הרפתקאותיה של תוכנת זדונית חמקמקה, חלק V: אפילו יותר סקריפטים של DDE ו-COM

מאמר זה הוא חלק מסדרת תוכנות זדוניות ללא קבצים. כל שאר חלקי הסדרה:

• הרפתקאות התוכנה הזדונית החמקמקה, חלק א'
• הרפתקאותיה של תוכנות זדוניות חמקמקות, חלק ב': סקריפטים סודיים של VBA
• הרפתקאותיה של תוכנת זדונית חמקמקה, חלק שלישי: תסריטי VBA מסובכים לצחוק ולרווח
• הרפתקאות התוכנה הזדונית החמקמקה, חלק רביעי: שדות מסמכי DDE ו-Word
• הרפתקאותיה של תוכנת זדונית חמקמקה, חלק V: אפילו יותר סקריפטים של DDE ו-COM (אנחנו כאן)

בסדרת מאמרים זו אנו בוחנים שיטות תקיפה הדורשות מאמץ מינימלי מצד האקרים. בעבר статье כיסינו שאפשר להכניס את הקוד עצמו למטען השדה האוטומטי של DDE ב-Microsoft Word. על ידי פתיחת מסמך כזה המצורף למייל פישינג, משתמש לא נזהר יאפשר לתוקף להשיג דריסת רגל במחשב שלו. עם זאת, בסוף 2017, Microsoft סָגוּר פרצה זו להתקפות על DDE.
התיקון מוסיף ערך רישום שמנטרל פונקציות DDE במילה. אם אתה עדיין זקוק לפונקציונליות זו, תוכל להחזיר אפשרות זו על ידי הפעלת יכולות ה-DDE הישנות.

עם זאת, התיקון המקורי כיסה רק את Microsoft Word. האם פגיעויות DDE אלו קיימות במוצרים אחרים של Microsoft Office שיכולים להיות מנוצלים גם בהתקפות ללא קוד? כן בטח. לדוגמה, אתה יכול למצוא אותם גם באקסל.

ליל החיים DDE

אני זוכר שבפעם הקודמת עצרתי בתיאור של סקריפטים של COM. אני מבטיח שאגיע אליהם בהמשך המאמר הזה.

בינתיים, בואו נסתכל על צד רע נוסף של DDE בגרסת האקסל. ממש כמו ב-Word, חלקם תכונות נסתרות של DDE באקסל מאפשרים לך לבצע קוד ללא מאמץ רב. כמשתמש וורד שגדל, הכרתי את השדות, אבל בכלל לא את הפונקציות ב-DDE.

נדהמתי לגלות שבאקסל אני יכול לקרוא למעטפת מתא כפי שמוצג להלן:

הידעתם שזה אפשרי? אישית, אני לא

היכולת הזו להשיק מעטפת של Windows היא באדיבות DDE. אתה יכול לחשוב על הרבה דברים אחרים
יישומים שאתה יכול להתחבר אליהם באמצעות פונקציות ה-DDE המובנות של Excel.
אתה חושב על אותו הדבר שאני חושב?

תן לפקודה בתוך התא שלנו להתחיל סשן PowerShell שאחר כך מוריד ומבצע את הקישור - זה קבלת הפנים, שכבר השתמשנו בו בעבר. ראה למטה:

פשוט הדבק מעט PowerShell כדי לטעון ולהפעיל קוד מרחוק ב- Excel

אבל יש מלכוד: עליך להזין במפורש את הנתונים האלה לתא כדי שהנוסחה הזו תעבוד באקסל. כיצד האקר יכול לבצע פקודת DDE זו מרחוק? העובדה היא שכאשר טבלת אקסל פתוחה, אקסל ינסה לעדכן את כל הקישורים ב-DDE. להגדרות מרכז האמון הייתה מזמן את היכולת להשבית זאת או להזהיר בעת עדכון קישורים למקורות נתונים חיצוניים.

אפילו ללא התיקונים האחרונים, אתה יכול לבטל את עדכון קישורים אוטומטי ב-DDE

מיקרוסופט במקור עצמה יעץ חברות ב-2017 צריכות להשבית עדכוני קישור אוטומטיים כדי למנוע פגיעויות DDE ב-Word וב-Excel. בינואר 2018, מיקרוסופט פרסמה תיקונים עבור Excel 2007, 2010 ו-2013 המשביתים את DDE כברירת מחדל. זֶה מאמר Computerworld מתאר את כל הפרטים של התיקון.

ובכן, מה לגבי יומני אירועים?

מיקרוסופט בכל זאת נטשה את DDE עבור MS Word ו-Excel, ובכך זיהתה סוף סוף ש-DDE דומה יותר לבאג מאשר לפונקציונליות. אם מסיבה כלשהי עדיין לא התקנת את התיקונים הללו, אתה עדיין יכול להפחית את הסיכון להתקפת DDE על ידי השבתת עדכוני קישורים אוטומטיים והפעלת הגדרות המבקשות מהמשתמשים לעדכן קישורים בעת פתיחת מסמכים וגיליונות אלקטרוניים.

עכשיו שאלת מיליון הדולר: אם אתה קורבן להתקפה הזו, האם הפעלות PowerShell שהושקו משדות Word או מתאי Excel יופיעו ביומן?

שאלה: האם הפעלות PowerShell מופעלות דרך DDE נרשמות? תשובה: כן

כאשר אתה מפעיל הפעלות PowerShell ישירות מתא Excel ולא כמאקרו, Windows ירשום אירועים אלה (ראה לעיל). יחד עם זאת, אני לא יכול לטעון שיהיה קל לצוות האבטחה לאחר מכן לחבר את כל הנקודות בין הפגישה של PowerShell, מסמך האקסל והודעת האימייל ולהבין היכן החלה המתקפה. אחזור לזה במאמר האחרון בסדרה הבלתי נגמרת שלי על התוכנה הזדונית החמקמקה.

איך ה-COM שלנו?

בקודם статье נגעתי בנושא של סקריפטים של COM. הם נוחים בפני עצמם. טכנולוגיה, המאפשר לך להעביר קוד, למשל JScript, פשוט כאובייקט COM. אבל אז התגלו הסקריפטים על ידי האקרים, וזה איפשר להם להשיג דריסת רגל על ​​המחשב של הקורבן ללא שימוש בכלים מיותרים. זֶה וידאו מ-Derbycon מדגים כלי Windows מובנים כמו regsrv32 ו-rundll32 שמקבלים סקריפטים מרוחקים כטיעונים, והאקרים בעצם מבצעים את התקפתם ללא עזרת תוכנות זדוניות. כפי שהראיתי בפעם הקודמת, אתה יכול להריץ בקלות פקודות PowerShell באמצעות scriptlet JScript.

התברר שאחד מאוד חכם החוקר מצא דרך להפעיל scriptlet COM в מסמך אקסל. הוא גילה שכאשר ניסה להכניס קישור למסמך או תמונה לתא, הוכנסה לתוכו חבילה מסוימת. וחבילה זו מקבלת בשקט scriptlet מרוחק כקלט (ראה להלן).

בּוּם! שיטה חמקנית ושקטה נוספת להשיק מעטפת באמצעות סקריפטים של COM

לאחר בדיקת קוד ברמה נמוכה, החוקר גילה מה זה באמת חרק בתוכנת החבילה. זה לא נועד להריץ סקריפטים של COM, אלא רק לקשר לקבצים. אני לא בטוח אם יש כבר תיקון לפגיעות הזו. במחקר שלי באמצעות Amazon WorkSpaces עם Office 2010 מותקן מראש, הצלחתי לשחזר את התוצאות. עם זאת, כשניסיתי שוב קצת מאוחר יותר, זה לא עבד.

אני מאוד מקווה שסיפרתי לכם הרבה דברים מעניינים ובמקביל הראיתי שהאקרים יכולים לחדור לחברה שלכם בצורה דומה כזו או אחרת. גם אם תתקין את כל התיקונים האחרונים של מיקרוסופט, להאקרים יש כלים רבים להשיג דריסת רגל במערכת שלך, החל מפקודות המאקרו של VBA שהתחלתי איתם את הסדרה הזו ועד למטענים זדוניים בוורד או אקסל.

במאמר האחרון (אני מבטיח) בסאגה הזו, אדבר על איך לספק הגנה חכמה.

מקור: www.habr.com