मायावी मैलवेयर का रोमांच, भाग V: और भी अधिक DDE और COM स्क्रिप्टलेट्स

यह लेख फाइललेस मालवेयर सीरीज का हिस्सा है। श्रृंखला के अन्य सभी भाग:

• मायावी मालवरी का रोमांच, भाग I
• मायावी मैलवेयर एडवेंचर्स भाग II: छिपी हुई VBA लिपियाँ
• मायावी मैलवेयर का रोमांच, भाग III: हंसी और लाभ के लिए उलझी हुई वीबीए स्क्रिप्ट
• मायावी मैलवेयर का रोमांच, भाग IV: DDE और वर्ड दस्तावेज़ फ़ील्ड
• मायावी मैलवेयर का रोमांच, भाग V: और भी अधिक DDE और COM स्क्रिप्टलेट्स (हम यहाँ हैं)

लेखों की इस श्रृंखला में, हम उन आक्रमण विधियों का पता लगाते हैं जिनके लिए हैकर्स की ओर से न्यूनतम प्रयास की आवश्यकता होती है। पिछले लेख हमने कवर किया है कि माइक्रोसॉफ्ट वर्ड में डीडीई ऑटोफील्ड पेलोड में कोड डालना संभव है। फ़िशिंग ईमेल से जुड़े ऐसे दस्तावेज़ को खोलकर, एक लापरवाह उपयोगकर्ता हमलावर को अपने कंप्यूटर पर पैर जमाने की अनुमति देगा। हालाँकि, 2017 के अंत में, Microsoft बंद डीडीई पर हमलों के लिए यह बचाव का रास्ता।
फिक्स एक रजिस्ट्री प्रविष्टि जोड़ता है जो अक्षम हो जाती है डीडीई कार्य करता है शब्द में। यदि आपको अभी भी इस कार्यक्षमता की आवश्यकता है, तो आप पुरानी DDE क्षमताओं को सक्षम करके इस विकल्प को वापस कर सकते हैं।

हालाँकि, मूल पैच केवल Microsoft Word को कवर करता था। क्या ये DDE कमजोरियाँ अन्य Microsoft Office उत्पादों में मौजूद हैं जिनका फायदा नो-कोड हमलों में भी उठाया जा सकता है? हाँ यकीनन। उदाहरण के लिए, आप उन्हें Excel में भी पा सकते हैं.

नाईट ऑफ द लिविंग डीडीई

मुझे याद है कि पिछली बार मैं COM स्क्रिप्टलेट्स के विवरण पर रुका था। मैं वादा करता हूं कि मैं इस लेख में बाद में उनसे मिलूंगा।

इस बीच, आइए Excel संस्करण में DDE के एक और बुरे पक्ष पर नजर डालें। जैसे वर्ड में, कुछ एक्सेल में DDE की छिपी हुई विशेषताएं आपको बिना अधिक प्रयास के कोड निष्पादित करने की अनुमति देता है। एक वर्ड उपयोगकर्ता के रूप में जो बड़ा हुआ, मैं क्षेत्रों से परिचित था, लेकिन डीडीई में कार्यों के बारे में बिल्कुल नहीं।

मुझे यह जानकर आश्चर्य हुआ कि एक्सेल में मैं एक सेल से एक शेल को कॉल कर सकता हूं जैसा कि नीचे दिखाया गया है:

क्या आप जानते हैं कि यह संभव था? व्यक्तिगत रूप से, मैं नहीं करता

विंडोज़ शेल लॉन्च करने की यह क्षमता DDE के सौजन्य से है। आप और भी बहुत सी बातें सोच सकते हैं
ऐसे एप्लिकेशन जिन्हें आप Excel के अंतर्निहित DDE फ़ंक्शंस का उपयोग करके कनेक्ट कर सकते हैं।
क्या आप भी वही सोच रहे हैं जो मैं सोच रहा हूँ?

हमारे इन-सेल कमांड को एक पावरशेल सत्र शुरू करने दें जो फिर लिंक को डाउनलोड और निष्पादित करता है - यह वह स्वागत, जिसका उपयोग हम पहले भी कर चुके हैं। नीचे देखें:

एक्सेल में रिमोट कोड को लोड करने और चलाने के लिए बस थोड़ा सा पावरशेल पेस्ट करें

लेकिन एक दिक्कत है: इस फॉर्मूले को एक्सेल में काम करने के लिए आपको इस डेटा को सेल में स्पष्ट रूप से दर्ज करना होगा। कोई हैकर इस DDE कमांड को दूरस्थ रूप से कैसे निष्पादित कर सकता है? तथ्य यह है कि जब कोई एक्सेल तालिका खुली होती है, तो एक्सेल डीडीई में सभी लिंक को अपडेट करने का प्रयास करेगा। ट्रस्ट सेंटर सेटिंग्स में लंबे समय से इसे अक्षम करने या बाहरी डेटा स्रोतों के लिंक अपडेट करते समय चेतावनी देने की क्षमता है।

नवीनतम पैच के बिना भी, आप DDE में स्वचालित लिंक अपडेट को अक्षम कर सकते हैं

माइक्रोसॉफ्ट मूलतः स्व मैं सलाह दी 2017 में कंपनियों को वर्ड और एक्सेल में DDE कमजोरियों को रोकने के लिए स्वचालित लिंक अपडेट को अक्षम करना चाहिए। जनवरी 2018 में, Microsoft ने Excel 2007, 2010 और 2013 के लिए पैच जारी किए जो डिफ़ॉल्ट रूप से DDE को अक्षम करते हैं। यह लेख कंप्यूटरवर्ल्ड पैच के सभी विवरणों का वर्णन करता है।

खैर, इवेंट लॉग के बारे में क्या?

फिर भी माइक्रोसॉफ्ट ने एमएस वर्ड और एक्सेल के लिए डीडीई को छोड़ दिया, जिससे अंततः यह पता चला कि डीडीई कार्यक्षमता की तुलना में एक बग की तरह है। यदि किसी कारण से आपने अभी तक इन पैच को स्थापित नहीं किया है, तो आप अभी भी स्वचालित लिंक अपडेट को अक्षम करके और सेटिंग्स को सक्षम करके DDE हमले के जोखिम को कम कर सकते हैं जो उपयोगकर्ताओं को दस्तावेज़ और स्प्रेडशीट खोलते समय लिंक अपडेट करने के लिए संकेत देते हैं।

अब मिलियन डॉलर का प्रश्न: यदि आप इस हमले के शिकार हैं, तो क्या वर्ड फ़ील्ड या एक्सेल सेल से लॉन्च किए गए पावरशेल सत्र लॉग में दिखाई देंगे?

प्रश्न: क्या PowerShell सत्र DDE लॉग के माध्यम से लॉन्च किए गए हैं? उत्तर: हाँ

जब आप मैक्रो के बजाय सीधे Excel सेल से PowerShell सत्र चलाते हैं, तो Windows इन ईवेंट को लॉग करेगा (ऊपर देखें)। साथ ही, मैं यह दावा नहीं कर सकता कि सुरक्षा टीम के लिए पावरशेल सत्र, एक्सेल दस्तावेज़ और ईमेल संदेश के बीच सभी बिंदुओं को जोड़ना और यह समझना आसान होगा कि हमला कहाँ से शुरू हुआ। मैं मायावी मैलवेयर पर अपनी कभी न ख़त्म होने वाली श्रृंखला के अंतिम लेख में इस पर वापस आऊंगा।

हमारा COM कैसा है?

पिछले में लेख मैंने COM स्क्रिप्टलेट्स के विषय पर बात की। ये अपने आप में सुविधाजनक हैं. प्रौद्योगिकी द्वारा, जो आपको कोड, मान लीजिए JScript, को केवल एक COM ऑब्जेक्ट के रूप में पास करने की अनुमति देता है। लेकिन फिर हैकर्स द्वारा स्क्रिप्टलेट्स की खोज की गई, और इससे उन्हें अनावश्यक टूल के उपयोग के बिना पीड़ित के कंप्यूटर पर पैर जमाने की अनुमति मिल गई। यह वीडियो डर्बीकॉन regsrv32 और rundll32 जैसे अंतर्निहित विंडोज़ टूल प्रदर्शित करता है जो दूरस्थ स्क्रिप्टलेट को तर्क के रूप में स्वीकार करते हैं, और हैकर्स अनिवार्य रूप से मैलवेयर की मदद के बिना अपना हमला करते हैं। जैसा कि मैंने पिछली बार दिखाया था, आप JScript स्क्रिप्टलेट का उपयोग करके आसानी से PowerShell कमांड चला सकते हैं।

पता चला कि एक तो बहुत होशियार है शोधकर्ता COM स्क्रिप्टलेट चलाने का एक तरीका मिल गया в एक्सेल दस्तावेज़. उन्होंने पाया कि जब उन्होंने किसी दस्तावेज़ या चित्र का लिंक किसी सेल में डालने का प्रयास किया, तो उसमें एक निश्चित पैकेज डाला गया था। और यह पैकेज चुपचाप एक दूरस्थ स्क्रिप्टलेट को इनपुट के रूप में स्वीकार करता है (नीचे देखें)।

बूम! COM स्क्रिप्टलेट्स का उपयोग करके शेल लॉन्च करने की एक और गुप्त, मौन विधि

निम्न-स्तरीय कोड निरीक्षण के बाद, शोधकर्ता को पता चला कि यह वास्तव में क्या है बग पैकेज सॉफ्टवेयर में. इसका उद्देश्य COM स्क्रिप्टलेट चलाना नहीं था, बल्कि केवल फाइलों से लिंक करना था। मुझे यकीन नहीं है कि इस भेद्यता के लिए पहले से ही कोई पैच मौजूद है या नहीं। Office 2010 प्रीइंस्टॉल्ड के साथ Amazon WorkSpaces का उपयोग करके अपने स्वयं के अध्ययन में, मैं परिणामों को दोहराने में सक्षम था। हालाँकि, जब मैंने थोड़ी देर बाद दोबारा कोशिश की, तो यह काम नहीं किया।

मैं वास्तव में आशा करता हूं कि मैंने आपको बहुत सी दिलचस्प बातें बताईं और साथ ही दिखाया कि हैकर्स आपकी कंपनी में किसी न किसी तरह से घुसपैठ कर सकते हैं। भले ही आप सभी नवीनतम Microsoft पैच इंस्टॉल करते हैं, फिर भी हैकर्स के पास आपके सिस्टम में पैर जमाने के लिए कई उपकरण होते हैं, VBA मैक्रोज़ से लेकर मैंने इस श्रृंखला को वर्ड या एक्सेल में दुर्भावनापूर्ण पेलोड के साथ शुरू किया था।

इस गाथा के अंतिम (मैं वादा करता हूं) लेख में, मैं स्मार्ट सुरक्षा प्रदान करने के तरीके के बारे में बात करूंगा।

स्रोत: www.habr.com