파악하기 어려운 악성 코드의 모험, XNUMX부: 더 많은 DDE 및 COM 스크립트릿

이 문서는 파일리스 악성 코드 시리즈의 일부입니다. 시리즈의 다른 모든 부분:

• 포착하기 어려운 악성코드의 모험 XNUMX부
• 파악하기 어려운 악성 코드의 모험, XNUMX부: 비밀스러운 VBA 스크립트
• 파악하기 어려운 악성 코드의 모험, XNUMX부: 웃음과 이익을 위한 복잡한 VBA 스크립트
• 파악하기 어려운 악성 코드의 모험, XNUMX부: DDE 및 Word 문서 필드
• 파악하기 어려운 악성 코드의 모험, XNUMX부: 더 많은 DDE 및 COM 스크립트릿 (우리는 여기에 있습니다)

이 기사 시리즈에서는 해커 측에서 최소한의 노력이 필요한 공격 방법을 살펴봅니다. 과거에 기사 Microsoft Word의 DDE 자동 필드 페이로드에 코드 자체를 붙여넣는 것이 가능하다는 점을 다루었습니다. 부주의한 사용자가 피싱 이메일에 첨부된 문서를 열면 공격자가 자신의 컴퓨터에 침투할 수 있는 기회를 얻을 수 있습니다. 그러나 2017년 말 마이크로소프트는 닫은 DDE 공격에 대한 허점입니다.
수정 사항은 비활성화하는 레지스트리 항목을 추가합니다. DDE 함수 워드에서. 이 기능이 여전히 필요한 경우 이전 DDE 기능을 활성화하여 이 옵션을 반환할 수 있습니다.

그러나 원래 패치는 Microsoft Word에만 적용되었습니다. 이러한 DDE 취약점이 노코드 공격에도 악용될 수 있는 다른 Microsoft Office 제품에도 존재합니까? 물론이지. 예를 들어 Excel에서도 찾을 수 있습니다.

살아있는 DDE의 밤

나는 지난번에 COM 스크립틀릿에 대한 설명에서 멈췄던 것을 기억합니다. 나는 이 기사의 뒷부분에서 그들에게 접근할 것이라고 약속합니다.

그동안 엑셀 버전에서 DDE의 또 다른 폐단을 살펴보자. Word에서와 마찬가지로 일부 Excel의 DDE 숨겨진 기능 많은 노력 없이도 코드를 실행할 수 있습니다. 저는 자라면서 Word 사용자로서 해당 필드에는 익숙했지만 DDE의 기능에 대해서는 전혀 알지 못했습니다.

Excel에서는 아래와 같이 셀에서 셸을 호출할 수 있다는 사실에 놀랐습니다.

이것이 가능하다는 사실을 알고 계셨나요? 개인적으로는 그렇지 않습니다

Windows 셸을 시작하는 이 기능은 DDE 덕분입니다. 다른 것들도 많이 생각해 볼 수 있어요
Excel에 내장된 DDE 기능을 사용하여 연결할 수 있는 응용 프로그램입니다.
당신도 나와 같은 생각을 하고 있나요?

셀 내 명령으로 PowerShell 세션을 시작한 다음 링크를 다운로드하고 실행합니다. 수신, 우리는 이전에 이미 사용해 본 적이 있습니다. 아래를 참조하세요:

작은 PowerShell을 붙여넣기만 하면 Excel에서 원격 코드를 로드하고 실행할 수 있습니다.

하지만 주의할 점은 이 수식이 Excel에서 작동하려면 셀에 이 데이터를 명시적으로 입력해야 한다는 것입니다. 해커는 어떻게 이 DDE 명령을 원격으로 실행할 수 있습니까? 사실 Excel 테이블이 열려 있으면 Excel은 DDE의 모든 링크를 업데이트하려고 시도합니다. 보안 센터 설정에는 오랫동안 이 기능을 비활성화하거나 외부 데이터 원본에 대한 링크를 업데이트할 때 경고하는 기능이 있었습니다.

최신 패치가 없어도 DDE에서 자동 링크 업데이트를 비활성화할 수 있습니다.

마이크로소프트는 원래 그 자체였어 조언받은 2017년 기업은 Word 및 Excel의 DDE 취약성을 방지하기 위해 자동 링크 업데이트를 비활성화해야 합니다. 2018년 2007월, Microsoft는 기본적으로 DDE를 비활성화하는 Excel 2010, 2013 및 XNUMX용 패치를 출시했습니다. 이것 기사 Computerworld는 패치의 모든 세부 사항을 설명합니다.

그렇다면 이벤트 로그는 어떻습니까?

그럼에도 불구하고 Microsoft는 MS Word 및 Excel에 대한 DDE를 포기했으며 마침내 DDE가 기능보다는 버그에 가깝다는 것을 인식했습니다. 어떤 이유로 이러한 패치를 아직 설치하지 않은 경우에도 자동 링크 업데이트를 비활성화하고 사용자에게 문서 및 스프레드시트를 열 때 링크를 업데이트하라는 메시지를 표시하는 설정을 활성화하여 DDE 공격의 위험을 줄일 수 있습니다.

이제 백만 달러짜리 질문이 있습니다. 이 공격의 피해자인 경우 Word 필드 또는 Excel 셀에서 시작된 PowerShell 세션이 로그에 표시됩니까?

질문: DDE를 통해 시작된 PowerShell 세션이 기록됩니까? 대답: 그렇습니다

매크로가 아닌 Excel 셀에서 직접 PowerShell 세션을 실행하면 Windows에서 이러한 이벤트를 기록합니다(위 참조). 동시에 보안 팀이 PowerShell 세션, Excel 문서 및 이메일 메시지 사이의 모든 점을 연결하고 공격이 시작된 위치를 이해하는 것이 쉬울 것이라고 주장할 수 없습니다. 이 내용은 찾기 어려운 악성 코드에 대한 끝이 없는 시리즈의 마지막 기사에서 다시 다루겠습니다.

우리 COM은 어떤가요?

이전 기사 COM 스크립틀릿에 관한 주제를 다루었습니다. 그들은 그 자체로 편리합니다. 과학 기술를 사용하면 JScript와 같은 코드를 단순히 COM 개체로 전달할 수 있습니다. 그러나 해커들이 스크립틀릿을 발견했고 이를 통해 불필요한 도구를 사용하지 않고도 피해자의 컴퓨터에 침투할 수 있는 발판을 마련할 수 있었습니다. 이것 비디오 Derbycon의에서는 원격 스크립틀릿을 인수로 사용하는 regsrv32 및 rundll32와 같은 기본 제공 Windows 도구를 시연하며 해커는 본질적으로 맬웨어의 도움 없이 공격을 수행합니다. 지난번에 보여드린 것처럼 JScript 스크립틀릿을 사용하여 PowerShell 명령을 쉽게 실행할 수 있습니다.

그 사람은 매우 똑똑하다는 것이 밝혀졌습니다 연구원 COM 스크립틀릿을 실행하는 방법을 찾았습니다. в 엑셀 문서. 그는 문서나 사진에 대한 링크를 셀에 삽입하려고 하면 특정 패키지가 삽입된다는 사실을 발견했습니다. 그리고 이 패키지는 원격 스크립틀릿을 입력으로 조용히 받아들입니다(아래 참조).

팔! COM 스크립틀릿을 사용하여 셸을 시작하는 또 다른 은밀하고 조용한 방법

연구원은 낮은 수준의 코드 검사를 거쳐 그것이 실제로 무엇인지 알아냈습니다. 버그 패키지 소프트웨어에서. COM 스크립틀릿을 실행하기 위한 것이 아니라 파일에 연결하기 위한 것입니다. 이 취약점에 대한 패치가 이미 있는지 확실하지 않습니다. Office 2010이 사전 설치된 Amazon WorkSpaces를 사용한 자체 연구에서 결과를 재현할 수 있었습니다. 그러나 조금 후에 다시 시도해 보았는데 소용이 없었습니다.

저는 여러분에게 흥미로운 것들을 많이 이야기하고 동시에 해커가 비슷한 방식으로 여러분의 회사에 침투할 수 있다는 것을 보여주길 바랍니다. 최신 Microsoft 패치를 모두 설치하더라도 해커는 이 시리즈를 시작한 VBA 매크로부터 Word 또는 Excel의 악성 페이로드에 이르기까지 시스템에 기반을 확보할 수 있는 많은 도구를 여전히 가지고 있습니다.

이 시리즈의 마지막(약속합니다) 기사에서는 스마트 보호를 제공하는 방법에 대해 설명하겠습니다.

출처 : habr.com