Авантурите на неостварливиот малициозен софтвер, дел V: Уште повеќе скрипти DDE и COM

Оваа статија е дел од серијата Malware без датотеки. Сите други делови од серијата:

• Авантурите на неостварливиот Малвари, дел I
• Авантурите на неостварливи малициозен софтвер Дел II: Скриени VBA скрипти
• Авантурите на неостварливиот малициозен софтвер, дел III: заплеткани VBA скрипти за смеа и профит
• Авантурите на неостварливиот малициозен софтвер, дел IV: полиња за DDE и Word документ
• Авантурите на неостварливиот малициозен софтвер, дел V: Уште повеќе скрипти DDE и COM (ние сме тука)

Во оваа серија написи, ги истражуваме методите на напад кои бараат минимален напор од страна на хакерите. Во минатото Член Покривме дека е можно самиот код да се залепи во товарното поле за автоматско DDE во Microsoft Word. Со отворање на таков документ прикачен на е-пошта за фишинг, невнимателен корисник ќе му дозволи на напаѓачот да се зацврсти на неговиот компјутер. Сепак, на крајот на 2017 година, Мајкрософт затворена оваа дупка за напади врз DDE.
Поправката додава запис во регистарот што оневозможува DDE функции во Word. Ако сè уште ви е потребна оваа функционалност, тогаш можете да ја вратите оваа опција со овозможување на старите DDE способности.

Сепак, оригиналниот лепенка го опфати само Microsoft Word. Дали овие DDE пропусти постојат во други производи на Microsoft Office кои исто така може да се искористат во напади без код? Да секако. На пример, можете да ги најдете и во Excel.

Ноќ на живите DDE

Се сеќавам дека последен пат застанав на описот на COM скриптите. Ветувам дека ќе дојдам до нив подоцна во оваа статија.

Во меѓувреме, да погледнеме уште една лоша страна на DDE во верзијата на Excel. Исто како во Word, некои скриени карактеристики на DDE во Excel ви овозможува да извршите код без многу напор. Како корисник на Word кој порасна, бев запознаен со полињата, но воопшто не со функциите во DDE.

Бев изненаден кога дознав дека во Excel можам да повикам школка од ќелија како што е прикажано подолу:

Дали знаевте дека ова е можно? Лично, јас не

Оваа способност за лансирање на школка на Windows е благодарение на DDE. Можете да помислите на многу други работи
Апликации со кои можете да се поврзете користејќи ги вградените DDE функции на Excel.
Дали и ти го мислиш истото што јас го мислам?

Дозволете нашата команда во ќелијата да започне PowerShell сесија која потоа ја презема и ја извршува врската - ова прием, кој веќе го користевме претходно. Види подолу:

Само залепете малку PowerShell за да го вчитате и стартувате далечинскиот код во Excel

Но, постои улов: мора експлицитно да ги внесете овие податоци во ќелијата за оваа формула да работи во Excel. Како може хакер да ја изврши оваа команда DDE од далечина? Факт е дека кога е отворена табела на Excel, Excel ќе се обиде да ги ажурира сите врски во DDE. Поставките на Trust Center одамна имаат можност да го оневозможат ова или да предупредуваат при ажурирање на врски до надворешни извори на податоци.

Дури и без најновите закрпи, можете да го оневозможите автоматското ажурирање на врската во DDE

Мајкрософт првично самиот советуваше Компаниите во 2017 година треба да оневозможат автоматско ажурирање на врските за да спречат пропусти на DDE во Word и Excel. Во јануари 2018 година, Мајкрософт објави закрпи за Excel 2007, 2010 и 2013 година кои стандардно го оневозможуваат DDE. Ова Член Computerworld ги опишува сите детали за закрпата.

Па, што е со дневниците за настани?

Мајкрософт сепак го напушти DDE за MS Word и Excel, со што конечно призна дека DDE е повеќе како бубачка отколку функционалност. Ако поради некоја причина сè уште не сте ги инсталирале овие закрпи, сè уште можете да го намалите ризикот од напад на DDE со оневозможување на автоматско ажурирање на врските и овозможување на поставките што ги поттикнуваат корисниците да ги ажурираат врските кога отвораат документи и табели.

Сега прашањето од милион долари: ако сте жртва на овој напад, дали сесиите на PowerShell започнати од полињата на Word или ќелиите на Excel ќе се појават во дневникот?

Прашање: Дали се евидентирани сесиите на PowerShell лансирани преку DDE? Одговор: да

Кога ги извршувате сесиите на PowerShell директно од ќелија на Excel наместо како макро, Windows ќе ги евидентира овие настани (види погоре). Во исто време, не можам да тврдам дека ќе биде лесно за безбедносниот тим потоа да ги поврзе сите точки помеѓу сесијата на PowerShell, документот на Excel и е-поштата и да разбере каде започна нападот. Ќе се навратам на ова во последната статија од мојата бескрајна серија за неостварливиот малициозен софтвер.

Како е нашиот COM?

Во претходниот Член Ја допрев темата COM скрипти. Тие се погодни сами по себе. технологија, кој ви овозможува да пренесувате код, да речеме JScript, едноставно како COM објект. Но, тогаш скриптите беа откриени од хакери, и тоа им овозможи да стекнат основа на компјутерот на жртвата без употреба на непотребни алатки. Ова видео од Derbycon ги демонстрира вградените алатки на Windows како regsrv32 и rundll32 кои ги земаат далечинските скрипти како аргументи, а хакерите во суштина го извршуваат својот напад без помош на малициозен софтвер. Како што покажав минатиот пат, можете лесно да ги извршите командите на PowerShell користејќи JScript скрипт.

Се испостави дека некој е многу паметен истражувач најде начин да се изврши COM скрипт в Excel документ. Тој открил дека кога се обидел да вметне врска до документ или слика во ќелија, одреден пакет бил вметнат во неа. И овој пакет тивко прифаќа далечинска скрипта како влез (види подолу).

Бум! Друг скришум, тивок метод за лансирање на школка користејќи COM скрипти

По проверка на кодот на ниско ниво, истражувачот откри што всушност е тоа бубачка во софтверот на пакетот. Не беше наменет да работи COM скрипти, туку само да се поврзува со датотеки. Не сум сигурен дали веќе има лепенка за оваа ранливост. Во мојата сопствена студија користејќи Amazon WorkSpaces со претходно инсталирана Office 2010, успеав да ги реплицирам резултатите. Меѓутоа, кога се обидов повторно малку подоцна, не успеа.

Навистина се надевам дека ви кажав многу интересни работи и во исто време покажав дека хакерите можат да навлезат во вашата компанија на еден или друг сличен начин. Дури и ако ги инсталирате сите најнови закрпи на Microsoft, хакерите сè уште имаат многу алатки за да стекнат основа во вашиот систем, од VBA макроата со кои ја започнав оваа серија до злонамерни товари во Word или Excel.

Во последната (ветувам) статија во оваа сага, ќе зборувам за тоа како да се обезбеди паметна заштита.

Извор: www.habr.com