉडल को याद करें COM (घटक वस्तु मॉडल).

COM 1990 के दशक से अस्तित्व में है, और इसे RPC रिमोट प्रक्रिया कॉल के आधार पर "भाषा-तटस्थ, ऑब्जेक्ट-ओरिएंटेड घटक मॉडल" के रूप में परिभाषित किया गया है। COM शब्दावली की सामान्य समझ के लिए पढ़ें ये पद स्टैक ओवरफ़्लो पर।

मूल रूप से, आप COM एप्लिकेशन को एक्सेल या वर्ड निष्पादन योग्य, या चलने वाली किसी अन्य बाइनरी फ़ाइल के रूप में सोच सकते हैं।

यह पता चला है कि एक COM एप्लिकेशन भी चल सकता है † ий Ñ ÐµÐ½Ð ° Ñ € † - जावास्क्रिप्ट या वीबीस्क्रिप्ट। तकनीकी रूप से इसे कहा जाता है स्क्रिप्टलेट. आपने विंडोज़ में फ़ाइलों के लिए .sct एक्सटेंशन देखा होगा - यह स्क्रिप्टलेट्स के लिए आधिकारिक एक्सटेंशन है। अनिवार्य रूप से, वे XML रैपर में लिपटे स्क्रिप्ट कोड हैं:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

हैकर्स और पेंटेस्टर्स ने पता लगाया है कि विंडोज़ में अलग-अलग उपयोगिताएँ और एप्लिकेशन हैं जो COM ऑब्जेक्ट स्वीकार करते हैं और तदनुसार, स्क्रिप्टलेट भी स्वीकार करते हैं।

मैं वीबीएस में लिखी गई विंडोज यूटिलिटी को एक स्क्रिप्टलेट पास कर सकता हूं जिसे पबपीआरएन के नाम से जाना जाता है। यह C:Windowssystem32Printing_Admin_Scripts की गहराई में स्थित है। वैसे, अन्य विंडोज़ उपयोगिताएँ भी हैं जो ऑब्जेक्ट को पैरामीटर के रूप में स्वीकार करती हैं। आइए पहले इस उदाहरण को देखें.

यह बिल्कुल स्वाभाविक है कि शेल को प्रिंट स्क्रिप्ट से भी लॉन्च किया जा सकता है। माइक्रोसॉफ्ट जाओ!

परीक्षण के रूप में, मैंने एक साधारण रिमोट स्क्रिप्टलेट बनाया जो एक शेल लॉन्च करता है और एक मज़ेदार संदेश प्रिंट करता है, "आपको अभी-अभी स्क्रिप्ट किया गया है!" अनिवार्य रूप से, पबपीआरएन एक स्क्रिप्टलेट ऑब्जेक्ट को इंस्टेंटिएट करता है, जिससे वीबीस्क्रिप्ट कोड को एक रैपर चलाने की अनुमति मिलती है। यह विधि उन हैकर्स को स्पष्ट लाभ प्रदान करती है जो आपके सिस्टम में घुसकर छिपना चाहते हैं।

अगली पोस्ट में मैं बताऊंगा कि एक्सेल स्प्रेडशीट का उपयोग करके हैकर्स द्वारा COM स्क्रिप्टलेट्स का कैसे फायदा उठाया जा सकता है।

अपने होमवर्क के लिए, एक नज़र डालें यह वीडियो डर्बीकॉन 2016 से, जो बताता है कि हैकर्स ने स्क्रिप्टलेट्स का उपयोग कैसे किया। और पढ़ें भी यह लेख स्क्रिप्टलेट्स और किसी प्रकार के उपनाम के बारे में।

स्रोत: www.habr.com