ການຜະຈົນໄພຂອງ Malware ທີ່ຫຼົງໄຫຼ, ພາກທີ IV: DDE ແລະ Word Document Fields

ບົດຄວາມນີ້ແມ່ນສ່ວນຫນຶ່ງຂອງຊຸດ Malware Fileless. ພາກສ່ວນອື່ນໆທັງໝົດຂອງຊຸດ:

• ການຜະຈົນໄພຂອງ Malware Elusive, ພາກທີ I
• ການຜະຈົນໄພຂອງ Malware ທີ່ຫຼົງໄຫຼ, ພາກທີ II: ສະຄຣິບ VBA ທີ່ເປັນຄວາມລັບ
• ການຜະຈົນໄພຂອງ Malware ທີ່ຫຼົງໄຫຼ, ພາກທີ III: Tangled VBA Scripts for laughter and Profit
• ການຜະຈົນໄພຂອງ Malware ທີ່ຫຼົງໄຫຼ, ພາກທີ IV: DDE ແລະ Word Document Fields (ພວກເຮົາຢູ່ທີ່ນີ້)

ໃນບົດຄວາມນີ້, ຂ້ອຍຈະເຂົ້າໄປໃນສະຖານະການການໂຈມຕີ fileless ຫຼາຍຂັ້ນຕອນທີ່ສັບສົນຫຼາຍດ້ວຍການປັກໝຸດຢູ່ໃນລະບົບ. ແຕ່ຫຼັງຈາກນັ້ນຂ້າພະເຈົ້າໄດ້ພົບກັບການໂຈມຕີແບບງ່າຍດາຍທີ່ບໍ່ຫນ້າເຊື່ອ, ບໍ່ມີລະຫັດ - ບໍ່ຈໍາເປັນຕ້ອງມີ Macros Word ຫຼື Excel! ແລະນີ້ພິສູດໄດ້ຫຼາຍປະສິດທິຜົນຫຼາຍສົມມຸດຕິຖານຕົ້ນສະບັບຂອງຂ້າພະເຈົ້າທີ່ຕິດພັນກັບຊຸດຂອງບົດຄວາມນີ້: ການທໍາລາຍ perimeter ພາຍນອກຂອງອົງການຈັດຕັ້ງໃດຫນຶ່ງບໍ່ແມ່ນວຽກທີ່ຍາກເລີຍ.

ການໂຈມຕີຄັ້ງທຳອິດຂ້າພະເຈົ້າຈະອະທິບາຍການຂູດຮີດຊ່ອງໂຫວ່ຂອງ Microsoft Word ທີ່ອີງໃສ່ ລ້າສະໄຫມ ໂປຣໂຕຄໍການແລກປ່ຽນຂໍ້ມູນແບບໄດນາມິກ (dde). ນາງໄດ້ແລ້ວ ຄົງທີ່. ອັນທີສອງຂຸດຄົ້ນຊ່ອງໂຫວ່ທົ່ວໄປໃນ Microsoft COM ແລະຄວາມສາມາດໃນການໂອນວັດຖຸ.

ກັບຄືນສູ່ອະນາຄົດກັບ DDE

ມີໃຜຍັງຈື່ DDE? ອາດຈະບໍ່ຫຼາຍ. ມັນແມ່ນຫນຶ່ງໃນຄັ້ງທໍາອິດ ໂປຣໂຕຄອນການສື່ສານລະຫວ່າງຂະບວນການທີ່ອະນຸຍາດໃຫ້ແອັບພລິເຄຊັນ ແລະອຸປະກອນສາມາດໂອນຂໍ້ມູນໄດ້.

ຂ້າ​ພະ​ເຈົ້າ​ເປັນ​ພຽງ​ເລັກ​ນ້ອຍ​ຄຸ້ນ​ເຄີຍ​ກັບ​ຕົນ​ເອງ​ເພາະ​ວ່າ​ຂ້າ​ພະ​ເຈົ້າ​ເຄີຍ​ກວດ​ສອບ​ແລະ​ທົດ​ສອບ​ອຸ​ປະ​ກອນ​ໂທລະ​ຄົມ​. ໃນເວລານັ້ນ, DDE ໄດ້ອະນຸຍາດໃຫ້, ຕົວຢ່າງ, ຜູ້ໃຫ້ບໍລິການສູນໂທຫາເພື່ອໂອນ ID ຜູ້ໂທໄປຫາແອັບພລິເຄຊັນ CRM, ເຊິ່ງໃນທີ່ສຸດກໍ່ເປີດບັດລູກຄ້າ. ເພື່ອເຮັດສິ່ງນີ້, ທ່ານຕ້ອງເຊື່ອມຕໍ່ສາຍ RS-232 ລະຫວ່າງໂທລະສັບຂອງທ່ານແລະຄອມພິວເຕີຂອງທ່ານ. ມື້ນັ້ນເປັນມື້ນັ້ນ!

ຍ້ອນວ່າມັນຫັນອອກ, Microsoft Word ແມ່ນຍັງ ສະຫນັບສະຫນູນ DDE.

ສິ່ງທີ່ເຮັດໃຫ້ການໂຈມຕີນີ້ມີປະສິດທິຜົນໂດຍບໍ່ມີລະຫັດແມ່ນວ່າເຈົ້າສາມາດເຂົ້າເຖິງອະນຸສັນຍາ DDE ໄດ້ ບໍ່ສະບາຍ ຈາກຊ່ອງຂໍ້ມູນອັດຕະໂນມັດໃນເອກະສານ Word (ຫລີກໄປຫາ SensePost ສໍາລັບ ການຄົ້ນຄວ້າແລະສິ່ງພິມ ກ່ຽວ​ກັບ​ມັນ).

ລະຫັດພາກສະຫນາມ ເປັນລັກສະນະເກົ່າແກ່ອີກອັນໜຶ່ງຂອງ MS Word ທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດເພີ່ມຂໍ້ຄວາມແບບເຄື່ອນໄຫວ ແລະການຂຽນໂປຼແກຼມໃສ່ເອກະສານຂອງທ່ານໄດ້. ຕົວຢ່າງທີ່ຊັດເຈນທີ່ສຸດແມ່ນຊ່ອງຂໍ້ມູນເລກຫນ້າ, ເຊິ່ງສາມາດໃສ່ເຂົ້າໄປໃນສ່ວນທ້າຍໂດຍໃຊ້ຄ່າ {PAGE *MERGEFORMAT}. ນີ້ອະນຸຍາດໃຫ້ສ້າງຕົວເລກຫນ້າໂດຍອັດຕະໂນມັດ.

ຄໍາແນະນໍາ: ທ່ານສາມາດຊອກຫາລາຍການເມນູພາກສະຫນາມພາຍໃຕ້ Insert.

ຂ້ອຍຈື່ໄດ້ວ່າເມື່ອຂ້ອຍຄົ້ນພົບຄຸນສົມບັດນີ້ຄັ້ງທໍາອິດໃນ Word, ຂ້ອຍປະຫລາດໃຈ. ແລະຈົນກ່ວາ patch ປິດມັນ, Word ຍັງສະຫນັບສະຫນູນທາງເລືອກ DDE fields. ແນວຄວາມຄິດແມ່ນວ່າ DDE ຈະອະນຸຍາດໃຫ້ Word ຕິດຕໍ່ສື່ສານໂດຍກົງກັບແອັບພລິເຄຊັນ, ດັ່ງນັ້ນມັນສາມາດສົ່ງຜົນໄດ້ຮັບຂອງໂຄງການເຂົ້າໄປໃນເອກະສານ. ມັນເປັນເທກໂນໂລຍີໄວຫນຸ່ມຫຼາຍໃນເວລານັ້ນ - ສະຫນັບສະຫນູນການແລກປ່ຽນຂໍ້ມູນກັບຄໍາຮ້ອງສະຫມັກພາຍນອກ. ມັນໄດ້ຖືກພັດທະນາຕໍ່ມາເປັນເທກໂນໂລຍີ COM, ເຊິ່ງພວກເຮົາຈະເບິ່ງຂ້າງລຸ່ມນີ້.

ໃນທີ່ສຸດ, ແຮກເກີໄດ້ຮັບຮູ້ວ່າແອັບພລິເຄຊັນ DDE ນີ້ສາມາດເປັນແກະຄໍາສັ່ງ, ເຊິ່ງແນ່ນອນວ່າການເປີດຕົວ PowerShell, ແລະຈາກນັ້ນແຮກເກີສາມາດເຮັດສິ່ງໃດກໍ່ຕາມທີ່ພວກເຂົາຕ້ອງການ.
ພາບຫນ້າຈໍຂ້າງລຸ່ມນີ້ສະແດງໃຫ້ເຫັນວິທີທີ່ຂ້ອຍໃຊ້ເຕັກນິກການລັກລອບນີ້: ສະຄິບ PowerShell ຂະຫນາດນ້ອຍ (ຕໍ່ໄປນີ້ເອີ້ນວ່າ PS) ຈາກພາກສະຫນາມ DDE ໂຫລດສະຄິບ PS ອື່ນ, ເຊິ່ງເປີດຕົວໄລຍະທີສອງຂອງການໂຈມຕີ.

ຂໍຂອບໃຈກັບ Windows ສໍາລັບການເຕືອນໄພປ໊ອບອັບວ່າພາກສະຫນາມ DDEAUTO ທີ່ມີໃນຕົວກໍາລັງພະຍາຍາມເລີ່ມແກະຢ່າງລັບໆ

ວິທີການທີ່ມັກໃນການຂຸດຄົ້ນຊ່ອງໂຫວ່ແມ່ນການໃຊ້ຕົວແປທີ່ມີຊ່ອງຂໍ້ມູນ DDEAUTO, ເຊິ່ງເຮັດວຽກອັດຕະໂນມັດ. ເມື່ອເປີດ ເອກະສານຄໍາ.
ຂໍໃຫ້ຄິດກ່ຽວກັບສິ່ງທີ່ພວກເຮົາສາມາດເຮັດໄດ້ກ່ຽວກັບເລື່ອງນີ້.

ໃນຖານະທີ່ເປັນແຮກເກີຈົວໃໝ່, ຕົວຢ່າງເຊັ່ນ, ທ່ານສາມາດສົ່ງອີເມວ phishing, ປອມຕົວວ່າທ່ານມາຈາກການບໍລິການພາສີຂອງລັດຖະບານກາງ, ແລະຝັງຊ່ອງຂໍ້ມູນ DDEAUTO ດ້ວຍສະຄິບ PS ສໍາລັບຂັ້ນຕອນທໍາອິດ (ເປັນ dropper, ເປັນສິ່ງຈໍາເປັນ). ແລະທ່ານບໍ່ຈໍາເປັນຕ້ອງເຮັດລະຫັດທີ່ແທ້ຈິງຂອງ macro, ແລະອື່ນໆ, ຄືກັບທີ່ຂ້ອຍໄດ້ເຮັດ ບົດຄວາມທີ່ຜ່ານມາ.
ຜູ້ຖືກເຄາະຮ້າຍເປີດເອກະສານຂອງທ່ານ, script embedded ແມ່ນ activated, ແລະ hacker ສິ້ນສຸດລົງເຖິງພາຍໃນຄອມພິວເຕີ. ໃນກໍລະນີຂອງຂ້ອຍ, script PS ຫ່າງໄກສອກຫຼີກພຽງແຕ່ພິມຂໍ້ຄວາມ, ແຕ່ມັນສາມາດເປີດຕົວລູກຄ້າ PS Empire ໄດ້ຢ່າງງ່າຍດາຍ, ເຊິ່ງຈະສະຫນອງການເຂົ້າເຖິງ shell ຫ່າງໄກສອກຫຼີກ.
ແລະກ່ອນທີ່ຜູ້ເຄາະຮ້າຍຈະມີເວລາທີ່ຈະເວົ້າຫຍັງ, ແຮກເກີຈະກາຍມາເປັນໄວລຸ້ນທີ່ຮັ່ງມີທີ່ສຸດໃນບ້ານ.

ແກະໄດ້ຖືກເປີດຕົວໂດຍບໍ່ມີການເຂົ້າລະຫັດເລັກນ້ອຍ. ແມ່ນ​ແຕ່​ເດັກ​ນ້ອຍ​ສາ​ມາດ​ເຮັດ​ໄດ້​!

DDE ແລະທົ່ງນາ

ຕໍ່ມາ Microsoft ໄດ້ປິດການໃຊ້ງານ DDE ໃນ Word, ແຕ່ບໍ່ແມ່ນກ່ອນທີ່ບໍລິສັດຈະບອກວ່າຄຸນສົມບັດນີ້ຖືກນໍາໃຊ້ໃນທາງທີ່ຜິດ. ຄວາມລັງເລຂອງພວກເຂົາທີ່ຈະປ່ຽນແປງອັນໃດນຶ່ງແມ່ນເຂົ້າໃຈໄດ້. ໃນປະສົບການຂອງຂ້ອຍ, ຂ້ອຍເອງໄດ້ເຫັນຕົວຢ່າງທີ່ການປັບປຸງພາກສະຫນາມໃນເວລາທີ່ເປີດເອກະສານ, ແຕ່ Word macro ຖືກປິດໃຊ້ງານໂດຍ IT (ແຕ່ສະແດງການແຈ້ງເຕືອນ). ໂດຍວິທີທາງການ, ທ່ານສາມາດຊອກຫາການຕັ້ງຄ່າທີ່ສອດຄ້ອງກັນໃນພາກການຕັ້ງຄ່າ Word.

ຢ່າງໃດກໍຕາມ, ເຖິງແມ່ນວ່າການປັບປຸງພາກສະຫນາມຈະຖືກເປີດໃຊ້, Microsoft Word ນອກຈາກນັ້ນຍັງແຈ້ງໃຫ້ຜູ້ໃຊ້ໃນເວລາທີ່ພາກສະຫນາມຮ້ອງຂໍການເຂົ້າເຖິງຂໍ້ມູນທີ່ຖືກລົບ, ເຊັ່ນດຽວກັນກັບກໍລະນີຂອງ DDE ຂ້າງເທິງ. Microsoft ກໍາລັງເຕືອນເຈົ້າແທ້ໆ.

ແຕ່ສ່ວນຫຼາຍອາດຈະ, ຜູ້ໃຊ້ຍັງຈະບໍ່ສົນໃຈຄໍາເຕືອນນີ້ແລະເປີດໃຊ້ການປັບປຸງພາກສະຫນາມໃນ Word. ນີ້ແມ່ນຫນຶ່ງໃນໂອກາດທີ່ຫາຍາກທີ່ຈະຂໍຂອບໃຈ Microsoft ສໍາລັບການປິດຄຸນສົມບັດ DDE ອັນຕະລາຍ.

ມັນມີຄວາມຫຍຸ້ງຍາກແນວໃດທີ່ຈະຊອກຫາລະບົບ Windows ທີ່ບໍ່ໄດ້ຮັບການປັບປຸງໃນມື້ນີ້?

ສໍາລັບການທົດສອບນີ້, ຂ້າພະເຈົ້າໄດ້ໃຊ້ AWS Workspaces ເພື່ອເຂົ້າເຖິງ desktop virtual. ດ້ວຍວິທີນີ້ຂ້ອຍໄດ້ຮັບເຄື່ອງ virtual MS Office ທີ່ບໍ່ມີການປັບປຸງທີ່ອະນຸຍາດໃຫ້ຂ້ອຍໃສ່ພາກສະຫນາມ DDEAUTO. ຂ້າພະເຈົ້າບໍ່ມີຄວາມສົງໃສວ່າໃນລັກສະນະທີ່ຄ້າຍຄືກັນທີ່ເຈົ້າສາມາດຊອກຫາບໍລິສັດອື່ນໆທີ່ຍັງບໍ່ທັນໄດ້ຕິດຕັ້ງອຸປະກອນຄວາມປອດໄພທີ່ຈໍາເປັນ.

ຄວາມລຶກລັບຂອງວັດຖຸ

ເຖິງແມ່ນວ່າທ່ານໄດ້ຕິດຕັ້ງ patch ນີ້, ມີຂຸມຄວາມປອດໄພອື່ນໆໃນ MS Office ທີ່ອະນຸຍາດໃຫ້ແຮກເກີເຮັດບາງສິ່ງບາງຢ່າງທີ່ຄ້າຍຄືກັນກັບສິ່ງທີ່ພວກເຮົາເຮັດກັບ Word. ໃນສະຖານະການຕໍ່ໄປພວກເຮົາຈະຮຽນຮູ້ ໃຊ້ Excel ເປັນ bait ສໍາລັບການໂຈມຕີ phishing ໂດຍບໍ່ມີການຂຽນລະຫັດໃດໆ.

ເພື່ອເຂົ້າໃຈສະຖານະການນີ້, ໃຫ້ພວກເຮົາຈື່ຈໍາຕົວແບບວັດຖຸອົງປະກອບຂອງ Microsoft, ຫຼືສໍາລັບສັ້ນ COM (ຕົວແບບວັດຖຸອົງປະກອບ).

COM ໄດ້ປະມານນັບຕັ້ງແຕ່ຊຸມປີ 1990, ແລະຖືກກໍານົດເປັນ "ພາສາທີ່ເປັນກາງ, ຮູບແບບອົງປະກອບທີ່ເນັ້ນໃສ່ວັດຖຸ" ໂດຍອີງໃສ່ RPC ຂັ້ນຕອນການໂທທາງໄກ. ສໍາລັບຄວາມເຂົ້າໃຈທົ່ວໄປຂອງຄໍາສັບ COM, ອ່ານ ຕອບນີ້ ໃນ StackOverflow.

ໂດຍພື້ນຖານແລ້ວ, ທ່ານສາມາດຄິດເຖິງຄໍາຮ້ອງສະຫມັກ COM ເປັນ Excel ຫຼື Word ທີ່ສາມາດປະຕິບັດໄດ້, ຫຼືບາງໄຟລ໌ຄູ່ອື່ນໆທີ່ດໍາເນີນການ.

ມັນປະກົດວ່າແອັບພລິເຄຊັນ COM ຍັງສາມາດດໍາເນີນການໄດ້ ສະຖານະການ - JavaScript ຫຼື VBScript. ດ້ານວິຊາການມັນຖືກເອີ້ນວ່າ scriptlet. ທ່ານອາດຈະໄດ້ເຫັນການຂະຫຍາຍ .sct ສໍາລັບໄຟລ໌ໃນ Windows - ນີ້ແມ່ນສ່ວນຂະຫຍາຍຢ່າງເປັນທາງການສໍາລັບ scriptlets. ໂດຍພື້ນຖານແລ້ວ, ພວກເຂົາແມ່ນລະຫັດສະຄິບທີ່ຫໍ່ຢູ່ໃນຫໍ່ XML:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

ແຮກເກີແລະ pentesters ໄດ້ຄົ້ນພົບວ່າມີອຸປະກອນແລະຄໍາຮ້ອງສະຫມັກແຍກຕ່າງຫາກໃນ Windows ທີ່ຍອມຮັບວັດຖຸ COM ແລະ, ຕາມຄວາມເຫມາະສົມ, scriptlets ເຊັ່ນດຽວກັນ.

ຂ້ອຍສາມາດສົ່ງ scriptlet ໄປຫາ Windows utility ທີ່ຂຽນໃນ VBS ທີ່ເອີ້ນວ່າ pubprn. ມັນຕັ້ງຢູ່ໃນຄວາມເລິກຂອງ C:Windowssystem32Printing_Admin_Scripts. ໂດຍວິທີທາງການ, ມີອຸປະກອນ Windows ອື່ນໆທີ່ຍອມຮັບວັດຖຸເປັນຕົວກໍານົດການ. ໃຫ້ເບິ່ງຕົວຢ່າງນີ້ກ່ອນ.

ມັນຂ້ອນຂ້າງທໍາມະຊາດທີ່ແກະສາມາດເປີດຕົວໄດ້ເຖິງແມ່ນວ່າຈາກຕົວພິມພິມ. ໄປ Microsoft!

ໃນ​ຖາ​ນະ​ເປັນ​ການ​ທົດ​ສອບ, ຂ້າ​ພະ​ເຈົ້າ​ໄດ້​ສ້າງ​ຕົວ​ອັກ​ສອນ​ຫ່າງ​ໄກ​ສອກ​ຫຼີກ​ທີ່​ງ່າຍ​ດາຍ​ທີ່​ເປີດ​ຕົວ​ແກະ​ແລະ​ພິມ​ຂໍ້​ຄວາມ​ຕະ​ຫລົກ​, "ທ່ານ​ພຽງ​ແຕ່​ໄດ້​ຮັບ​ການ scripted​! ໂດຍພື້ນຖານແລ້ວ, pubprn instantiates scriptlet object, ອະນຸຍາດໃຫ້ລະຫັດ VBScript ດໍາເນີນການ wrapper. ວິທີນີ້ໃຫ້ປະໂຫຍດທີ່ຊັດເຈນແກ່ພວກແຮກເກີທີ່ຢາກຈະລັກເຂົ້າໄປ ແລະຊ່ອນຢູ່ໃນລະບົບຂອງເຈົ້າ.

ໃນບົດຂຽນຕໍ່ໄປຂ້າພະເຈົ້າຈະອະທິບາຍວິທີການ COM scriptlets ສາມາດຖືກຂູດຮີດໂດຍແຮກເກີໂດຍໃຊ້ Excel spreadsheets.

ສໍາລັບວຽກບ້ານຂອງທ່ານ, ເບິ່ງ ວີດີໂອນີ້ ຈາກ Derbycon 2016, ເຊິ່ງອະທິບາຍຢ່າງແນ່ນອນວ່າແຮກເກີໃຊ້ scriptlets. ແລະຍັງອ່ານ ຫົວ​ຂໍ້​ນີ້ ກ່ຽວກັບ scriptlets ແລະບາງປະເພດຂອງ moniker.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com