ການຜະຈົນໄພຂອງ Malware ທີ່ຫຼົງໄຫຼ, ພາກທີ II: ສະຄຣິບ VBA ທີ່ເປັນຄວາມລັບ

ບົດຄວາມນີ້ແມ່ນສ່ວນຫນຶ່ງຂອງຊຸດ Malware Fileless. ພາກສ່ວນອື່ນໆທັງໝົດຂອງຊຸດ:

• ການຜະຈົນໄພຂອງ Malware Elusive, ພາກທີ I
• ການຜະຈົນໄພຂອງ Malware ທີ່ຫຼົງໄຫຼ, ພາກທີ II: Scripts VBA ທີ່ເຊື່ອງໄວ້ (ພວກເຮົາຢູ່ທີ່ນີ້)

ຂ້ອຍເປັນແຟນຂອງເວັບໄຊ ການວິເຄາະປະສົມ (ການວິເຄາະປະສົມ, ຕໍ່ຈາກນີ້ HA). ນີ້ແມ່ນປະເພດຂອງ malware zoo ທີ່ທ່ານສາມາດສັງເກດເຫັນ "ຜູ້ລ້າ" ປ່າທໍາມະຊາດໄດ້ຢ່າງປອດໄພຈາກໄລຍະທາງທີ່ປອດໄພໂດຍບໍ່ມີການຖືກໂຈມຕີ. HA ແລ່ນມາລແວໃນສະພາບແວດລ້ອມທີ່ປອດໄພ, ບັນທຶກການໂທຂອງລະບົບ, ໄຟລ໌ທີ່ສ້າງຂຶ້ນ ແລະການຈະລາຈອນທາງອິນເຕີເນັດ, ແລະໃຫ້ຜົນໄດ້ຮັບທັງໝົດເຫຼົ່ານີ້ສຳລັບແຕ່ລະຕົວຢ່າງທີ່ມັນວິເຄາະ. ດ້ວຍວິທີນີ້, ທ່ານບໍ່ ຈຳ ເປັນຕ້ອງເສຍເວລາແລະພະລັງງານໃນການພະຍາຍາມຫາລະຫັດທີ່ສັບສົນຕົວເອງ, ແຕ່ສາມາດເຂົ້າໃຈຄວາມຕັ້ງໃຈຂອງແຮກເກີທັງ ໝົດ ທັນທີ.

ຕົວຢ່າງ HA ທີ່ຈັບຄວາມສົນໃຈຂອງຂ້ອຍໄດ້ໃຊ້ລະຫັດ JavaScript ຫຼື Visual Basic for Applications (VBA) scripts ທີ່ຖືກຝັງເປັນ macros ໃນເອກະສານ Word ຫຼື Excel ແລະຕິດກັບ email phishing. ເມື່ອເປີດ, ແມໂຄເຫຼົ່ານີ້ຈະເລີ່ມເຊດຊັນ PowerShell ໃນຄອມພິວເຕີຂອງຜູ້ເຄາະຮ້າຍ. ໂດຍປົກກະຕິແລ້ວ ແຮກເກີຈະສົ່ງຄຳສັ່ງທີ່ເຂົ້າລະຫັດ Base64 ໄປໃຫ້ PowerShell. ນີ້ແມ່ນເຮັດທັງຫມົດເພື່ອເຮັດໃຫ້ການໂຈມຕີຍາກທີ່ຈະກວດພົບໂດຍຕົວກອງເວັບແລະຊອບແວ antivirus ທີ່ຕອບສະຫນອງກັບຄໍາທີ່ແນ່ນອນ.
ໂຊກດີ, HA ອັດຕະໂນມັດຖອດລະຫັດ Base64 ແລະສະແດງທຸກຢ່າງໃນຮູບແບບທີ່ສາມາດອ່ານໄດ້ທັນທີ. ໂດຍພື້ນຖານແລ້ວ, ທ່ານບໍ່ຈໍາເປັນຕ້ອງສຸມໃສ່ວິທີການ scripts ເຫຼົ່ານີ້ເຮັດວຽກເພາະວ່າທ່ານຈະສາມາດເຫັນຜົນໄດ້ຮັບຄໍາສັ່ງຢ່າງເຕັມທີ່ສໍາລັບຂະບວນການແລ່ນຢູ່ໃນພາກສ່ວນທີ່ສອດຄ້ອງກັນຂອງ HA. ເບິ່ງຕົວຢ່າງຂ້າງລຸ່ມນີ້:

ການວິເຄາະແບບປະສົມຂັດຂວາງຄໍາສັ່ງເຂົ້າລະຫັດ Base64 ທີ່ຖືກສົ່ງໄປຫາ PowerShell:

...ແລະຫຼັງຈາກນັ້ນຖອດລະຫັດພວກມັນໃຫ້ທ່ານ. #ຢ່າງມະຫັດສະຈັນ

В ຕອບຜ່ານມາ ຂ້ອຍສ້າງຕົວບັນຈຸ JavaScript ທີ່ສັບສົນເລັກນ້ອຍຂອງຕົນເອງເພື່ອແລ່ນເຊສຊັນ PowerShell. ສະຄຣິບຂອງຂ້ອຍ, ຄືກັບ malware ທີ່ໃຊ້ PowerShell ຫຼາຍອັນ, ຈາກນັ້ນດາວໂຫລດສະຄຣິບ PowerShell ຕໍ່ໄປນີ້ຈາກເວັບໄຊທ໌ທາງໄກ. ຫຼັງຈາກນັ້ນ, ເປັນຕົວຢ່າງ, ຂ້າພະເຈົ້າໄດ້ໂຫລດ PS ທີ່ບໍ່ເປັນອັນຕະລາຍທີ່ພິມຂໍ້ຄວາມໃນຫນ້າຈໍ. ແຕ່ເວລາມີການປ່ຽນແປງ, ແລະຕອນນີ້ຂ້ອຍສະເຫນີໃຫ້ສະຖານະການສັບສົນ.

PowerShell Empire ແລະ Reverse Shell

ຫນຶ່ງໃນເປົ້າຫມາຍຂອງການອອກກໍາລັງກາຍນີ້ແມ່ນເພື່ອສະແດງໃຫ້ເຫັນວິທີການ (ຂ້ອນຂ້າງ) ໄດ້ຢ່າງງ່າຍດາຍທີ່ແຮກເກີສາມາດ bypass ການປ້ອງກັນ perimeter ຄລາສສິກແລະ antiviruses. ຖ້າ blogger IT ທີ່ບໍ່ມີທັກສະການຂຽນໂປລແກລມ, ເຊັ່ນຂ້ອຍ, ສາມາດເຮັດໄດ້ໃນສອງສາມຕອນແລງ ສ້າງ malware undetectable (ເຕັມທີ່ undetected, FUD), ຈິນຕະນາການຄວາມສາມາດຂອງແຮກເກີໄວຫນຸ່ມມີຄວາມສົນໃຈໃນນີ້!

ແລະຖ້າທ່ານເປັນຜູ້ໃຫ້ບໍລິການດ້ານຄວາມປອດໄພດ້ານໄອທີ, ແຕ່ຜູ້ຈັດການຂອງທ່ານບໍ່ຮູ້ເຖິງຜົນສະທ້ອນທີ່ເປັນໄປໄດ້ຂອງໄພຂົ່ມຂູ່ເຫຼົ່ານີ້, ພຽງແຕ່ສະແດງໃຫ້ລາວໃນບົດຄວາມນີ້.

ແຮກເກີຝັນຢາກເຂົ້າເຖິງແລັບທັອບ ຫຼືເຊີບເວີຂອງຜູ້ເຄາະຮ້າຍໂດຍກົງ. ນີ້ແມ່ນງ່າຍດາຍຫຼາຍທີ່ຈະເຮັດ: ທັງຫມົດທີ່ແຮກເກີຕ້ອງເຮັດແມ່ນໄດ້ຮັບໄຟລ໌ລັບຈໍານວນຫນ້ອຍຢູ່ໃນຄອມພິວເຕີ້ຂອງ CEO.

somehow ຂ້າ​ພະ​ເຈົ້າ​ແລ້ວ wrote ກ່ຽວກັບເວລາແລ່ນຫຼັງການຜະລິດ PowerShell Empire. ຂໍໃຫ້ຈື່ຈໍາວ່າມັນແມ່ນຫຍັງ.

ມັນເປັນສິ່ງຈໍາເປັນເປັນເຄື່ອງມືການທົດສອບການເຈາະຜ່ານ PowerShell ທີ່, ໃນບັນດາລັກສະນະອື່ນໆ, ອະນຸຍາດໃຫ້ທ່ານສາມາດດໍາເນີນການ shell ກັບຄືນໄດ້ຢ່າງງ່າຍດາຍ. ທ່ານສາມາດສຶກສາລາຍລະອຽດເພີ່ມເຕີມໄດ້ທີ່ PSE ບ້ານ.

ໃຫ້ເຮັດການທົດລອງເລັກນ້ອຍ. ຂ້ອຍຕັ້ງສະພາບແວດລ້ອມການທົດສອບ malware ທີ່ປອດໄພໃນ Amazon Web Services cloud. ທ່ານສາມາດປະຕິບັດຕາມຕົວຢ່າງຂອງຂ້ອຍເພື່ອສະແດງຕົວຢ່າງການເຮັດວຽກຂອງຊ່ອງໂຫວ່ໄວແລະຢ່າງປອດໄພ (ແລະບໍ່ຖືກໄລ່ອອກສໍາລັບການແລ່ນໄວຣັສພາຍໃນຂອບເຂດວິສາຫະກິດ).

ຖ້າທ່ານເປີດ PowerShell Empire console, ທ່ານຈະເຫັນບາງສິ່ງບາງຢ່າງເຊັ່ນນີ້:

ທໍາອິດທ່ານເລີ່ມຕົ້ນຂະບວນການຟັງຢູ່ໃນຄອມພິວເຕີແຮກເກີຂອງທ່ານ. ໃສ່ຄໍາສັ່ງ "ຜູ້ຟັງ", ແລະລະບຸທີ່ຢູ່ IP ຂອງລະບົບຂອງທ່ານໂດຍໃຊ້ "set Host". ຫຼັງຈາກນັ້ນ, ເລີ່ມຕົ້ນຂະບວນການຟັງດ້ວຍຄໍາສັ່ງ "ປະຕິບັດ" (ຂ້າງລຸ່ມນີ້). ດັ່ງນັ້ນ, ໃນສ່ວນຂອງທ່ານ, ທ່ານຈະເລີ່ມຕົ້ນລໍຖ້າການເຊື່ອມຕໍ່ເຄືອຂ່າຍຈາກ shell ຫ່າງໄກສອກຫຼີກ:

ສໍາລັບອີກດ້ານຫນຶ່ງ, ທ່ານຈະຕ້ອງສ້າງລະຫັດຕົວແທນໂດຍການໃສ່ຄໍາສັ່ງ "launcher" (ເບິ່ງຂ້າງລຸ່ມນີ້). ນີ້ຈະສ້າງລະຫັດ PowerShell ສໍາລັບຕົວແທນທາງໄກ. ໃຫ້ສັງເກດວ່າມັນຖືກເຂົ້າລະຫັດໃນ Base64, ແລະເປັນຕົວແທນຂອງໄລຍະທີສອງຂອງ payload. ໃນຄໍາສັບຕ່າງໆອື່ນໆ, ລະຫັດ JavaScript ຂອງຂ້ອຍຕອນນີ້ຈະດຶງຕົວແທນນີ້ເພື່ອດໍາເນີນການ PowerShell ແທນທີ່ຈະພິມຂໍ້ຄວາມໃສ່ຫນ້າຈໍ, ແລະເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍ PSE ຫ່າງໄກສອກຫຼີກຂອງພວກເຮົາເພື່ອດໍາເນີນການ shell ປີ້ນກັບກັນ.

magic ຂອງແກະປີ້ນກັບກັນ. ຄຳສັ່ງ PowerShell ທີ່ມີລະຫັດນີ້ຈະເຊື່ອມຕໍ່ກັບຜູ້ຟັງຂອງຂ້ອຍ ແລະເປີດຣີໂໝດ shell.

ເພື່ອສະແດງໃຫ້ທ່ານເຫັນການທົດລອງນີ້, ຂ້າພະເຈົ້າໄດ້ເອົາບົດບາດຂອງຜູ້ເຄາະຮ້າຍທີ່ບໍລິສຸດແລະເປີດ Evil.doc, ດັ່ງນັ້ນຈຶ່ງເປີດຕົວ JavaScript ຂອງພວກເຮົາ. ຈື່ພາກທໍາອິດບໍ? PowerShell ໄດ້​ຖືກ​ຕັ້ງ​ຄ່າ​ເພື່ອ​ປ້ອງ​ກັນ​ບໍ່​ໃຫ້​ປ່ອງ​ຢ້ຽມ​ຂອງ​ຕົນ​ບໍ່​ຂຶ້ນ​, ດັ່ງ​ນັ້ນ​ຜູ້​ເຄາະ​ຮ້າຍ​ຈະ​ບໍ່​ໄດ້​ສັງ​ເກດ​ເຫັນ​ສິ່ງ​ທີ່​ຜິດ​ປົກ​ກະ​ຕິ​. ຢ່າງໃດກໍຕາມ, ຖ້າທ່ານເປີດ Windows Task Manager, ທ່ານຈະເຫັນຂະບວນການ PowerShell ພື້ນຫລັງທີ່ຈະບໍ່ເຮັດໃຫ້ເກີດການເຕືອນໄພຕໍ່ຄົນສ່ວນໃຫຍ່. ເນື່ອງຈາກວ່າມັນເປັນພຽງແຕ່ PowerShell ປົກກະຕິ, ບໍ່ແມ່ນບໍ?

ຕອນນີ້ເມື່ອທ່ານເປີດໃຊ້ Evil.doc, ຂະບວນການພື້ນຫຼັງທີ່ເຊື່ອງໄວ້ຈະເຊື່ອມຕໍ່ກັບເຊີບເວີທີ່ໃຊ້ PowerShell Empire. ການໃສ່ຫມວກແຮັກເກີ pentester ສີຂາວຂອງຂ້ອຍ, ຂ້ອຍກັບຄືນໄປຫາ PowerShell Empire console ແລະຕອນນີ້ເຫັນຂໍ້ຄວາມວ່າຕົວແທນທາງໄກຂອງຂ້ອຍເຮັດວຽກຢູ່.

ຫຼັງຈາກນັ້ນ, ຂ້າພະເຈົ້າໄດ້ເຂົ້າໄປໃນຄໍາສັ່ງ "ໂຕ້ຕອບ" ເພື່ອເປີດ shell ໃນ PSE - ແລະຂ້ອຍຢູ່ທີ່ນັ້ນ! ໃນສັ້ນ, ຂ້າພະເຈົ້າໄດ້ hack ເຄື່ອງແມ່ຂ່າຍຂອງ Taco ທີ່ຂ້ອຍຕັ້ງຕົວເອງຄັ້ງດຽວ.

ສິ່ງ​ທີ່​ຂ້າ​ພະ​ເຈົ້າ​ພຽງ​ແຕ່​ສະ​ແດງ​ໃຫ້​ເຫັນ​ບໍ່​ໄດ້​ຮຽກ​ຮ້ອງ​ໃຫ້​ມີ​ການ​ເຮັດ​ວຽກ​ຫຼາຍ​ໃນ​ສ່ວນ​ຂອງ​ທ່ານ. ທ່ານສາມາດເຮັດສິ່ງທັງຫມົດນີ້ໄດ້ຢ່າງງ່າຍດາຍໃນລະຫວ່າງການພັກຜ່ອນອາຫານທ່ຽງຂອງທ່ານສໍາລັບຫນຶ່ງຫຼືສອງຊົ່ວໂມງເພື່ອປັບປຸງຄວາມຮູ້ຄວາມປອດໄພຂໍ້ມູນຂອງທ່ານ. ມັນຍັງເປັນວິທີທີ່ດີທີ່ຈະເຂົ້າໃຈວິທີທີ່ແຮກເກີຂ້າມຜ່ານບໍລິເວນຄວາມປອດໄພພາຍນອກຂອງເຈົ້າ ແລະເຂົ້າໄປຢູ່ໃນລະບົບຂອງເຈົ້າ.

ຜູ້ຈັດການດ້ານໄອທີທີ່ຄິດວ່າພວກເຂົາໄດ້ສ້າງການປ້ອງກັນທີ່ບໍ່ສາມາດຕ້ານທານກັບການຮຸກຮານໃດໆກໍ່ອາດຈະພົບວ່າມັນມີການສຶກສາ - ນັ້ນແມ່ນ, ຖ້າທ່ານສາມາດຊັກຊວນໃຫ້ພວກເຂົານັ່ງຢູ່ກັບທ່ານດົນພໍ.

ໃຫ້ກັບຄືນສູ່ຄວາມເປັນຈິງ

ດັ່ງທີ່ຂ້າພະເຈົ້າຄາດຫວັງ, ການ hack ທີ່ແທ້ຈິງ, ເບິ່ງເຫັນກັບຜູ້ໃຊ້ສະເລ່ຍ, ແມ່ນພຽງແຕ່ການປ່ຽນແປງຂອງສິ່ງທີ່ຂ້າພະເຈົ້າພຽງແຕ່ອະທິບາຍ. ເພື່ອເກັບກໍາເອກະສານສໍາລັບການພິມຕໍ່ໄປ, ຂ້າພະເຈົ້າໄດ້ເລີ່ມຕົ້ນຊອກຫາຕົວຢ່າງກ່ຽວກັບ HA ທີ່ເຮັດວຽກໃນລັກສະນະດຽວກັນກັບຕົວຢ່າງທີ່ຄິດຄົ້ນຂອງຂ້ອຍ. ແລະຂ້ອຍບໍ່ຈໍາເປັນຕ້ອງຊອກຫາມັນດົນ - ມີຫລາຍທາງເລືອກສໍາລັບເຕັກນິກການໂຈມຕີທີ່ຄ້າຍຄືກັນຢູ່ໃນເວັບໄຊທ໌.

malware ທີ່ຂ້າພະເຈົ້າໄດ້ພົບເຫັນໃນທີ່ສຸດຢູ່ໃນ HA ແມ່ນສະຄິບ VBA ທີ່ຖືກຝັງຢູ່ໃນເອກະສານ Word. ນັ້ນແມ່ນ, ຂ້ອຍບໍ່ຈໍາເປັນຕ້ອງປອມຕົວຂະຫຍາຍ doc, malware ນີ້ແມ່ນເປັນເອກະສານ Microsoft Word ປົກກະຕິ. ຖ້າຫາກວ່າທ່ານມີຄວາມສົນໃຈ, ຂ້າພະເຈົ້າໄດ້ເລືອກເອົາຕົວຢ່າງນີ້ເອີ້ນວ່າ rfq.doc.

ຂ້ອຍໄດ້ຮຽນຮູ້ຢ່າງໄວວາວ່າເຈົ້າບໍ່ສາມາດດຶງຕົວສະຄຣິບ VBA ທີ່ເປັນອັນຕະລາຍໂດຍກົງອອກຈາກເອກະສານໄດ້. ແຮກເກີບີບອັດແລະເຊື່ອງພວກມັນເພື່ອບໍ່ໃຫ້ພວກມັນເຫັນໄດ້ໃນເຄື່ອງມືມະຫາພາກຂອງ Word. ທ່ານຈະຕ້ອງການເຄື່ອງມືພິເສດເພື່ອເອົາມັນອອກ. ໂຊກດີທີ່ຂ້ອຍພົບເຄື່ອງສະແກນ OfficeMalScanner Frank Baldwin. ຂອບໃຈ, Frank.

ການນໍາໃຊ້ເຄື່ອງມືນີ້, ຂ້ອຍສາມາດດຶງລະຫັດ VBA ທີ່ສັບສົນຫຼາຍ. ມັນເບິ່ງຄືແນວນີ້:

obfuscation ໄດ້ເຮັດໂດຍຜູ້ຊ່ຽວຊານໃນພາກສະຫນາມຂອງເຂົາເຈົ້າ. ຂ້ອຍປະທັບໃຈ!

ຜູ້ໂຈມຕີແມ່ນເກັ່ງແທ້ໆໃນການຂຽນລະຫັດທີ່ສັບສົນ, ບໍ່ຄືກັບຄວາມພະຍາຍາມຂອງຂ້ອຍໃນການສ້າງ Evil.doc. ຕົກລົງ, ໃນສ່ວນຕໍ່ໄປພວກເຮົາຈະເອົາຕົວດີບັກ VBA ຂອງພວກເຮົາອອກ, ເລິກລົງເລັກນ້ອຍໃນລະຫັດນີ້ແລະປຽບທຽບການວິເຄາະຂອງພວກເຮົາກັບຜົນໄດ້ຮັບ HA.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com