ដំណើរផ្សងព្រេងនៃមេរោគដែលវង្វេងវង្វាន់ ផ្នែកទី II៖ ស្គ្រីប VBA សម្ងាត់

អត្ថបទនេះគឺជាផ្នែកមួយនៃស៊េរី Fileless Malware ។ ផ្នែកផ្សេងទៀតទាំងអស់នៃស៊េរី៖

• ដំណើរផ្សងព្រេងនៃមេរោគដែលងាយយល់ វគ្គ I
• ដំណើរផ្សងព្រេងនៃមេរោគដែលវង្វេងវង្វាន់ ផ្នែកទី II៖ ស្គ្រីប VBA ដែលលាក់ (យើងនៅទីនេះ)

ខ្ញុំជាអ្នកគាំទ្រគេហទំព័រ ការវិភាគកូនកាត់ (ការវិភាគកូនកាត់ បន្តពី HA)។ នេះ​គឺ​ជា​ប្រភេទ​សួនសត្វ​មេរោគ​មួយ​ដែល​អ្នក​អាច​សង្កេត​មើល​សត្វ​ព្រៃ​ដោយ​សុវត្ថិភាព​ពី​ចម្ងាយ​ដោយ​សុវត្ថិភាព​ដោយ​មិន​ត្រូវ​បាន​គេ​វាយប្រហារ។ HA ដំណើរការមេរោគនៅក្នុងបរិស្ថានដែលមានសុវត្ថិភាព កត់ត្រាការហៅតាមប្រព័ន្ធ ឯកសារដែលបានបង្កើត និងចរាចរណ៍អ៊ីនធឺណិត ហើយផ្តល់ឱ្យអ្នកនូវលទ្ធផលទាំងអស់នេះសម្រាប់គំរូនីមួយៗដែលវាវិភាគ។ វិធីនេះ អ្នកមិនចាំបាច់ខ្ជះខ្ជាយពេលវេលា និងកម្លាំងរបស់អ្នកដើម្បីស្វែងរកកូដដែលច្រឡំដោយខ្លួនឯងនោះទេ ប៉ុន្តែអាចយល់បានភ្លាមៗនូវចេតនារបស់ពួក Hacker ទាំងអស់។

ឧទាហរណ៍ HA ដែលទាក់ទាញការចាប់អារម្មណ៍របស់ខ្ញុំ ប្រើស្គ្រីប JavaScript ឬ Visual Basic for Applications (VBA) ដែលមានកូដដែលបានបង្កប់ជាម៉ាក្រូនៅក្នុងឯកសារ Word ឬ Excel ហើយភ្ជាប់ជាមួយអ៊ីមែលបន្លំ។ នៅពេលបើក ម៉ាក្រូទាំងនេះចាប់ផ្តើមវគ្គ PowerShell នៅលើកុំព្យូទ័ររបស់ជនរងគ្រោះ។ ជាធម្មតាពួក Hacker ផ្ញើការបញ្ជូនកូដ Base64 នៃពាក្យបញ្ជាទៅកាន់ PowerShell ។ នេះត្រូវបានធ្វើទាំងអស់ដើម្បីធ្វើឱ្យការវាយប្រហារពិបាករកឃើញដោយតម្រងគេហទំព័រ និងកម្មវិធីកំចាត់មេរោគដែលឆ្លើយតបទៅនឹងពាក្យគន្លឹះជាក់លាក់។
ជាសំណាងល្អ HA ធ្វើការឌិកូដ Base64 ដោយស្វ័យប្រវត្តិ ហើយបង្ហាញអ្វីគ្រប់យ៉ាងក្នុងទម្រង់ដែលអាចអានបានភ្លាមៗ។ សំខាន់អ្នកមិនចាំបាច់ផ្តោតលើរបៀបដែលស្គ្រីបទាំងនេះដំណើរការទេព្រោះអ្នកនឹងអាចឃើញលទ្ធផលពាក្យបញ្ជាពេញលេញសម្រាប់ដំណើរការដែលកំពុងដំណើរការនៅក្នុងផ្នែកដែលត្រូវគ្នានៃ HA ។ សូមមើលឧទាហរណ៍ខាងក្រោម៖

ការវិភាគកូនកាត់ស្ទាក់ចាប់ពាក្យបញ្ជាដែលបានអ៊ិនកូដ Base64 ដែលផ្ញើទៅ PowerShell៖

...ហើយបន្ទាប់មក ឌិកូដពួកវាសម្រាប់អ្នក។ # អស្ចារ្យ

В ប្រកាសមុន។ ខ្ញុំ​បាន​បង្កើត​កុងតឺន័រ JavaScript ដែល​មាន​ភាព​ច្របូកច្របល់​បន្តិច​ដើម្បី​ដំណើរការ​វគ្គ PowerShell។ ស្គ្រីបរបស់ខ្ញុំ ដូចជាមេរោគដែលមានមូលដ្ឋានលើ PowerShell ជាច្រើន បន្ទាប់មកទាញយកស្គ្រីប PowerShell ខាងក្រោមពីគេហទំព័រពីចម្ងាយ។ បន្ទាប់មក ជាឧទាហរណ៍ ខ្ញុំបានផ្ទុក PS ដែលគ្មានគ្រោះថ្នាក់ ដែលបោះពុម្ពសារនៅលើអេក្រង់។ ប៉ុន្តែពេលវេលាកំពុងផ្លាស់ប្តូរ ហើយឥឡូវនេះខ្ញុំស្នើឱ្យធ្វើឱ្យសេណារីយ៉ូមានភាពស្មុគស្មាញ។

PowerShell Empire និង Reverse Shell

គោលដៅមួយក្នុងចំណោមគោលដៅនៃលំហាត់នេះគឺដើម្បីបង្ហាញពីរបៀប (ដែលទាក់ទង) យ៉ាងងាយស្រួលដែលពួក Hacker អាចជៀសផុតពីការការពារបរិវេណបុរាណ និងកំចាត់មេរោគ។ ប្រសិនបើអ្នកសរសេរប្លុក IT ដែលគ្មានជំនាញសរសេរកម្មវិធីដូចខ្ញុំ អាចធ្វើវាបានក្នុងរយៈពេលពីរបីល្ងាច បង្កើតមេរោគដែលមិនអាចរកឃើញបាន។ (មិនអាចរកឃើញពេញលេញ FUD) ស្រមៃមើលសមត្ថភាពរបស់ពួក Hacker វ័យក្មេងដែលចាប់អារម្មណ៍លើរឿងនេះ!

ហើយប្រសិនបើអ្នកជាអ្នកផ្តល់សេវាសន្តិសុខ IT ប៉ុន្តែអ្នកគ្រប់គ្រងរបស់អ្នកមិនដឹងអំពីផលវិបាកដែលអាចកើតមាននៃការគំរាមកំហែងទាំងនេះទេ គ្រាន់តែបង្ហាញគាត់ពីអត្ថបទនេះ។

ពួក Hacker សុបិនចង់ចូលប្រើដោយផ្ទាល់ទៅកាន់កុំព្យូទ័រយួរដៃ ឬម៉ាស៊ីនមេរបស់ជនរងគ្រោះ។ នេះគឺសាមញ្ញណាស់ក្នុងការធ្វើ៖ រាល់ hacker ត្រូវធ្វើគឺទទួលបានឯកសារសម្ងាត់មួយចំនួននៅលើកុំព្យូទ័រយួរដៃរបស់ CEO ។

ដូចម្ដេចខ្ញុំរួចហើយ បានសរសេរ អំពី PowerShell Empire ក្រោយដំណើរការផលិត។ ចូរយើងចាំថាវាជាអ្វី។

វាជាឧបករណ៍សាកល្បងការជ្រៀតចូលដែលមានមូលដ្ឋានលើ PowerShell ដែលមានសារៈសំខាន់ក្នុងចំនោមមុខងារជាច្រើនទៀត ដែលអនុញ្ញាតឱ្យអ្នកដំណើរការសែលបញ្ច្រាសបានយ៉ាងងាយស្រួល។ អ្នកអាចសិក្សាលម្អិតបន្ថែមនៅ គេហទំព័រផ្ទះ PSE.

តោះធ្វើការពិសោធន៍បន្តិច។ ខ្ញុំបង្កើតបរិយាកាសសាកល្បងមេរោគដែលមានសុវត្ថិភាពនៅក្នុង Amazon Web Services cloud។ អ្នកអាចធ្វើតាមគំរូរបស់ខ្ញុំ ដើម្បីបង្ហាញគំរូការងារនៃភាពងាយរងគ្រោះនេះយ៉ាងឆាប់រហ័ស និងដោយសុវត្ថិភាព (និងមិនត្រូវបានគេបណ្តេញចេញសម្រាប់ដំណើរការមេរោគនៅខាងក្នុងបរិវេណសហគ្រាស)។

ប្រសិនបើអ្នកបើកដំណើរការកុងសូល PowerShell Empire អ្នកនឹងឃើញអ្វីមួយដូចនេះ៖

ដំបូង​អ្នក​ចាប់​ផ្ដើម​ដំណើរ​ការ​អ្នក​ស្តាប់​នៅ​លើ​កុំព្យូទ័រ​របស់​អ្នក​លួច​ចូល។ បញ្ចូលពាក្យបញ្ជា "អ្នកស្តាប់" ហើយបញ្ជាក់អាសយដ្ឋាន IP នៃប្រព័ន្ធរបស់អ្នកដោយប្រើ "កំណត់ម៉ាស៊ីន" ។ បន្ទាប់មកចាប់ផ្តើមដំណើរការអ្នកស្តាប់ដោយប្រើពាក្យបញ្ជា "ប្រតិបត្តិ" (ខាងក្រោម) ។ ដូច្នេះ ជាផ្នែកមួយរបស់អ្នក អ្នកនឹងចាប់ផ្តើមរង់ចាំការតភ្ជាប់បណ្តាញពីសែលពីចម្ងាយ៖

សម្រាប់ផ្នែកម្ខាងទៀត អ្នកនឹងត្រូវបង្កើតកូដភ្នាក់ងារដោយបញ្ចូលពាក្យបញ្ជា "launcher" (សូមមើលខាងក្រោម)។ វានឹងបង្កើតកូដ PowerShell សម្រាប់ភ្នាក់ងារពីចម្ងាយ។ ចំណាំថាវាត្រូវបានអ៊ិនកូដក្នុង Base64 ហើយតំណាងឱ្យដំណាក់កាលទីពីរនៃបន្ទុក។ ម៉្យាងទៀត កូដ JavaScript របស់ខ្ញុំឥឡូវនេះនឹងទាញភ្នាក់ងារនេះឱ្យដំណើរការ PowerShell ជំនួសឱ្យការបោះពុម្ពអត្ថបទដោយគ្មានកំហុសទៅអេក្រង់ ហើយភ្ជាប់ទៅម៉ាស៊ីនមេ PSE ពីចម្ងាយរបស់យើងដើម្បីដំណើរការសែលបញ្ច្រាស។

វេទមន្តនៃសែលបញ្ច្រាស។ ពាក្យ​បញ្ជា PowerShell ដែល​បាន​សរសេរ​កូដ​នេះ​នឹង​ភ្ជាប់​ទៅ​អ្នក​ស្តាប់​របស់​ខ្ញុំ ហើយ​បើក​ដំណើរ​ការ​សែល​ពី​ចម្ងាយ។

ដើម្បីបង្ហាញអ្នកពីការពិសោធន៍នេះ ខ្ញុំបានយកតួនាទីរបស់ជនរងគ្រោះដែលគ្មានកំហុស ហើយបើក Evil.doc ដោយហេតុនេះបើកដំណើរការ JavaScript របស់យើង។ នៅចាំភាគទីមួយទេ? PowerShell ត្រូវ​បាន​កំណត់​រចនាសម្ព័ន្ធ​ដើម្បី​ការពារ​បង្អួច​របស់​វា​មិន​ឱ្យ​លេច​ឡើង ដូច្នេះ​ជន​រង​គ្រោះ​នឹង​មិន​សម្គាល់​ឃើញ​អ្វី​ដែល​ខុស​ប្រក្រតី​ឡើយ។ ទោះយ៉ាងណាក៏ដោយ ប្រសិនបើអ្នកបើក Windows Task Manager អ្នកនឹងឃើញដំណើរការ PowerShell ផ្ទៃខាងក្រោយ ដែលនឹងមិនបង្កឱ្យមានការជូនដំណឹងដល់មនុស្សភាគច្រើនយ៉ាងណាក៏ដោយ។ ដោយសារតែវាគ្រាន់តែជា PowerShell ធម្មតា មែនទេ?

ឥឡូវនេះនៅពេលដែលអ្នកដំណើរការ Evil.doc ដំណើរការផ្ទៃខាងក្រោយលាក់នឹងភ្ជាប់ទៅម៉ាស៊ីនមេដែលកំពុងដំណើរការ PowerShell Empire។ ដោយពាក់មួក hacker pentester ពណ៌សរបស់ខ្ញុំ ខ្ញុំបានត្រលប់ទៅ PowerShell Empire console ហើយឥឡូវនេះឃើញសារថាភ្នាក់ងារពីចម្ងាយរបស់ខ្ញុំសកម្ម។

បន្ទាប់មកខ្ញុំបានបញ្ចូលពាក្យបញ្ជា "អន្តរកម្ម" ដើម្បីបើកសែលនៅក្នុង PSE - ហើយនៅទីនោះខ្ញុំ! សរុបមក ខ្ញុំបាន hack server របស់ Taco ដែលខ្ញុំបានដំឡើងដោយខ្លួនឯងម្តង។

អ្វី​ដែល​ខ្ញុំ​ទើប​តែ​បង្ហាញ​មិន​តម្រូវ​ឱ្យ​មាន​ការ​ងារ​ច្រើន​នោះ​ជា​ផ្នែក​មួយ​របស់​អ្នក​។ អ្នកអាចធ្វើអ្វីៗទាំងអស់នេះបានយ៉ាងងាយស្រួលក្នុងអំឡុងពេលសម្រាកអាហារថ្ងៃត្រង់របស់អ្នករយៈពេលមួយ ឬពីរម៉ោង ដើម្បីបង្កើនចំណេះដឹងផ្នែកសុវត្ថិភាពព័ត៌មានរបស់អ្នក។ វាក៏ជាវិធីដ៏ល្អមួយផងដែរក្នុងការស្វែងយល់ពីរបៀបដែលពួក Hacker ឆ្លងកាត់បរិវេណសុវត្ថិភាពខាងក្រៅរបស់អ្នក និងចូលទៅក្នុងប្រព័ន្ធរបស់អ្នក។

អ្នកគ្រប់គ្រងផ្នែកព័ត៌មានវិទ្យាដែលគិតថាពួកគេបានបង្កើតការការពារដែលមិនអាចជ្រាបចូលបានប្រឆាំងនឹងការឈ្លានពានណាមួយក៏ប្រហែលជាយល់ឃើញថាវាមានការអប់រំផងដែរ ពោលគឺប្រសិនបើអ្នកអាចបញ្ចុះបញ្ចូលពួកគេឱ្យអង្គុយជាមួយអ្នកបានយូរគ្រប់គ្រាន់។

ចូរយើងត្រលប់ទៅការពិតវិញ។

ដូចដែលខ្ញុំបានរំពឹងទុក ការ hack ពិតប្រាកដ ដែលមើលមិនឃើញសម្រាប់អ្នកប្រើប្រាស់ជាមធ្យម គឺគ្រាន់តែជាការប្រែប្រួលនៃអ្វីដែលខ្ញុំទើបតែបានពណ៌នាប៉ុណ្ណោះ។ ដើម្បីប្រមូលសម្ភារៈសម្រាប់ការបោះពុម្ពលើកក្រោយ ខ្ញុំបានចាប់ផ្តើមស្វែងរកគំរូនៅលើ HA ដែលដំណើរការដូចគ្នាទៅនឹងគំរូដែលបានបង្កើតរបស់ខ្ញុំ។ ហើយខ្ញុំមិនចាំបាច់ស្វែងរកវាយូរទេ - មានជម្រើសជាច្រើនសម្រាប់បច្ចេកទេសវាយប្រហារស្រដៀងគ្នានៅលើគេហទំព័រ។

មេរោគដែលខ្ញុំបានរកឃើញនៅទីបំផុតនៅលើ HA គឺជាស្គ្រីប VBA ដែលត្រូវបានបង្កប់នៅក្នុងឯកសារ Word ។ នោះគឺខ្ញុំមិនចាំបាច់ក្លែងបន្លំផ្នែកបន្ថែមឯកសារទេ មេរោគនេះគឺពិតជាឯកសារ Microsoft Word ធម្មតា។ ប្រសិនបើអ្នកចាប់អារម្មណ៍ខ្ញុំបានជ្រើសរើសគំរូនេះហៅថា rfq.doc.

ខ្ញុំ​បាន​ដឹង​យ៉ាង​ឆាប់​រហ័ស​ថា អ្នក​ជា​ញឹក​ញាប់​មិន​អាច​ទាញ​ស្គ្រីប VBA ដែល​មាន​គំនិត​អាក្រក់​ចេញ​ពី​ឯកសារ​បាន​ទេ។ ពួក Hacker បង្រួម និងលាក់ពួកវា ដូច្នេះពួកគេមិនអាចមើលឃើញនៅក្នុងឧបករណ៍ម៉ាក្រូដែលភ្ជាប់មកជាមួយរបស់ Word ។ អ្នកនឹងត្រូវការឧបករណ៍ពិសេសដើម្បីយកវាចេញ។ សំណាងហើយដែលខ្ញុំបានជួបម៉ាស៊ីនស្កេន OfficeMalScanner Frank Baldwin ។ សូមអរគុណលោក Frank ។

ដោយ​ប្រើ​ឧបករណ៍​នេះ ខ្ញុំ​អាច​ដក​កូដ VBA ដែល​មាន​ភាព​ច្របូកច្របល់​ខ្លាំង។ វាមើលទៅដូចនេះ៖

ភាពច្របូកច្របល់នេះត្រូវបានធ្វើឡើងដោយអ្នកជំនាញក្នុងវិស័យរបស់ពួកគេ។ ខ្ញុំ​ចាប់​អារម្មណ៍!

អ្នកវាយប្រហារពិតជាពូកែសរសេរកូដមិនច្បាស់ មិនដូចការខិតខំប្រឹងប្រែងរបស់ខ្ញុំក្នុងការបង្កើត Evil.doc នោះទេ។ មិនអីទេ នៅផ្នែកបន្ទាប់ យើងនឹងដកកម្មវិធីបំបាត់កំហុស VBA របស់យើង ចូលជ្រៅបន្តិចទៅក្នុងកូដនេះ ហើយប្រៀបធៀបការវិភាគរបស់យើងជាមួយនឹងលទ្ធផល HA។

ប្រភព: www.habr.com