הרפתקאותיה של תוכנות זדוניות חמקמקות, חלק ב': סקריפטים סודיים של VBA

מאמר זה הוא חלק מסדרת תוכנות זדוניות ללא קבצים. כל שאר חלקי הסדרה:

• הרפתקאות התוכנה הזדונית החמקמקה, חלק א'
• הרפתקאותיה של תוכנה זדונית חמקמקה, חלק ב': סקריפטים נסתרים של VBA (אנחנו כאן)

אני מעריץ של האתר ניתוח היברידי (ניתוח היברידי, להלן HA). זהו סוג של גן חיות של תוכנות זדוניות שבו אתה יכול לצפות בבטחה ב"טורפים" פראיים ממרחק בטוח מבלי להיות מותקפים. HA מפעיל תוכנות זדוניות בסביבות מאובטחות, מתעד שיחות מערכת, קבצים שנוצרו ותעבורת אינטרנט, ונותן לך את כל התוצאות הללו עבור כל דגימה שהיא מנתחת. בדרך זו, אתה לא צריך לבזבז את הזמן והאנרגיה שלך בניסיון להבין את הקוד המבלבל בעצמך, אלא תוכל להבין מיד את כל כוונות ההאקרים.

דוגמאות ה-HA שמשכו את תשומת לבי משתמשות ב-JavaScript מקודד או בסקריפטים של Visual Basic for Applications (VBA) המוטמעים כפקודות מאקרו במסמכי Word או Excel ומצורפים לדוא"ל דיוג. כאשר הם נפתחים, פקודות מאקרו אלו מתחילות הפעלת PowerShell במחשב של הקורבן. האקרים בדרך כלל שולחים זרם מקודד Base64 של פקודות ל-PowerShell. כל זה נעשה כדי להקשות על זיהוי המתקפה על ידי מסנני אינטרנט ותוכנות אנטי וירוס המגיבות למילות מפתח מסוימות.
למרבה המזל, HA מפענח אוטומטית את Base64 ומציג הכל בפורמט קריא מיד. בעיקרו של דבר, אינך צריך להתמקד באופן שבו סקריפטים אלה פועלים מכיוון שתוכל לראות את פלט הפקודה המלא עבור התהליכים הרצים בחלק המקביל של HA. ראה דוגמה למטה:

ניתוח היברידי מיירט פקודות מקודדות Base64 שנשלחות ל-PowerShell:

...ואז מפענח אותם עבורך. #באופן קסם

В פוסט קודם יצרתי מיכל JavaScript מעט מעורפל שלי כדי להפעיל הפעלת PowerShell. הסקריפט שלי, כמו תוכנות זדוניות רבות מבוססות PowerShell, מוריד את הסקריפט הבא של PowerShell מאתר מרוחק. ואז, כדוגמה, טענתי PS לא מזיק שהדפיס הודעה על המסך. אבל הזמנים משתנים, ועכשיו אני מציע לסבך את התרחיש.

PowerShell Empire ו-Reverse Shell

אחת המטרות של התרגיל הזה היא להראות באיזו קלות (יחסית) האקר יכול לעקוף הגנות היקפיות ואנטי וירוסים קלאסיים. אם בלוגר IT ללא כישורי תכנות, כמוני, יכול לעשות זאת תוך כמה ערבים ליצור תוכנות זדוניות בלתי ניתנות לזיהוי (לא מזוהה לחלוטין, FUD), דמיינו את היכולות של האקר צעיר שמתעניין בזה!

ואם אתה ספק אבטחת IT, אבל המנהל שלך לא מודע להשלכות האפשריות של האיומים האלה, פשוט הראה לו את המאמר הזה.

האקרים חולמים לקבל גישה ישירה למחשב הנייד או השרת של הקורבן. זה מאוד פשוט לביצוע: כל מה שהאקר צריך לעשות הוא לקבל כמה קבצים חסויים במחשב הנייד של המנכ"ל.

איכשהו אני כבר כתבתי על זמן הריצה של PowerShell Empire שלאחר ההפקה. בואו נזכור מה זה.

זהו בעצם כלי בדיקת חדירה מבוסס PowerShell, שבין תכונות רבות אחרות, מאפשר לך להפעיל בקלות מעטפת הפוכה. אתה יכול ללמוד את זה ביתר פירוט ב אתר הבית של PSE.

בואו נעשה ניסוי קטן. הקמתי סביבת בדיקות תוכנה זדונית מאובטחת בענן שירותי האינטרנט של אמזון. אתה יכול לעקוב אחר הדוגמה שלי כדי להציג במהירות ובבטחה דוגמה עובדת של פגיעות זו (ולא להיפטר בגלל הפעלת וירוסים בתוך ההיקף הארגוני).

אם תפעיל את קונסולת PowerShell Empire, תראה משהו כזה:

ראשית אתה מתחיל את תהליך ההאזנה במחשב ההאקר שלך. הזן את הפקודה "מאזין", וציין את כתובת ה-IP של המערכת שלך באמצעות "הגדר מארח". לאחר מכן התחל את תהליך המאזין עם הפקודה "ביצוע" (למטה). כך, מצידך, תתחיל לחכות לחיבור רשת מהמעטפת המרוחקת:

עבור הצד השני, תצטרך ליצור קוד סוכן על ידי הזנת פקודת "המפעיל" (ראה להלן). זה יפיק קוד PowerShell עבור הסוכן המרוחק. שימו לב שהוא מקודד ב-Base64, ומייצג את השלב השני של המטען. במילים אחרות, קוד ה-JavaScript שלי ימשוך כעת את הסוכן הזה כדי להפעיל את PowerShell במקום להדפיס טקסט למסך בתמימות, ולהתחבר לשרת ה-PSE המרוחק שלנו כדי להפעיל מעטפת הפוכה.

הקסם של מעטפת הפוכה. פקודת PowerShell מקודדת זו תתחבר למאזין שלי ותפעיל מעטפת מרחוק.

כדי להראות לכם את הניסוי הזה, לקחתי על עצמי את תפקיד הקורבן התמים ופתחתי את Evil.doc, ובכך השקתי את ה-JavaScript שלנו. זוכרים את החלק הראשון? PowerShell הוגדרה למנוע מהחלון שלה לצוץ, כך שהקורבן לא יבחין בשום דבר חריג. עם זאת, אם תפתח את מנהל המשימות של Windows, תראה תהליך PowerShell ברקע שלא יגרום אזעקה לרוב האנשים בכל מקרה. כי זה רק PowerShell רגיל, לא?

כעת כאשר אתה מפעיל את Evil.doc, תהליך רקע נסתר יתחבר לשרת המריץ את PowerShell Empire. חבשתי את כובע האקר הלבן שלי, חזרתי לקונסולת PowerShell Empire ועכשיו אני רואה הודעה שהסוכן המרוחק שלי פעיל.

לאחר מכן נכנסתי לפקודה "אינטראקציה" כדי לפתוח מעטפת ב-PSE - והנה הייתי! בקיצור, פרצתי פעם אחת את שרת הטאקו שהקמתי בעצמי.

מה שהוכחתי זה עתה לא דורש כל כך הרבה עבודה מצידך. אתה יכול לעשות את כל זה בקלות בהפסקת הצהריים שלך למשך שעה או שעתיים כדי לשפר את הידע שלך באבטחת מידע. זוהי גם דרך מצוינת להבין כיצד האקרים עוקפים את היקף האבטחה החיצוני שלך ונכנסים למערכות שלך.

מנהלי IT שחושבים שהם בנו הגנה בלתי חדירה מפני כל חדירה כנראה גם ימצאו את זה חינוכי – כלומר, אם תצליחו לשכנע אותם לשבת איתך מספיק זמן.

בואו נחזור למציאות

כפי שציפיתי, פריצה אמיתית, בלתי נראית למשתמש הממוצע, היא פשוט וריאציה של מה שתיארתי זה עתה. כדי לאסוף חומר לפרסום הבא, התחלתי לחפש דוגמה על HA שעובדת באותו אופן כמו הדוגמה שהומצאה שלי. ולא הייתי צריך לחפש את זה הרבה זמן - יש הרבה אפשרויות לטכניקת התקפה דומה באתר.

התוכנה הזדונית שמצאתי בסופו של דבר ב-HA הייתה סקריפט VBA שהיה מוטבע במסמך Word. כלומר, אני אפילו לא צריך לזייף את תוסף ה-doc, התוכנה הזדונית הזו היא באמת מסמך Microsoft Word בעל מראה רגיל. אם אתה מעוניין, בחרתי את המדגם הזה שנקרא rfq.doc.

מהר מאוד למדתי שלעתים קרובות אינך יכול לשלוף ישירות סקריפטים VBA זדוניים מתוך מסמך. האקרים דוחסים ומסתירים אותם כך שהם לא יהיו גלויים בכלי המאקרו המובנים של Word. תצטרך כלי מיוחד כדי להסיר אותו. למזלי נתקלתי בסורק OfficeMalScanner פרנק בולדווין. תודה לך, פרנק.

באמצעות כלי זה, הצלחתי לשלוף קוד VBA מעורפל מאוד. זה נראה בערך כך:

הערפול נעשה על ידי אנשי מקצוע בתחומם. התרשמתי!

תוקפים ממש טובים בלטשטש קוד, לא כמו המאמצים שלי ביצירת Evil.doc. אוקיי, בחלק הבא נוציא את מאפי ה-VBA שלנו, נצלול קצת יותר לעומק הקוד הזה ונשווה את הניתוח שלנו עם תוצאות ה-HA.

מקור: www.habr.com