ដំណើរផ្សងព្រេងនៃមេរោគដែលវង្វេងវង្វាន់ ផ្នែកទី II៖ ស្គ្រីប VBA សម្ងាត់

អត្ថបទនេះគឺជាផ្នែកមួយនៃស៊េរី Fileless Malware ។ ផ្នែកផ្សេងទៀតទាំងអស់នៃស៊េរី៖

• ដំណើរផ្សងព្រេងនៃមេរោគដែលងាយយល់ វគ្គ I
• ដំណើរផ្សងព្រេងនៃមេរោគដែលវង្វេងវង្វាន់ ផ្នែកទី II៖ ស្គ្រីប VBA ដែលលាក់ (យើងនៅទីនេះ)

ខ្ញុំជាអ្នកគាំទ្រគេហទំព័រ ការវិភាគកូនកាត់ (ការវិភាគកូនកាត់ បន្តពី HA)។ នេះ​គឺ​ជា​ប្រភេទ​សួនសត្វ​មេរោគ​មួយ​ដែល​អ្នក​អាច​សង្កេត​មើល​សត្វ​ព្រៃ​ដោយ​សុវត្ថិភាព​ពី​ចម្ងាយ​ដោយ​សុវត្ថិភាព​ដោយ​មិន​ត្រូវ​បាន​គេ​វាយប្រហារ។ HA ដំណើរការមេរោគនៅក្នុងបរិស្ថានដែលមានសុវត្ថិភាព កត់ត្រាការហៅតាមប្រព័ន្ធ ឯកសារដែលបានបង្កើត និងចរាចរណ៍អ៊ីនធឺណិត ហើយផ្តល់ឱ្យអ្នកនូវលទ្ធផលទាំងអស់នេះសម្រាប់គំរូនីមួយៗដែលវាវិភាគ។ វិធីនេះ អ្នកមិនចាំបាច់ខ្ជះខ្ជាយពេលវេលា និងកម្លាំងរបស់អ្នកដើម្បីស្វែងរកកូដដែលច្រឡំដោយខ្លួនឯងនោះទេ ប៉ុន្តែអាចយល់បានភ្លាមៗនូវចេតនារបស់ពួក Hacker ទាំងអស់។

ឧទាហរណ៍ HA ដែលទាក់ទាញការចាប់អារម្មណ៍របស់ខ្ញុំ ប្រើស្គ្រីប JavaScript ឬ Visual Basic for Applications (VBA) ដែលមានកូដដែលបានបង្កប់ជាម៉ាក្រូនៅក្នុងឯកសារ Word ឬ Excel ហើយភ្ជាប់ជាមួយអ៊ីមែលបន្លំ។ នៅពេលបើក ម៉ាក្រូទាំងនេះចាប់ផ្តើមវគ្គ PowerShell នៅលើកុំព្យូទ័ររបស់ជនរងគ្រោះ។ ជាធម្មតាពួក Hacker ផ្ញើការបញ្ជូនកូដ Base64 នៃពាក្យបញ្ជាទៅកាន់ PowerShell ។ នេះត្រូវបានធ្វើទាំងអស់ដើម្បីធ្វើឱ្យការវាយប្រហារពិបាករកឃើញដោយតម្រងគេហទំព័រ និងកម្មវិធីកំចាត់មេរោគដែលឆ្លើយតបទៅនឹងពាក្យគន្លឹះជាក់លាក់។
ជាសំណាងល្អ HA ធ្វើការឌិកូដ Base64 ដោយស្វ័យប្រវត្តិ ហើយបង្ហាញអ្វីគ្រប់យ៉ាងក្នុងទម្រង់ដែលអាចអានបានភ្លាមៗ។ សំខាន់អ្នកមិនចាំបាច់ផ្តោតលើរបៀបដែលស្គ្រីបទាំងនេះដំណើរការទេព្រោះអ្នកនឹងអាចឃើញលទ្ធផលពាក្យបញ្ជាពេញលេញសម្រាប់ដំណើរការដែលកំពុងដំណើរការនៅក្នុងផ្នែកដែលត្រូវគ្នានៃ HA ។ សូមមើលឧទាហរណ៍ខាងក្រោម៖

ការវិភាគកូនកាត់ស្ទាក់ចាប់ពាក្យបញ្ជាដែលបានអ៊ិនកូដ Base64 ដែលផ្ញើទៅ PowerShell៖

...ហើយបន្ទាប់មក ឌិកូដពួកវាសម្រាប់អ្នក។ # អស្ចារ្យ

В ប្រកាសមុន។ ខ្ញុំ​បាន​បង្កើត​កុងតឺន័រ JavaScript ដែល​មាន​ភាព​ច្របូកច្របល់​បន្តិច​ដើម្បី​ដំណើរការ​វគ្គ PowerShell។ ស្គ្រីបរបស់ខ្ញុំ ដូចជាមេរោគដែលមានមូលដ្ឋានលើ PowerShell ជាច្រើន បន្ទាប់មកទាញយកស្គ្រីប PowerShell ខាងក្រោមពីគេហទំព័រពីចម្ងាយ។ បន្ទាប់មក ជាឧទាហរណ៍ ខ្ញុំបានផ្ទុក PS ដែលគ្មានគ្រោះថ្នាក់ ដែលបោះពុម្ពសារនៅលើអេក្រង់។ ប៉ុន្តែពេលវេលាកំពុងផ្លាស់ប្តូរ ហើយឥឡូវនេះខ្ញុំស្នើឱ្យធ្វើឱ្យសេណារីយ៉ូមានភាពស្មុគស្មាញ។

PowerShell Empire និង Reverse Shell

គោលដៅមួយក្នុងចំណោមគោលដៅនៃលំហាត់នេះគឺដើម្បីបង្ហាញពីរបៀប (ដែលទាក់ទង) យ៉ាងងាយស្រួលដែលពួក Hacker អាចជៀសផុតពីការការពារបរិវេណបុរាណ និងកំចាត់មេរោគ។ ប្រសិនបើអ្នកសរសេរប្លុក IT ដែលគ្មានជំនាញសរសេរកម្មវិធីដូចខ្ញុំ អាចធ្វើវាបានក្នុងរយៈពេលពីរបីល្ងាច បង្កើតមេរោគដែលមិនអាចរកឃើញបាន។ (មិនអាចរកឃើញពេញលេញ FUD) ស្រមៃមើលសមត្ថភាពរបស់ពួក Hacker វ័យក្មេងដែលចាប់អារម្មណ៍លើរឿងនេះ!

ហើយប្រសិនបើអ្នកជាអ្នកផ្តល់សេវាសន្តិសុខ IT ប៉ុន្តែអ្នកគ្រប់គ្រងរបស់អ្នកមិនដឹងអំពីផលវិបាកដែលអាចកើតមាននៃការគំរាមកំហែងទាំងនេះទេ គ្រាន់តែបង្ហាញគាត់ពីអត្ថបទនេះ។

ពួក Hacker សុបិនចង់ចូលប្រើដោយផ្ទាល់ទៅកាន់កុំព្យូទ័រយួរដៃ ឬម៉ាស៊ីនមេរបស់ជនរងគ្រោះ។ នេះគឺសាមញ្ញណាស់ក្នុងការធ្វើ៖ រាល់ hacker ត្រូវធ្វើគឺទទួលបានឯកសារសម្ងាត់មួយចំនួននៅលើកុំព្យូទ័រយួរដៃរបស់ CEO ។

ដូចម្ដេចខ្ញុំរួចហើយ បានសរសេរ អំពី PowerShell Empire ក្រោយដំណើរការផលិត។ ចូរយើងចាំថាវាជាអ្វី។

វាជាឧបករណ៍សាកល្បងការជ្រៀតចូលដែលមានមូលដ្ឋានលើ PowerShell ដែលមានសារៈសំខាន់ក្នុងចំនោមមុខងារជាច្រើនទៀត ដែលអនុញ្ញាតឱ្យអ្នកដំណើរការសែលបញ្ច្រាសបានយ៉ាងងាយស្រួល។ អ្នកអាចសិក្សាលម្អិតបន្ថែមនៅ គេហទំព័រផ្ទះ PSE.

តោះធ្វើការពិសោធន៍បន្តិច។ ខ្ញុំបង្កើតបរិយាកាសសាកល្បងមេរោគដែលមានសុវត្ថិភាពនៅក្នុង Amazon Web Services cloud។ អ្នកអាចធ្វើតាមគំរូរបស់ខ្ញុំ ដើម្បីបង្ហាញគំរូការងារនៃភាពងាយរងគ្រោះនេះយ៉ាងឆាប់រហ័ស និងដោយសុវត្ថិភាព (និងមិនត្រូវបានគេបណ្តេញចេញសម្រាប់ដំណើរការមេរោគនៅខាងក្នុងបរិវេណសហគ្រាស)។

ប្រសិនបើអ្នកបើកដំណើរការកុងសូល PowerShell Empire អ្នកនឹងឃើញអ្វីមួយដូចនេះ៖

ដំបូង​អ្នក​ចាប់​ផ្ដើម​ដំណើរ​ការ​អ្នក​ស្តាប់​នៅ​លើ​កុំព្យូទ័រ​របស់​អ្នក​លួច​ចូល។ បញ្ចូលពាក្យបញ្ជា "អ្នកស្តាប់" ហើយបញ្ជាក់អាសយដ្ឋាន IP នៃប្រព័ន្ធរបស់អ្នកដោយប្រើ "កំណត់ម៉ាស៊ីន" ។ បន្ទាប់មកចាប់ផ្តើមដំណើរការអ្នកស្តាប់ដោយប្រើពាក្យបញ្ជា "ប្រតិបត្តិ" (ខាងក្រោម) ។ ដូច្នេះ ជាផ្នែកមួយរបស់អ្នក អ្នកនឹងចាប់ផ្តើមរង់ចាំការតភ្ជាប់បណ្តាញពីសែលពីចម្ងាយ៖

សម្រាប់ផ្នែកម្ខាងទៀត អ្នកនឹងត្រូវបង្កើតកូដភ្នាក់ងារដោយបញ្ចូលពាក្យបញ្ជា "launcher" (សូមមើលខាងក្រោម)។ វានឹងបង្កើតកូដ PowerShell សម្រាប់ភ្នាក់ងារពីចម្ងាយ។ ចំណាំថាវាត្រូវបានអ៊ិនកូដក្នុង Base64 ហើយតំណាងឱ្យដំណាក់កាលទីពីរនៃបន្ទុក។ ម៉្យាងទៀត កូដ JavaScript របស់ខ្ញុំឥឡូវនេះនឹងទាញភ្នាក់ងារនេះឱ្យដំណើរការ PowerShell ជំនួសឱ្យការបោះពុម្ពអត្ថបទដោយគ្មានកំហុសទៅអេក្រង់ ហើយភ្ជាប់ទៅម៉ាស៊ីនមេ PSE ពីចម្ងាយរបស់យើងដើម្បីដំណើរការសែលបញ្ច្រាស។

វេទមន្តនៃសែលបញ្ច្រាស។ ពាក្យ​បញ្ជា PowerShell ដែល​បាន​សរសេរ​កូដ​នេះ​នឹង​ភ្ជាប់​ទៅ​អ្នក​ស្តាប់​របស់​ខ្ញុំ ហើយ​បើក​ដំណើរ​ការ​សែល​ពី​ចម្ងាយ។

Чтобы показать вам этот эксперимент, я взял на себя роль невинной жертвы и открыл Evil.doc, тем самым запустив наш JavaScript. Помните первую часть? PowerShell был настроен так, чтобы его окно не всплывало, поэтому жертва не заметит ничего необычного. Тем не менее, если вы откроете Диспетчер задач Windows, вы увидите фоновый процесс PowerShell, который все равно у большинства не вызовет никакой тревоги. Потому что это обычный PowerShell, не правда ли?

ឥឡូវនេះនៅពេលដែលអ្នកដំណើរការ Evil.doc ដំណើរការផ្ទៃខាងក្រោយលាក់នឹងភ្ជាប់ទៅម៉ាស៊ីនមេដែលកំពុងដំណើរការ PowerShell Empire។ ដោយពាក់មួក hacker pentester ពណ៌សរបស់ខ្ញុំ ខ្ញុំបានត្រលប់ទៅ PowerShell Empire console ហើយឥឡូវនេះឃើញសារថាភ្នាក់ងារពីចម្ងាយរបស់ខ្ញុំសកម្ម។

បន្ទាប់មកខ្ញុំបានបញ្ចូលពាក្យបញ្ជា "អន្តរកម្ម" ដើម្បីបើកសែលនៅក្នុង PSE - ហើយនៅទីនោះខ្ញុំ! សរុបមក ខ្ញុំបាន hack server របស់ Taco ដែលខ្ញុំបានដំឡើងដោយខ្លួនឯងម្តង។

អ្វី​ដែល​ខ្ញុំ​ទើប​តែ​បង្ហាញ​មិន​តម្រូវ​ឱ្យ​មាន​ការ​ងារ​ច្រើន​នោះ​ជា​ផ្នែក​មួយ​របស់​អ្នក​។ អ្នកអាចធ្វើអ្វីៗទាំងអស់នេះបានយ៉ាងងាយស្រួលក្នុងអំឡុងពេលសម្រាកអាហារថ្ងៃត្រង់របស់អ្នករយៈពេលមួយ ឬពីរម៉ោង ដើម្បីបង្កើនចំណេះដឹងផ្នែកសុវត្ថិភាពព័ត៌មានរបស់អ្នក។ វាក៏ជាវិធីដ៏ល្អមួយផងដែរក្នុងការស្វែងយល់ពីរបៀបដែលពួក Hacker ឆ្លងកាត់បរិវេណសុវត្ថិភាពខាងក្រៅរបស់អ្នក និងចូលទៅក្នុងប្រព័ន្ធរបស់អ្នក។

អ្នកគ្រប់គ្រងផ្នែកព័ត៌មានវិទ្យាដែលគិតថាពួកគេបានបង្កើតការការពារដែលមិនអាចជ្រាបចូលបានប្រឆាំងនឹងការឈ្លានពានណាមួយក៏ប្រហែលជាយល់ឃើញថាវាមានការអប់រំផងដែរ ពោលគឺប្រសិនបើអ្នកអាចបញ្ចុះបញ្ចូលពួកគេឱ្យអង្គុយជាមួយអ្នកបានយូរគ្រប់គ្រាន់។

ចូរយើងត្រលប់ទៅការពិតវិញ។

ដូចដែលខ្ញុំបានរំពឹងទុក ការ hack ពិតប្រាកដ ដែលមើលមិនឃើញសម្រាប់អ្នកប្រើប្រាស់ជាមធ្យម គឺគ្រាន់តែជាការប្រែប្រួលនៃអ្វីដែលខ្ញុំទើបតែបានពណ៌នាប៉ុណ្ណោះ។ ដើម្បីប្រមូលសម្ភារៈសម្រាប់ការបោះពុម្ពលើកក្រោយ ខ្ញុំបានចាប់ផ្តើមស្វែងរកគំរូនៅលើ HA ដែលដំណើរការដូចគ្នាទៅនឹងគំរូដែលបានបង្កើតរបស់ខ្ញុំ។ ហើយខ្ញុំមិនចាំបាច់ស្វែងរកវាយូរទេ - មានជម្រើសជាច្រើនសម្រាប់បច្ចេកទេសវាយប្រហារស្រដៀងគ្នានៅលើគេហទំព័រ។

មេរោគដែលខ្ញុំបានរកឃើញនៅទីបំផុតនៅលើ HA គឺជាស្គ្រីប VBA ដែលត្រូវបានបង្កប់នៅក្នុងឯកសារ Word ។ នោះគឺខ្ញុំមិនចាំបាច់ក្លែងបន្លំផ្នែកបន្ថែមឯកសារទេ មេរោគនេះគឺពិតជាឯកសារ Microsoft Word ធម្មតា។ ប្រសិនបើអ្នកចាប់អារម្មណ៍ខ្ញុំបានជ្រើសរើសគំរូនេះហៅថា rfq.doc.

ខ្ញុំ​បាន​ដឹង​យ៉ាង​ឆាប់​រហ័ស​ថា អ្នក​ជា​ញឹក​ញាប់​មិន​អាច​ទាញ​ស្គ្រីប VBA ដែល​មាន​គំនិត​អាក្រក់​ចេញ​ពី​ឯកសារ​បាន​ទេ។ ពួក Hacker បង្រួម និងលាក់ពួកវា ដូច្នេះពួកគេមិនអាចមើលឃើញនៅក្នុងឧបករណ៍ម៉ាក្រូដែលភ្ជាប់មកជាមួយរបស់ Word ។ អ្នកនឹងត្រូវការឧបករណ៍ពិសេសដើម្បីយកវាចេញ។ សំណាងហើយដែលខ្ញុំបានជួបម៉ាស៊ីនស្កេន OfficeMalScanner Frank Baldwin ។ សូមអរគុណលោក Frank ។

ដោយ​ប្រើ​ឧបករណ៍​នេះ ខ្ញុំ​អាច​ដក​កូដ VBA ដែល​មាន​ភាព​ច្របូកច្របល់​ខ្លាំង។ វាមើលទៅដូចនេះ៖

ភាពច្របូកច្របល់នេះត្រូវបានធ្វើឡើងដោយអ្នកជំនាញក្នុងវិស័យរបស់ពួកគេ។ ខ្ញុំ​ចាប់​អារម្មណ៍!

អ្នកវាយប្រហារពិតជាពូកែសរសេរកូដមិនច្បាស់ មិនដូចការខិតខំប្រឹងប្រែងរបស់ខ្ញុំក្នុងការបង្កើត Evil.doc នោះទេ។ មិនអីទេ នៅផ្នែកបន្ទាប់ យើងនឹងដកកម្មវិធីបំបាត់កំហុស VBA របស់យើង ចូលជ្រៅបន្តិចទៅក្នុងកូដនេះ ហើយប្រៀបធៀបការវិភាគរបស់យើងជាមួយនឹងលទ្ធផល HA។

ប្រភព: www.habr.com