파악하기 어려운 악성 코드의 모험, XNUMX부: DDE 및 Word 문서 필드

이 문서는 파일리스 악성 코드 시리즈의 일부입니다. 시리즈의 다른 모든 부분:

• 포착하기 어려운 악성코드의 모험 XNUMX부
• 파악하기 어려운 악성 코드의 모험, XNUMX부: 비밀스러운 VBA 스크립트
• 파악하기 어려운 악성 코드의 모험, XNUMX부: 웃음과 이익을 위한 복잡한 VBA 스크립트
• 파악하기 어려운 악성 코드의 모험, XNUMX부: DDE 및 Word 문서 필드(현재 위치)

이 기사에서는 시스템에 고정하는 훨씬 더 복잡한 다단계 파일리스 공격 시나리오를 살펴보겠습니다. 그런데 놀라울 정도로 간단하고 코드가 필요 없는 공격을 발견했습니다. 즉, Word나 Excel 매크로가 필요하지 않습니다! 그리고 이는 이 일련의 기사에 기초한 나의 원래 가설을 훨씬 더 효과적으로 증명합니다. 모든 조직의 외부 경계를 무너뜨리는 것은 전혀 어려운 작업이 아닙니다.

제가 설명할 첫 번째 공격은 다음을 기반으로 하는 Microsoft Word 취약점을 악용합니다. 시대에 뒤쳐진 동적 데이터 교환 프로토콜 (DDE). 그녀는 이미 결정된. 두 번째는 Microsoft COM 및 개체 전송 기능의 보다 일반적인 취약점을 악용합니다.

DDE와 함께 미래로 돌아가세요

DDE를 기억하는 사람이 있나요? 아마도 많지 않을 것입니다. 그것은 첫 번째 중 하나였습니다 애플리케이션과 장치가 데이터를 전송할 수 있게 해주는 프로세스 간 통신 프로토콜.

나 자신도 통신장비를 점검하고 테스트해 본 적이 있어서 조금 익숙하다. 예를 들어 그 당시 DDE는 콜센터 운영자가 발신자 ID를 CRM 애플리케이션으로 전송하여 궁극적으로 고객 카드를 열 수 있도록 허용했습니다. 이렇게 하려면 휴대폰과 컴퓨터를 RS-232 케이블로 연결해야 했습니다. 옛날이 좋았지!

알고 보니 Microsoft Word는 여전히 поддерживает DDE.

코드 없이 이 공격을 효과적으로 만드는 이유는 DDE 프로토콜에 액세스할 수 있다는 것입니다. 직접 Word 문서의 자동 필드에서(SensePost는 연구 및 출판물 그것에 대해).

필드 코드 문서에 동적 텍스트와 약간의 프로그래밍을 추가할 수 있는 또 다른 고대 MS Word 기능입니다. 가장 확실한 예는 {PAGE *MERGEFORMAT} 값을 사용하여 바닥글에 삽입할 수 있는 페이지 번호 필드입니다. 이렇게 하면 페이지 번호가 자동으로 생성될 수 있습니다.

힌트: 삽입 아래에서 필드 메뉴 항목을 찾을 수 있습니다.

Word에서 이 기능을 처음 발견했을 때 놀랐던 기억이 납니다. 패치로 인해 비활성화될 때까지 Word는 여전히 DDE 필드 옵션을 지원했습니다. 아이디어는 DDE가 Word가 응용 프로그램과 직접 통신할 수 있도록 하여 프로그램의 출력을 문서로 전달할 수 있다는 것이었습니다. 그 당시에는 외부 응용 프로그램과의 데이터 교환을 지원하는 매우 새로운 기술이었습니다. 나중에 COM 기술로 개발되었으며 이에 대해서도 아래에서 살펴보겠습니다.

결국 해커는 이 DDE 응용 프로그램이 PowerShell을 실행하는 명령 셸일 수 있으며 거기에서 해커가 원하는 것은 무엇이든 할 수 있다는 것을 깨달았습니다.
아래 스크린샷은 이 스텔스 기술을 어떻게 사용했는지 보여줍니다. DDE 필드의 작은 PowerShell 스크립트(이하 PS라고 함)는 공격의 두 번째 단계를 시작하는 또 다른 PS 스크립트를 로드합니다.

내장된 DDEAUTO 필드가 비밀리에 쉘을 시작하려고 한다는 팝업 경고를 제공한 Windows에게 감사드립니다.

취약점을 악용하는 기본 방법은 스크립트를 자동으로 실행하는 DDEAUTO 필드가 있는 변형을 사용하는 것입니다. 열 때 워드 문서.
이에 대해 우리가 무엇을 할 수 있는지 생각해 봅시다.

예를 들어 초보 해커라면 연방세청 소속인 것처럼 가장하여 피싱 이메일을 보내고 첫 번째 단계(기본적으로 드로퍼)의 PS 스크립트에 DDEAUTO 필드를 삽입할 수 있습니다. 그리고 제가 했던 것처럼 매크로 등의 실제 코딩을 할 필요도 없습니다. 이전 기사.
피해자가 문서를 열고 포함된 스크립트가 활성화되면 해커가 컴퓨터 내부로 들어갑니다. 내 경우에는 원격 PS 스크립트가 메시지만 인쇄하지만 원격 셸 액세스를 제공하는 PS Empire 클라이언트를 쉽게 시작할 수도 있습니다.
그리고 피해자가 무슨 말을 하기도 전에 해커들은 마을에서 가장 부유한 십대 청소년임이 밝혀질 것입니다.

쉘은 약간의 코딩도 없이 실행되었습니다. 심지어 어린이도 이것을 할 수 있습니다!

DDE 및 필드

Microsoft는 나중에 Word에서 DDE를 비활성화했지만 회사에서 이 기능이 단순히 오용되었다고 밝히기 전에는 그렇지 않았습니다. 그들이 아무것도 바꾸지 않으려는 것은 이해할 수 있습니다. 내 경험상 문서를 열 때 필드 업데이트는 활성화되었지만 IT에서 Word 매크로는 비활성화했지만 알림은 표시하는 예를 직접 본 적이 있습니다. 그런데 Word 설정 섹션에서 해당 설정을 찾을 수 있습니다.

그러나 필드 업데이트가 활성화된 경우에도 Microsoft Word에서는 위의 DDE와 마찬가지로 필드에서 삭제된 데이터에 대한 액세스를 요청할 때 사용자에게 추가로 알립니다. Microsoft는 정말로 경고하고 있습니다.

그러나 대부분의 경우 사용자는 이 경고를 무시하고 Word에서 필드 업데이트를 활성화합니다. 이는 위험한 DDE 기능을 비활성화한 Microsoft에 대해 감사를 표할 수 있는 드문 기회 중 하나입니다.

현재 패치가 적용되지 않은 Windows 시스템을 찾는 것이 얼마나 어렵습니까?

이 테스트에서는 AWS Workspaces를 사용하여 가상 데스크톱에 액세스했습니다. 이런 식으로 DDEAUTO 필드를 삽입할 수 있는 패치되지 않은 MS Office 가상 머신을 얻었습니다. 비슷한 방식으로 필요한 보안 패치를 아직 설치하지 않은 다른 회사를 찾을 수 있다는 것은 의심의 여지가 없습니다.

사물의 신비

이 패치를 설치했더라도 MS Office에는 해커가 Word에서 했던 것과 매우 유사한 작업을 수행할 수 있는 다른 보안 허점이 있습니다. 다음 시나리오에서 우리는 배울 것입니다 코드를 작성하지 않고도 Excel을 피싱 공격의 미끼로 사용할 수 있습니다.

이 시나리오를 이해하기 위해 Microsoft 구성 요소 개체 모델을 기억해 보겠습니다. COM(구성 요소 개체 모델).

COM은 1990년대부터 존재해 왔으며 RPC 원격 프로시저 호출을 기반으로 하는 "언어 중립적, 객체 지향 구성 요소 모델"로 정의됩니다. COM 용어에 대한 일반적인 이해를 보려면 다음을 읽어보세요. 이 게시물 StackOverflow에서.

기본적으로 COM 응용 프로그램은 Excel이나 Word 실행 파일 또는 실행되는 다른 바이너리 파일로 생각할 수 있습니다.

COM 응용 프로그램도 실행할 수 있는 것으로 나타났습니다. 대본 — JavaScript 또는 VBScript. 기술적으로는 스크립틀릿. Windows에서 파일의 .sct 확장자를 본 적이 있을 것입니다. 이는 스크립틀릿의 공식 확장자입니다. 기본적으로 이는 XML 래퍼로 래핑된 스크립트 코드입니다.

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

해커와 침투 테스터는 Windows에 COM 개체와 이에 따른 스크립틀릿도 허용하는 별도의 유틸리티와 응용 프로그램이 있다는 사실을 발견했습니다.

VBS로 작성된 pubprn이라는 Windows 유틸리티에 스크립틀릿을 전달할 수 있습니다. C:Windowssystem32Printing_Admin_Scripts 깊이에 있습니다. 그런데 개체를 매개변수로 받아들이는 다른 Windows 유틸리티도 있습니다. 먼저 이 예를 살펴보겠습니다.

인쇄 스크립트에서도 쉘이 시작될 수 있다는 것은 매우 자연스러운 일입니다. 마이크로소프트로 가세요!

테스트를 위해 쉘을 실행하고 "You've just been scripted!"라는 재미있는 메시지를 인쇄하는 간단한 원격 스크립틀릿을 만들었습니다. 기본적으로 pubprn은 스크립틀릿 개체를 인스턴스화하여 VBScript 코드가 래퍼를 실행할 수 있도록 합니다. 이 방법은 시스템에 몰래 들어가 숨고 싶어하는 해커에게 확실한 이점을 제공합니다.

다음 게시물에서는 해커가 Excel 스프레드시트를 사용하여 COM 스크립틀릿을 어떻게 악용할 수 있는지 설명하겠습니다.

숙제를 위해 살펴보세요 이 비디오 해커가 스크립틀릿을 어떻게 사용했는지 정확하게 설명하는 Derbycon 2016에서 발췌. 그리고 또한 읽어보세요 이 문서 스크립틀릿과 어떤 종류의 별명에 대해.

출처 : habr.com