Elusive Malware თავგადასავალი, ნაწილი V: კიდევ უფრო მეტი DDE და COM სკრიპტლები

ეს სტატია არის Fileless Malware სერიის ნაწილი. სერიის ყველა სხვა ნაწილი:

• მიუღწეველი მავნე პროგრამის თავგადასავალი, ნაწილი I
• Elusive Malware-ის თავგადასავალი, ნაწილი II: საიდუმლო VBA სკრიპტები
• მიუღწეველი მავნე პროგრამის თავგადასავალი, ნაწილი III: ჩახლართული VBA სკრიპტები სიცილისთვის და მოგებისთვის
• Elusive Malware თავგადასავალი, ნაწილი IV: DDE და Word დოკუმენტის ველები
• Elusive Malware თავგადასავალი, ნაწილი V: კიდევ უფრო მეტი DDE და COM სკრიპტლები (ჩვენ აქ ვართ)

ამ სტატიების სერიაში ჩვენ ვიკვლევთ თავდასხმის მეთოდებს, რომლებიც საჭიროებენ მინიმალურ ძალისხმევას ჰაკერების მხრიდან. Წარსულში მუხლი ჩვენ განვიხილეთ, რომ შესაძლებელია კოდის ჩასმა DDE ავტო ველში Microsoft Word-ში. ფიშინგ ელ.ფოსტაზე მიმაგრებული ასეთი დოკუმენტის გახსნით, გაუფრთხილებელი მომხმარებელი თავდამსხმელს საშუალებას მისცემს, დაიმკვიდროს ფეხი თავის კომპიუტერზე. თუმცა, 2017 წლის ბოლოს Microsoft დახურული ეს ხვრელი DDE-ზე თავდასხმებისთვის.
შესწორება ამატებს რეესტრის ჩანაწერს, რომელიც გამორთულია DDE ფუნქციები Word-ში. თუ ჯერ კიდევ გჭირდებათ ეს ფუნქცია, მაშინ შეგიძლიათ დააბრუნოთ ეს პარამეტრი ძველი DDE შესაძლებლობების ჩართვით.

თუმცა, ორიგინალური პაჩი მხოლოდ Microsoft Word-ს ფარავდა. არსებობს თუ არა ეს DDE ხარვეზები Microsoft Office-ის სხვა პროდუქტებში, რომლებიც ასევე შეიძლება იყოს ექსპლუატირებული არა-კოდის შეტევების დროს? Კი, რა თქმა უნდა. მაგალითად, თქვენ ასევე შეგიძლიათ იპოვოთ ისინი Excel-ში.

ღამის ცოცხალი DDE

მახსოვს, ბოლოს რომ შევჩერდი COM სკრიპლეტების აღწერაზე. გპირდებით, რომ მათ მოგვიანებით ამ სტატიაში შევეხები.

იმავდროულად, მოდით გადავხედოთ DDE-ის კიდევ ერთ ბოროტ მხარეს Excel-ის ვერსიაში. ისევე, როგორც Word-ში, ზოგიერთში DDE-ის ფარული ფუნქციები Excel-ში საშუალებას გაძლევთ შეასრულოთ კოდი დიდი ძალისხმევის გარეშე. როგორც Word-ის მომხმარებელი, რომელიც გავიზარდე, ვიცნობდი ველებს, მაგრამ საერთოდ არ ვიცნობდი DDE-ში არსებულ ფუნქციებს.

გაოცებული ვიყავი, როცა გავიგე, რომ Excel-ში შემიძლია გამოვიძახო ჭურვი უჯრედიდან, როგორც ეს ნაჩვენებია ქვემოთ:

იცოდით რომ ეს შესაძლებელი იყო? პირადად მე არა

Windows-ის გარსის გაშვების ეს შესაძლებლობა არის DDE-ის თავაზიანობით. სხვა ბევრი რამის მოფიქრება შეგიძლიათ
აპლიკაციები, რომლებსაც შეგიძლიათ დაუკავშირდეთ Excel-ის ჩაშენებული DDE ფუნქციების გამოყენებით.
შენც იგივეს ფიქრობ რასაც მე ვფიქრობ?

ნება მიეცით ჩვენს საკანში ბრძანებას დაიწყოს PowerShell სესია, რომელიც შემდეგ ჩამოტვირთავს და ახორციელებს ბმულს - ეს მიღება, რომელიც ადრე უკვე გამოვიყენეთ. Იხილეთ ქვემოთ:

უბრალოდ ჩასვით ცოტა PowerShell Excel-ში დისტანციური კოდის ჩასატვირთად და გასაშვებად

მაგრამ არის დაჭერა: თქვენ ცალსახად უნდა შეიყვანოთ ეს მონაცემები უჯრედში, რომ ამ ფორმულამ იმუშაოს Excel-ში. როგორ შეუძლია ჰაკერმა შეასრულოს ეს DDE ბრძანება დისტანციურად? ფაქტია, რომ როდესაც Excel ცხრილი ღიაა, Excel შეეცდება განაახლოს ყველა ბმული DDE-ში. Trust Center-ის პარამეტრებს დიდი ხანია აქვთ შესაძლებლობა გამორთონ ეს ან გააფრთხილონ მონაცემთა გარე წყაროების ბმულების განახლებისას.

უახლესი პატჩების გარეშეც კი, შეგიძლიათ გამორთოთ ბმულის ავტომატური განახლება DDE-ში

Microsoft თავდაპირველად თავად ურჩია კომპანიებმა 2017 წელს უნდა გამორთონ ბმულების ავტომატური განახლებები Word-სა და Excel-ში DDE დაუცველობის თავიდან ასაცილებლად. 2018 წლის იანვარში, Microsoft-მა გამოუშვა პატჩები Excel 2007, 2010 და 2013 წლებისთვის, რომლებიც ნაგულისხმევად გამორთავს DDE-ს. ეს სტატიის Computerworld აღწერს პაჩის ყველა დეტალს.

კარგად, რაც შეეხება მოვლენის ჟურნალებს?

მიუხედავად ამისა, მაიკროსოფტმა მიატოვა DDE MS Word-ისთვის და Excel-ისთვის, რითაც საბოლოოდ გააცნობიერა, რომ DDE უფრო ჰგავს შეცდომას, ვიდრე ფუნქციონირებას. თუ რაიმე მიზეზით ჯერ არ დაინსტალირებული გაქვთ ეს პატჩები, შეგიძლიათ კვლავ შეამციროთ DDE თავდასხმის რისკი ბმულების ავტომატური განახლების გამორთვით და ისეთი პარამეტრების ჩართვით, რომლებიც მომხმარებლებს აიძულებენ განაახლონ ბმულები დოკუმენტებისა და ცხრილების გახსნისას.

ახლა მილიონი დოლარის შეკითხვა: თუ თქვენ ხართ ამ თავდასხმის მსხვერპლი, გამოჩნდება თუ არა PowerShell-ის სესიები, რომლებიც დაიწყო Word ველებიდან ან Excel უჯრედებიდან, ჟურნალში?

შეკითხვა: არის თუ არა ჩაწერილი PowerShell სესიები DDE-ის საშუალებით? პასუხი: დიახ

როდესაც თქვენ აწარმოებთ PowerShell სესიებს პირდაპირ Excel-ის უჯრედიდან და არა მაკროდ, Windows აღწერს ამ მოვლენებს (იხ. ზემოთ). ამავდროულად, ვერ ვიტყვი, რომ უსაფრთხოების გუნდს გაუადვილდება, შემდეგ დააკავშიროს ყველა წერტილი PowerShell სესიას, Excel-ის დოკუმენტსა და ელფოსტის შეტყობინებას შორის და გაიგოს, სად დაიწყო შეტევა. მე დავუბრუნდები ამას ბოლო სტატიაში ჩემი დაუსრულებელი სერიის ბოლო სტატიაში, რომელიც დაკავშირებულია გაუგებარი მავნე პროგრამის შესახებ.

როგორ არის ჩვენი COM?

წინა მუხლი COM სკრიპლეტების თემას შევეხე. ისინი თავისთავად მოსახერხებელია. ტექნოლოგია, რომელიც საშუალებას გაძლევთ გადასცეთ კოდი, ვთქვათ JScript, უბრალოდ, როგორც COM ობიექტი. მაგრამ შემდეგ სკრიპლეტები აღმოაჩინეს ჰაკერებმა და ამან მათ საშუალება მისცა დაეჭირათ ფეხი მსხვერპლის კომპიუტერზე ზედმეტი ხელსაწყოების გამოყენების გარეშე. ეს ვიდეო საწყისი Derbycon აჩვენებს ჩაშენებულ Windows ინსტრუმენტებს, როგორიცაა regsrv32 და rundll32, რომლებიც იღებენ დისტანციურ სკრიპლეტებს არგუმენტებად და ჰაკერები არსებითად ახორციელებენ თავდასხმას მავნე პროგრამის გარეშე. როგორც ბოლო დროს ვაჩვენე, თქვენ შეგიძლიათ მარტივად გაუშვათ PowerShell ბრძანებები JScript სკრიპლეტის გამოყენებით.

აღმოჩნდა, რომ ერთი ძალიან ჭკვიანია მკვლევარი იპოვა COM სკრიპლეტის გაშვების გზა в Excel დოკუმენტი. მან აღმოაჩინა, რომ როდესაც ცდილობდა საკანში დოკუმენტის ან სურათის ბმულის ჩასმა, მასში გარკვეული პაკეტი იყო ჩასმული. და ეს პაკეტი ჩუმად იღებს დისტანციურ სკრიპლეტს შეყვანად (იხ. ქვემოთ).

ბუმი! კიდევ ერთი ფარული, ჩუმი მეთოდი გარსის გაშვების COM სკრიპლეტების გამოყენებით

დაბალი დონის კოდის შემოწმების შემდეგ, მკვლევარმა გაარკვია, რა არის სინამდვილეში შეცდომა პაკეტის პროგრამულ უზრუნველყოფაში. ის არ იყო გამიზნული COM სკრიპლეტების გასაშვებად, არამედ მხოლოდ ფაილების დასაკავშირებლად. დარწმუნებული არ ვარ, არის თუ არა უკვე პაჩი ამ დაუცველობისთვის. ჩემს საკუთარ კვლევაში Amazon WorkSpaces-ის გამოყენებით წინასწარ დაინსტალირებული Office 2010, მე შევძელი შედეგების გამეორება. თუმცა, როცა ცოტა მოგვიანებით ისევ ვცადე, არ გამომივიდა.

დიდი იმედი მაქვს, რომ ბევრი საინტერესო რამ გითხარით და ამავდროულად ვაჩვენე, რომ ჰაკერებს შეუძლიათ შეაღწიონ თქვენს კომპანიაში ამა თუ იმ მსგავსი გზით. მაშინაც კი, თუ თქვენ დააინსტალირებთ Microsoft-ის ყველა უახლეს პატჩს, ჰაკერებს მაინც აქვთ მრავალი ინსტრუმენტი თქვენს სისტემაში დასაყრდენად, დაწყებული VBA მაკროებიდან, რომლებითაც დავიწყე ეს სერია და დამთავრებული მავნე დატვირთვა Word-ში ან Excel-ში.

ამ საგის ბოლო (გპირდები) სტატიაში ვისაუბრებ იმაზე, თუ როგორ უნდა უზრუნველყოს ჭკვიანი დაცვა.

წყარო: www.habr.com