Авантурите на неостварливиот малициозен софтвер, дел IV: полиња за DDE и Word документ

Оваа статија е дел од серијата Malware без датотеки. Сите други делови од серијата:

• Авантурите на неостварливиот Малвари, дел I
• Авантурите на неостварливи малициозен софтвер Дел II: Скриени VBA скрипти
• Авантурите на неостварливиот малициозен софтвер, дел III: заплеткани VBA скрипти за смеа и профит
• Авантурите на неостварливиот малициозен софтвер, дел IV: полиња за DDE и Word документ (ние сме тука)

Во оваа статија, требаше да се фрлам во уште покомплексно повеќестепено сценарио за напад без датотеки со прикачување на системот. Но, тогаш наидов на неверојатно едноставен напад без код - не се потребни Word или Excel макроа! И ова многу поефикасно ја докажува мојата оригинална хипотеза во основата на оваа серија написи: кршењето на надворешниот периметар на која било организација воопшто не е тешка задача.

Првиот напад што ќе го опишам ја експлоатира ранливоста на Microsoft Word на која се базира застарена протокол за динамична размена на податоци (DDE). Таа веќе беше фиксна. Вториот искористува поопшта ранливост во можностите за COM и пренос на објекти на Microsoft.

Назад во иднината со DDE

Дали некој друг се сеќава на DDE? Веројатно не многу. Тоа беше едно од првите протоколи за комуникација меѓу процесите кои им дозволуваа на апликациите и уредите да пренесуваат податоци.

Самиот сум малку запознаен со тоа бидејќи порано проверував и тестирав опрема за телеком. Во тоа време, DDE дозволи, на пример, операторите на центрите за повици да префрлат ID на повикувач на апликација CRM, која на крајот отвори клиентска картичка. За да го направите ова, требаше да поврзете кабел RS-232 помеѓу телефонот и компјутерот. Тоа беа денови!

Како што се испоставува, Microsoft Word сè уште е поддржува DDE.

Она што го прави овој напад ефективен без код е тоа што можете да пристапите до протоколот DDE директно од автоматски полиња во Word документ (капата за SensePost за истражувања и публикации за тоа).

Теренски кодови е уште една древна карактеристика на MS Word која ви овозможува да додавате динамичен текст и малку програмирање во вашиот документ. Најочигледен пример е полето за број на страница, кое може да се вметне во подножјето користејќи ја вредноста {PAGE *MERGEFORMAT}. Ова овозможува автоматски да се генерираат броеви на страници.

Совет: можете да ја најдете ставката од менито Поле под Вметни.

Се сеќавам дека кога првпат ја открив оваа функција во Word, бев изненаден. И додека закрпата не ја оневозможи, Word сè уште ја поддржуваше опцијата DDE полиња. Идејата беше дека DDE ќе дозволи Word да комуницира директно со апликацијата, за да може потоа да го пренесе излезот од програмата во документ. Тоа беше многу млада технологија во тоа време - поддршка за размена на податоци со надворешни апликации. Подоцна беше развиена во COM технологија, која исто така ќе ја разгледаме подолу.

На крајот, хакерите сфатија дека оваа DDE апликација може да биде командна школка, што секако го лансираше PowerShell, а од таму хакерите можеа да прават што сакаат.
Сликата од екранот подолу покажува како ја користев оваа скришум техника: мала PowerShell скрипта (во понатамошниот текст PS) од полето DDE вчитува друга PS скрипта, која ја започнува втората фаза од нападот.

Благодарение на Windows за скокачкото предупредување дека вграденото поле DDEAUTO тајно се обидува да ја стартува школка

Префериран метод за искористување на ранливоста е да се користи варијанта со полето DDEAUTO, кое автоматски ја извршува скриптата при отворањето Word документ.
Ајде да размислиме што можеме да направиме за ова.

Како почетник хакер, можете, на пример, да испратите е-пошта за фишинг, преправајќи се дека сте од Федералната даночна служба и да го вградите полето DDEAUTO со скриптата PS за првата фаза (суштински капалка). А вие дури и не треба да правите вистинско кодирање на макроа, итн., како што направив јас претходната статија.
Жртвата го отвора вашиот документ, вградената скрипта се активира и хакерот завршува внатре во компјутерот. Во мојот случај, далечинската скрипта PS само печати порака, но исто толку лесно може да го стартува клиентот PS Empire, кој ќе обезбеди далечински пристап до школка.
И пред жртвата да има време да каже нешто, хакерите ќе испаднат дека се најбогатите тинејџери во селото.

Школката беше лансирана без трошка кодирање. Дури и дете може да го направи ова!

DDE и полиња

Мајкрософт подоцна го оневозможи DDE во Word, но не пред компанијата да изјави дека функцијата едноставно била злоупотребена. Нивната неподготвеност да променат било што е разбирлива. Во моето искуство, јас самиот видов пример каде што беше овозможено ажурирање полиња при отворање на документ, но макроата на Word беа оневозможени од ИТ (но прикажување известување). Патем, можете да ги најдете соодветните поставки во делот за поставки на Word.

Сепак, дури и ако е овозможено ажурирањето на теренот, Microsoft Word дополнително го известува корисникот кога полето бара пристап до избришаните податоци, како што е случајот со DDE погоре. Мајкрософт навистина ве предупредува.

Но, најверојатно, корисниците сепак ќе го игнорираат ова предупредување и ќе го активираат ажурирањето на полињата во Word. Ова е една од ретките можности да му се заблагодариме на Microsoft за оневозможувањето на опасната функција DDE.

Колку е тешко да се најде незакрпен Windows систем денес?

За ова тестирање, користев AWS Workspaces за пристап до виртуелна работна површина. На овој начин добив незакрпена виртуелна машина MS Office која ми овозможи да го вметнам полето DDEAUTO. Не се сомневам дека на сличен начин можете да најдете и други компании кои сè уште ги немаат инсталирано потребните безбедносни закрпи.

Мистерија на предмети

Дури и ако сте ја инсталирале оваа закрпа, има и други безбедносни дупки во MS Office што им дозволуваат на хакерите да направат нешто многу слично на она што го направивме со Word. Во следното сценарио ќе научиме користете Excel како мамка за напад на фишинг без да пишувате никаков код.

За да го разбереме ова сценарио, да се потсетиме на моделот на компонентен објект на Microsoft или накратко COM (компонентен модел на објект).

COM постои од 1990-тите и е дефиниран како „јазично неутрален, објектно-ориентиран модел на компонента“ заснован на повици на далечинска процедура RPC. За општо разбирање на COM терминологијата, прочитајте овој пост на StackOverflow.

Во основа, можете да замислите COM апликација како извршна датотека Excel или Word, или некоја друга бинарна датотека што работи.

Излегува дека апликацијата COM исто така може да работи сценарио — JavaScript или VBScript. Технички се вика скрипта. Можеби сте ја виделе наставката .sct за датотеки во Windows - ова е официјалната екстензија за скрипти. Во суштина, тие се код за скрипта завиткан во XML обвивка:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

Хакерите и петестерите открија дека постојат посебни комунални услуги и апликации во Windows кои прифаќаат COM објекти и, соодветно, скрипти.

Можам да префрлам скрипт на алатка за Windows напишана во VBS позната како pubprn. Се наоѓа во длабочините на C:Windowssystem32Printing_Admin_Scripts. Патем, постојат и други комунални услуги на Windows кои прифаќаат објекти како параметри. Ајде прво да го погледнеме овој пример.

Сосема е природно што школката може да се лансира дури и од скрипта за печатење. Одете на Microsoft!

Како тест, создадов едноставна далечинска скрипта која лансира школка и печати смешна порака, „Штотуку сте напишани!“ Во суштина, pubprn инстанцира објект на скриплет, дозволувајќи му на VBScript кодот да работи обвивка. Овој метод обезбедува јасна предност за хакерите кои сакаат да се прикрадат и да се сокријат во вашиот систем.

Во следниот пост, ќе објаснам како COM скриптите можат да бидат експлоатирани од хакери користејќи табели на Excel.

За вашата домашна задача, погледнете ова видео од Derbycon 2016, кој објаснува како точно хакерите користеле скрипти. И, исто така, прочитајте овој член, за скрипти и некој вид назив.

Извор: www.habr.com