파악하기 어려운 악성 코드의 모험, XNUMX부: 비밀스러운 VBA 스크립트

이 문서는 파일리스 악성 코드 시리즈의 일부입니다. 시리즈의 다른 모든 부분:

• 포착하기 어려운 악성코드의 모험 XNUMX부
• 파악하기 어려운 악성 코드의 모험, XNUMX부: 숨겨진 VBA 스크립트(현재 위치)

나는 그 사이트의 팬이다 하이브리드 분석 (하이브리드 분석, 이하 HA). 야생의 '포식자'를 공격받지 않고 안전한 거리에서 안전하게 관찰할 수 있는 일종의 악성코드 동물원이다. HA는 안전한 환경에서 맬웨어를 실행하고, 시스템 호출, 생성된 파일 및 인터넷 트래픽을 기록하고, 분석하는 각 샘플에 대해 이러한 모든 결과를 제공합니다. 이렇게 하면, 혼란스러운 코드를 스스로 파악하려고 시간과 에너지를 낭비할 필요 없이 해커의 모든 의도를 즉시 이해할 수 있습니다.

내 관심을 끈 HA 예제는 Word 또는 Excel 문서에 매크로로 포함되고 피싱 이메일에 첨부된 코딩된 JavaScript 또는 VBA(Visual Basic for Application) 스크립트를 사용합니다. 이 매크로를 열면 피해자의 컴퓨터에서 PowerShell 세션이 시작됩니다. 해커는 일반적으로 Base64로 인코딩된 명령 스트림을 PowerShell로 보냅니다. 이는 특정 키워드에 응답하는 웹 필터 및 바이러스 백신 소프트웨어로 공격을 탐지하기 어렵게 만들기 위해 수행됩니다.
다행히 HA는 Base64를 자동으로 디코딩하고 모든 것을 즉시 읽을 수 있는 형식으로 표시합니다. 기본적으로 HA의 해당 섹션에서 실행 중인 프로세스에 대한 전체 명령 출력을 볼 수 있으므로 이러한 스크립트의 작동 방식에 집중할 필요가 없습니다. 아래 예를 참조하세요.

하이브리드 분석은 PowerShell로 전송된 Base64 인코딩 명령을 가로챕니다.

...그런 다음 이를 디코딩합니다. #마술처럼

В 이전 게시물 PowerShell 세션을 실행하기 위해 약간 난독화된 JavaScript 컨테이너를 직접 만들었습니다. 많은 PowerShell 기반 맬웨어와 마찬가지로 내 스크립트는 원격 웹 사이트에서 다음 PowerShell 스크립트를 다운로드합니다. 그런 다음 예를 들어 화면에 메시지를 인쇄하는 무해한 PS를 로드했습니다. 그러나 시대가 변하고 있으므로 이제 시나리오를 복잡하게 만들 것을 제안합니다.

PowerShell Empire 및 리버스 셸

이 연습의 목표 중 하나는 해커가 기존 경계 방어 및 바이러스 백신을 얼마나 (상대적으로) 쉽게 우회할 수 있는지 보여주는 것입니다. 나처럼 프로그래밍 기술이 없는 IT 블로거가 며칠 저녁 안에 할 수 있다면 감지할 수 없는 악성코드 생성 (완전히 감지되지 않음, FUD), 이에 관심이 있는 젊은 해커의 능력을 상상해 보십시오!

귀하가 IT 보안 제공자이지만 귀하의 관리자가 이러한 위협으로 인해 발생할 수 있는 결과를 인식하지 못하는 경우 이 문서를 보여주십시오.

해커는 피해자의 노트북이나 서버에 직접 접근하는 것을 꿈꿉니다. 이는 매우 간단합니다. 해커가 해야 할 일은 CEO의 노트북에 몇 가지 기밀 파일을 가져오는 것뿐입니다.

왠지 난 이미 내가 쓴 PowerShell Empire 후반 작업 런타임에 대해 알아보세요. 그것이 무엇인지 기억합시다.

이는 본질적으로 다양한 기능 중에서 역방향 셸을 쉽게 실행할 수 있게 해주는 PowerShell 기반 침투 테스트 도구입니다. 에서 더 자세히 공부할 수 있습니다. PSE 홈 사이트.

약간의 실험을 해보자. Amazon Web Services 클라우드에 안전한 맬웨어 테스트 환경을 설정했습니다. 내 예를 따르면 이 취약점의 실제 예를 빠르고 안전하게 보여줄 수 있습니다(그리고 기업 경계 내에서 바이러스를 실행해도 해고되지 않습니다).

PowerShell Empire 콘솔을 시작하면 다음과 같은 내용이 표시됩니다.

먼저 해커 컴퓨터에서 리스너 프로세스를 시작합니다. "listener" 명령을 입력하고 "set Host"를 사용하여 시스템의 IP 주소를 지정합니다. 그런 다음 "execute" 명령(아래)을 사용하여 리스너 프로세스를 시작합니다. 따라서 사용자는 원격 셸에서 네트워크 연결을 기다리기 시작합니다.

다른 쪽에서는 "런처" 명령을 입력하여 에이전트 코드를 생성해야 합니다(아래 참조). 그러면 원격 에이전트에 대한 PowerShell 코드가 생성됩니다. 이는 Base64로 인코딩되며 페이로드의 두 번째 단계를 나타냅니다. 즉, 내 JavaScript 코드는 이제 텍스트를 화면에 무해하게 인쇄하는 대신 PowerShell을 실행하기 위해 이 에이전트를 끌어오고 원격 PSE 서버에 연결하여 역방향 셸을 실행합니다.

리버스 쉘의 마법. 이 코딩된 PowerShell 명령은 내 수신기에 연결하고 원격 셸을 시작합니다.

이 실험을 보여드리기 위해 저는 무고한 피해자의 역할을 맡아 Evil.doc를 열어 JavaScript를 실행했습니다. 첫 번째 부분을 기억하시나요? PowerShell은 창이 팝업되지 않도록 구성되었으므로 피해자는 이상한 점을 눈치채지 못할 것입니다. 그러나 Windows 작업 관리자를 열면 어쨌든 대부분의 사람들에게 아무런 경고도 발생하지 않는 배경 PowerShell 프로세스가 표시됩니다. 그냥 일반 PowerShell이기 때문이겠죠?

이제 Evil.doc를 실행하면 숨겨진 백그라운드 프로세스가 PowerShell Empire를 실행하는 서버에 연결됩니다. 흰색 펜테스터 해커 모자를 쓰고 PowerShell Empire 콘솔로 돌아왔더니 이제 원격 에이전트가 활성 상태라는 메시지가 표시됩니다.

그런 다음 "interact" 명령을 입력하여 PSE에서 쉘을 열었습니다. 그리고 거기에 있었습니다! 한마디로 제가 한번 직접 설정한 타코 서버를 해킹한 것입니다.

방금 시연한 내용은 여러분의 노력이 그렇게 많이 필요하지 않습니다. 정보 보안 지식을 향상시키기 위해 점심 시간 동안 이 모든 작업을 한두 시간 동안 쉽게 수행할 수 있습니다. 또한 해커가 외부 보안 경계를 우회하여 시스템 내부로 침입하는 방법을 이해하는 좋은 방법이기도 합니다.

모든 침입에 대해 뚫을 수 없는 방어 수단을 구축했다고 생각하는 IT 관리자는 아마도 그것이 교육적이라고 생각할 것입니다. 즉, 충분히 오랫동안 함께 앉아 있도록 설득할 수 있다면 말입니다.

현실로 돌아가자

예상했던 대로 일반 사용자에게는 보이지 않는 실제 해킹은 방금 설명한 내용의 변형일 뿐입니다. 다음 출판을 위한 자료를 수집하기 위해 제가 발명한 예제와 동일한 방식으로 작동하는 HA에 대한 샘플을 찾기 시작했습니다. 그리고 오랫동안 찾을 필요가 없었습니다. 사이트에는 유사한 공격 기술에 대한 많은 옵션이 있습니다.

결국 HA에서 발견한 악성코드는 Word 문서에 포함된 VBA 스크립트였습니다. 즉, doc 확장자를 위조할 필요조차 없습니다. 이 악성코드는 실제로는 정상적으로 보이는 Microsoft Word 문서입니다. 관심이 있으시면 다음 샘플을 선택해 보세요. rfq.doc.

문서에서 악성 VBA 스크립트를 직접 가져올 수 없는 경우가 많다는 사실을 금방 알게 되었습니다. 해커는 Word에 내장된 매크로 도구에 표시되지 않도록 압축하고 숨깁니다. 제거하려면 특별한 도구가 필요합니다. 다행히 스캐너를 발견했어요 오피스말스캐너 프랭크 볼드윈. 고마워요, 프랭크.

이 도구를 사용하여 매우 난독화된 VBA 코드를 추출할 수 있었습니다. 그것은 다음과 같이 보였습니다:

난독화는 해당 분야의 전문가에 의해 수행되었습니다. 나는 감명 받았다!

공격자는 Evil.doc를 만들 때의 노력과는 달리 코드를 난독화하는 데 정말 능숙합니다. 좋습니다. 다음 부분에서는 VBA 디버거를 사용하여 이 코드를 좀 더 자세히 살펴보고 분석 결과를 HA 결과와 비교해 보겠습니다.

출처 : habr.com