എലൂസീവ് മാൽവെയറിന്റെ സാഹസികത, ഭാഗം IV: DDE, വേഡ് ഡോക്യുമെന്റ് ഫീൽഡുകൾ

ഈ ലേഖനം ഫയൽലെസ്സ് മാൽവെയർ പരമ്പരയുടെ ഭാഗമാണ്. പരമ്പരയുടെ മറ്റെല്ലാ ഭാഗങ്ങളും:

• എലൂസീവ് മാൽവാരിയുടെ സാഹസികത, ഭാഗം I
• ദി അഡ്വഞ്ചേഴ്‌സ് ഓഫ് എലൂസീവ് മാൽവെയറുകൾ, രണ്ടാം ഭാഗം: രഹസ്യാത്മക വിബിഎ സ്‌ക്രിപ്റ്റുകൾ
• എലൂസീവ് മാൽവെയറിന്റെ സാഹസികത, ഭാഗം III: ചിരിക്കും ലാഭത്തിനും വേണ്ടിയുള്ള Tangled VBA സ്ക്രിപ്റ്റുകൾ
• എലൂസീവ് മാൽവെയറിന്റെ സാഹസികത, ഭാഗം IV: DDE, വേഡ് ഡോക്യുമെന്റ് ഫീൽഡുകൾ (ഞങ്ങൾ ഇവിടെയുണ്ട്)

ഈ ലേഖനത്തിൽ, സിസ്റ്റത്തിൽ പിൻ ചെയ്യുന്നതിലൂടെ കൂടുതൽ സങ്കീർണ്ണമായ മൾട്ടി-സ്റ്റേജ് ഫയൽലെസ് ആക്രമണ സാഹചര്യത്തിലേക്ക് ഞാൻ നീങ്ങാൻ പോവുകയാണ്. പക്ഷേ, അവിശ്വസനീയമാംവിധം ലളിതവും കോഡ് ഇല്ലാത്തതുമായ ഒരു ആക്രമണം ഞാൻ കണ്ടു - വേഡോ എക്സൽ മാക്രോകളോ ആവശ്യമില്ല! ഈ ലേഖന പരമ്പരയ്ക്ക് അടിവരയിടുന്ന എന്റെ യഥാർത്ഥ സിദ്ധാന്തം ഇത് കൂടുതൽ ഫലപ്രദമായി തെളിയിക്കുന്നു: ഏതൊരു ഓർഗനൈസേഷന്റെയും ബാഹ്യ ചുറ്റളവ് തകർക്കുക എന്നത് ബുദ്ധിമുട്ടുള്ള കാര്യമല്ല.

ഞാൻ വിവരിക്കുന്ന ആദ്യ ആക്രമണം മൈക്രോസോഫ്റ്റ് വേഡ് ദുർബലതയെ അടിസ്ഥാനമാക്കിയുള്ളതാണ് കാലഹരണപ്പെട്ട ഡൈനാമിക് ഡാറ്റ എക്സ്ചേഞ്ച് പ്രോട്ടോക്കോൾ (ഡിഡിഇ). അവൾ ഇതിനകം ആയിരുന്നു നിശ്ചിത. രണ്ടാമത്തേത് Microsoft COM-ലും ഒബ്‌ജക്റ്റ് ട്രാൻസ്ഫർ കഴിവുകളിലും കൂടുതൽ പൊതുവായ അപകടസാധ്യത ഉപയോഗപ്പെടുത്തുന്നു.

DDE ഉപയോഗിച്ച് ഭാവിയിലേക്ക് മടങ്ങുക

മറ്റാരെങ്കിലും ഡിഡിഇയെ ഓർക്കുന്നുണ്ടോ? ഒരുപക്ഷേ പലതും ഇല്ല. ആദ്യത്തേതിൽ ഒന്നായിരുന്നു അത് ഡാറ്റ കൈമാറ്റം ചെയ്യാൻ ആപ്ലിക്കേഷനുകളെയും ഉപകരണങ്ങളെയും അനുവദിക്കുന്ന ഇന്റർ-പ്രോസസ് കമ്മ്യൂണിക്കേഷൻ പ്രോട്ടോക്കോളുകൾ.

ടെലികോം ഉപകരണങ്ങൾ പരിശോധിക്കാനും പരിശോധിക്കാനും ഞാൻ ഉപയോഗിച്ചിരുന്നതിനാൽ എനിക്ക് ഇത് കുറച്ച് പരിചിതമാണ്. ആ സമയത്ത്, DDE, ഉദാഹരണത്തിന്, കോളർ ഐഡി ഒരു CRM ആപ്ലിക്കേഷനിലേക്ക് കൈമാറാൻ കോൾ സെന്റർ ഓപ്പറേറ്റർമാരെ അനുവദിച്ചു, അത് ആത്യന്തികമായി ഒരു ഉപഭോക്തൃ കാർഡ് തുറന്നു. ഇത് ചെയ്യുന്നതിന്, നിങ്ങളുടെ ഫോണിനും കമ്പ്യൂട്ടറിനുമിടയിൽ ഒരു RS-232 കേബിൾ ബന്ധിപ്പിക്കേണ്ടതുണ്ട്. അതൊക്കെയായിരുന്നു ദിവസങ്ങൾ!

അത് മാറുന്നത് പോലെ, Microsoft Word ഇപ്പോഴും പിന്തുണയ്ക്കുന്നു ഡി.ഡി.ഇ.

കോഡ് ഇല്ലാതെ ഈ ആക്രമണം ഫലപ്രദമാക്കുന്നത് നിങ്ങൾക്ക് DDE പ്രോട്ടോക്കോൾ ആക്സസ് ചെയ്യാൻ കഴിയും എന്നതാണ് നേരിട്ട് ഒരു വേഡ് ഡോക്യുമെന്റിലെ സ്വയമേവയുള്ള ഫീൽഡുകളിൽ നിന്ന് (ഇതിനായി സെൻസ്പോസ്റ്റിന് ഹാറ്റ്സ് ഓഫ് ഗവേഷണവും പ്രസിദ്ധീകരണങ്ങളും ഇതേക്കുറിച്ച്).

ഫീൽഡ് കോഡുകൾ നിങ്ങളുടെ ഡോക്യുമെന്റിലേക്ക് ഡൈനാമിക് ടെക്സ്റ്റും കുറച്ച് പ്രോഗ്രാമിംഗും ചേർക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന മറ്റൊരു പുരാതന MS Word സവിശേഷതയാണ്. ഏറ്റവും വ്യക്തമായ ഉദാഹരണം പേജ് നമ്പർ ഫീൽഡാണ്, അത് {PAGE *MERGEFORMAT} എന്ന മൂല്യം ഉപയോഗിച്ച് അടിക്കുറിപ്പിൽ ചേർക്കാം. പേജ് നമ്പറുകൾ സ്വയമേവ സൃഷ്ടിക്കാൻ ഇത് അനുവദിക്കുന്നു.

സൂചന: Insert എന്നതിന് കീഴിൽ നിങ്ങൾക്ക് ഫീൽഡ് മെനു ഇനം കണ്ടെത്താം.

വേർഡിലെ ഈ സവിശേഷത ആദ്യമായി കണ്ടെത്തിയപ്പോൾ ഞാൻ അത്ഭുതപ്പെട്ടുവെന്ന് ഞാൻ ഓർക്കുന്നു. പാച്ച് അത് പ്രവർത്തനരഹിതമാക്കുന്നത് വരെ, വേഡ് ഡിഡിഇ ഫീൽഡ് ഓപ്ഷനെ പിന്തുണച്ചു. ആപ്ലിക്കേഷനുമായി നേരിട്ട് ആശയവിനിമയം നടത്താൻ ഡിഡിഇ വേഡ് അനുവദിക്കും, അതുവഴി പ്രോഗ്രാമിന്റെ ഔട്ട്പുട്ട് ഒരു ഡോക്യുമെന്റിലേക്ക് കൈമാറാൻ കഴിയും എന്നതായിരുന്നു ആശയം. അക്കാലത്ത് ഇത് വളരെ ചെറുപ്പമായ ഒരു സാങ്കേതികവിദ്യയായിരുന്നു - ബാഹ്യ ആപ്ലിക്കേഷനുകൾ ഉപയോഗിച്ച് ഡാറ്റ കൈമാറ്റത്തിനുള്ള പിന്തുണ. ഇത് പിന്നീട് COM സാങ്കേതികവിദ്യയായി വികസിപ്പിച്ചെടുത്തു, അത് ഞങ്ങൾ ചുവടെ നോക്കും.

ഒടുവിൽ, ഈ ഡിഡിഇ ആപ്ലിക്കേഷൻ ഒരു കമാൻഡ് ഷെൽ ആയിരിക്കാമെന്ന് ഹാക്കർമാർ മനസ്സിലാക്കി, അത് തീർച്ചയായും പവർഷെൽ സമാരംഭിച്ചു, അവിടെ നിന്ന് ഹാക്കർമാർക്ക് അവർക്കാവശ്യമുള്ളതെന്തും ചെയ്യാൻ കഴിയും.
ഈ സ്റ്റെൽത്ത് ടെക്നിക് ഞാൻ എങ്ങനെയാണ് ഉപയോഗിച്ചതെന്ന് ചുവടെയുള്ള സ്ക്രീൻഷോട്ട് കാണിക്കുന്നു: DDE ഫീൽഡിൽ നിന്നുള്ള ഒരു ചെറിയ PowerShell സ്ക്രിപ്റ്റ് (ഇനി PS എന്ന് വിളിക്കുന്നു) ആക്രമണത്തിന്റെ രണ്ടാം ഘട്ടം ആരംഭിക്കുന്ന മറ്റൊരു PS സ്ക്രിപ്റ്റ് ലോഡ് ചെയ്യുന്നു.

അന്തർനിർമ്മിത DDEAUTO ഫീൽഡ് ഷെൽ ആരംഭിക്കാൻ രഹസ്യമായി ശ്രമിക്കുന്നുവെന്ന പോപ്പ്-അപ്പ് മുന്നറിയിപ്പിന് വിൻഡോസിന് നന്ദി

സ്ക്രിപ്റ്റ് സ്വയമേവ പ്രവർത്തിപ്പിക്കുന്ന DDEAUTO ഫീൽഡിനൊപ്പം ഒരു വേരിയന്റ് ഉപയോഗിക്കുന്നതാണ് അപകടസാധ്യത പ്രയോജനപ്പെടുത്തുന്നതിനുള്ള മുൻഗണനാ രീതി. തുറക്കുമ്പോൾ വേഡ് ഡോക്യുമെന്റ്.
ഇക്കാര്യത്തിൽ നമുക്ക് എന്ത് ചെയ്യാൻ കഴിയുമെന്ന് ചിന്തിക്കാം.

ഒരു തുടക്കക്കാരനായ ഹാക്കർ എന്ന നിലയിൽ, ഉദാഹരണത്തിന്, നിങ്ങൾ ഫെഡറൽ ടാക്സ് സേവനത്തിൽ നിന്നുള്ളവരാണെന്ന് നടിച്ച് നിങ്ങൾക്ക് ഒരു ഫിഷിംഗ് ഇമെയിൽ അയയ്‌ക്കാം, കൂടാതെ DDEAUTO ഫീൽഡ് PS സ്‌ക്രിപ്റ്റ് ഉപയോഗിച്ച് ആദ്യ ഘട്ടത്തിൽ ഉൾപ്പെടുത്താം (ഒരു ഡ്രോപ്പർ, അടിസ്ഥാനപരമായി). കൂടാതെ, ഞാൻ ചെയ്‌തതുപോലെ മാക്രോകൾ മുതലായവയുടെ യഥാർത്ഥ കോഡിംഗ് നിങ്ങൾ ചെയ്യേണ്ടതില്ല മുൻ ലേഖനം.
ഇര നിങ്ങളുടെ പ്രമാണം തുറക്കുന്നു, ഉൾച്ചേർത്ത സ്ക്രിപ്റ്റ് സജീവമാക്കി, ഹാക്കർ കമ്പ്യൂട്ടറിനുള്ളിൽ അവസാനിക്കുന്നു. എന്റെ കാര്യത്തിൽ, റിമോട്ട് PS സ്ക്രിപ്റ്റ് ഒരു സന്ദേശം പ്രിന്റ് ചെയ്യുന്നു, പക്ഷേ അത് PS എംപയർ ക്ലയന്റ് എളുപ്പത്തിൽ സമാരംഭിക്കും, അത് റിമോട്ട് ഷെൽ ആക്സസ് നൽകും.
ഇരയ്ക്ക് എന്തെങ്കിലും പറയാൻ സമയമുണ്ടാകുന്നതിന് മുമ്പ്, ഹാക്കർമാർ ഗ്രാമത്തിലെ ഏറ്റവും ധനികരായ കൗമാരക്കാരായി മാറും.

ഒരു ചെറിയ കോഡിംഗ് ഇല്ലാതെയാണ് ഷെൽ വിക്ഷേപിച്ചത്. ഒരു കുട്ടിക്ക് പോലും അത് ചെയ്യാൻ കഴിയും!

ഡിഡിഇയും ഫീൽഡുകളും

മൈക്രോസോഫ്റ്റ് പിന്നീട് വേഡിൽ ഡിഡിഇ പ്രവർത്തനരഹിതമാക്കി, പക്ഷേ ഫീച്ചർ ദുരുപയോഗം ചെയ്യപ്പെട്ടുവെന്ന് കമ്പനി പ്രസ്താവിക്കുന്നതിന് മുമ്പ് അല്ല. എന്തെങ്കിലും മാറ്റാനുള്ള അവരുടെ വിമുഖത മനസ്സിലാക്കാവുന്നതേയുള്ളൂ. എന്റെ അനുഭവത്തിൽ, ഒരു ഡോക്യുമെന്റ് തുറക്കുമ്പോൾ ഫീൽഡുകൾ അപ്‌ഡേറ്റ് ചെയ്യുന്നത് പ്രവർത്തനക്ഷമമാക്കിയ ഒരു ഉദാഹരണം ഞാൻ തന്നെ കണ്ടിട്ടുണ്ട്, എന്നാൽ ഐടി (എന്നാൽ ഒരു അറിയിപ്പ് കാണിക്കുന്നു) Word മാക്രോകൾ പ്രവർത്തനരഹിതമാക്കി. വഴിയിൽ, Word ക്രമീകരണ വിഭാഗത്തിൽ നിങ്ങൾക്ക് അനുബന്ധ ക്രമീകരണങ്ങൾ കണ്ടെത്താനാകും.

എന്നിരുന്നാലും, ഫീൽഡ് അപ്‌ഡേറ്റ് പ്രാപ്‌തമാക്കിയിട്ടുണ്ടെങ്കിലും, മുകളിലുള്ള DDE-യുടെ കാര്യത്തിലെന്നപോലെ, ഒരു ഫീൽഡ് ഇല്ലാതാക്കിയ ഡാറ്റയിലേക്ക് ആക്‌സസ്സ് അഭ്യർത്ഥിക്കുമ്പോൾ Microsoft Word അധികമായി ഉപയോക്താവിനെ അറിയിക്കുന്നു. മൈക്രോസോഫ്റ്റ് നിങ്ങൾക്ക് ശരിക്കും മുന്നറിയിപ്പ് നൽകുന്നു.

എന്നാൽ മിക്കവാറും, ഉപയോക്താക്കൾ ഇപ്പോഴും ഈ മുന്നറിയിപ്പ് അവഗണിക്കുകയും Word-ൽ ഫീൽഡ് അപ്ഡേറ്റ് സജീവമാക്കുകയും ചെയ്യും. അപകടകരമായ ഡിഡിഇ ഫീച്ചർ പ്രവർത്തനരഹിതമാക്കിയതിന് മൈക്രോസോഫ്റ്റിന് നന്ദി പറയാനുള്ള അപൂർവ അവസരങ്ങളിൽ ഒന്നാണിത്.

ഇന്ന് പാച്ച് ചെയ്യാത്ത വിൻഡോസ് സിസ്റ്റം കണ്ടെത്തുന്നത് എത്ര ബുദ്ധിമുട്ടാണ്?

ഈ പരിശോധനയ്‌ക്കായി, ഒരു വെർച്വൽ ഡെസ്‌ക്‌ടോപ്പ് ആക്‌സസ് ചെയ്യാൻ ഞാൻ AWS വർക്ക്‌സ്‌പെയ്‌സ് ഉപയോഗിച്ചു. ഇതുവഴി എനിക്ക് DDEAUTO ഫീൽഡ് ചേർക്കാൻ അനുവദിക്കുന്ന ഒരു അൺപാച്ച് ചെയ്യാത്ത MS Office വെർച്വൽ മെഷീൻ ലഭിച്ചു. ആവശ്യമായ സുരക്ഷാ പാച്ചുകൾ ഇതുവരെ ഇൻസ്റ്റാൾ ചെയ്തിട്ടില്ലാത്ത മറ്റ് കമ്പനികളെ സമാനമായ രീതിയിൽ നിങ്ങൾക്ക് കണ്ടെത്താൻ കഴിയുമെന്നതിൽ എനിക്ക് സംശയമില്ല.

വസ്തുക്കളുടെ നിഗൂഢത

നിങ്ങൾ ഈ പാച്ച് ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടെങ്കിലും, MS ഓഫീസിൽ മറ്റ് സുരക്ഷാ ദ്വാരങ്ങൾ ഉണ്ട്, അത് ഞങ്ങൾ Word ഉപയോഗിച്ച് ചെയ്തതിന് സമാനമായ എന്തെങ്കിലും ചെയ്യാൻ ഹാക്കർമാരെ അനുവദിക്കുന്നു. അടുത്ത സാഹചര്യത്തിൽ നമ്മൾ പഠിക്കും ഒരു കോഡും എഴുതാതെ ഒരു ഫിഷിംഗ് ആക്രമണത്തിന് Excel ഉപയോഗിക്കുക.

ഈ സാഹചര്യം മനസിലാക്കാൻ, നമുക്ക് Microsoft Component Object മോഡൽ ഓർക്കാം, അല്ലെങ്കിൽ ചുരുക്കത്തിൽ COM (ഘടക ഒബ്ജക്റ്റ് മോഡൽ).

1990-കൾ മുതൽ COM നിലവിലുണ്ട്, കൂടാതെ RPC റിമോട്ട് പ്രൊസീജർ കോളുകളെ അടിസ്ഥാനമാക്കി "ഭാഷ-ന്യൂട്രൽ, ഒബ്ജക്റ്റ്-ഓറിയന്റഡ് കോംപോണന്റ് മോഡൽ" ആയി നിർവചിക്കപ്പെടുന്നു. COM ടെർമിനോളജിയുടെ പൊതുവായ ധാരണയ്ക്കായി, വായിക്കുക ഈ പോസ്റ്റ് StackOverflow-ൽ.

അടിസ്ഥാനപരമായി, നിങ്ങൾക്ക് ഒരു COM ആപ്ലിക്കേഷനെ ഒരു Excel അല്ലെങ്കിൽ Word എക്സിക്യൂട്ടബിൾ അല്ലെങ്കിൽ പ്രവർത്തിക്കുന്ന മറ്റേതെങ്കിലും ബൈനറി ഫയലായി കണക്കാക്കാം.

ഒരു COM ആപ്ലിക്കേഷനും പ്രവർത്തിപ്പിക്കാൻ കഴിയുമെന്ന് ഇത് മാറുന്നു രംഗം - JavaScript അല്ലെങ്കിൽ VBScript. സാങ്കേതികമായി ഇതിനെ വിളിക്കുന്നു സ്ക്രിപ്റ്റ്ലെറ്റ്. വിൻഡോസിൽ ഫയലുകൾക്കായുള്ള .sct വിപുലീകരണം നിങ്ങൾ കണ്ടിരിക്കാം - ഇത് സ്ക്രിപ്റ്റ്ലെറ്റുകൾക്കുള്ള ഔദ്യോഗിക വിപുലീകരണമാണ്. അടിസ്ഥാനപരമായി, അവ ഒരു എക്സ്എംഎൽ റാപ്പറിൽ പൊതിഞ്ഞ സ്ക്രിപ്റ്റ് കോഡാണ്:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

COM ഒബ്‌ജക്‌റ്റുകളും അതിനനുസരിച്ച് സ്‌ക്രിപ്റ്റ്‌ലെറ്റുകളും സ്വീകരിക്കുന്ന പ്രത്യേക യൂട്ടിലിറ്റികളും ആപ്ലിക്കേഷനുകളും വിൻഡോസിൽ ഉണ്ടെന്ന് ഹാക്കർമാരും പെന്റസ്റ്ററുകളും കണ്ടെത്തി.

pubprn എന്നറിയപ്പെടുന്ന VBS-ൽ എഴുതിയ ഒരു വിൻഡോസ് യൂട്ടിലിറ്റിയിലേക്ക് എനിക്ക് ഒരു സ്ക്രിപ്റ്റ്ലെറ്റ് കൈമാറാൻ കഴിയും. ഇത് C:Windowssystem32Printing_Admin_Scripts-ന്റെ ആഴത്തിലാണ് സ്ഥിതി ചെയ്യുന്നത്. വഴിയിൽ, ഒബ്ജക്റ്റുകളെ പാരാമീറ്ററുകളായി സ്വീകരിക്കുന്ന മറ്റ് വിൻഡോസ് യൂട്ടിലിറ്റികളുണ്ട്. ആദ്യം ഈ ഉദാഹരണം നോക്കാം.

ഒരു പ്രിന്റ് സ്ക്രിപ്റ്റിൽ നിന്ന് പോലും ഷെൽ സമാരംഭിക്കാൻ കഴിയുന്നത് തികച്ചും സ്വാഭാവികമാണ്. മൈക്രോസോഫ്റ്റിലേക്ക് പോകൂ!

ഒരു പരീക്ഷണമെന്ന നിലയിൽ, ഞാൻ ഒരു ലളിതമായ റിമോട്ട് സ്‌ക്രിപ്റ്റ്ലെറ്റ് സൃഷ്‌ടിച്ചു, അത് ഒരു ഷെൽ സമാരംഭിക്കുകയും "നിങ്ങൾ ഇപ്പോൾ സ്‌ക്രിപ്റ്റ് ചെയ്‌തിരിക്കുന്നു!" എന്ന രസകരമായ സന്ദേശം പ്രിന്റ് ചെയ്യുകയും ചെയ്യുന്നു. അടിസ്ഥാനപരമായി, pubprn ഒരു സ്‌ക്രിപ്റ്റ്‌ലെറ്റ് ഒബ്‌ജക്‌റ്റ് തൽക്ഷണം ചെയ്യുന്നു, ഇത് ഒരു റാപ്പർ പ്രവർത്തിപ്പിക്കാൻ VBScript കോഡിനെ അനുവദിക്കുന്നു. നിങ്ങളുടെ സിസ്റ്റത്തിൽ നുഴഞ്ഞുകയറാനും മറയ്ക്കാനും ആഗ്രഹിക്കുന്ന ഹാക്കർമാർക്ക് ഈ രീതി വ്യക്തമായ നേട്ടം നൽകുന്നു.

എക്സൽ സ്‌പ്രെഡ്‌ഷീറ്റുകൾ ഉപയോഗിച്ച് ഹാക്കർമാർ എങ്ങനെയാണ് COM സ്‌ക്രിപ്റ്റ്‌ലെറ്റുകൾ ചൂഷണം ചെയ്യുന്നത് എന്ന് അടുത്ത പോസ്റ്റിൽ ഞാൻ വിശദീകരിക്കും.

നിങ്ങളുടെ ഗൃഹപാഠത്തിനായി, നോക്കൂ ഈ വീഡിയോ Derbycon 2016-ൽ നിന്ന്, ഹാക്കർമാർ എങ്ങനെയാണ് സ്ക്രിപ്റ്റ്ലെറ്റുകൾ ഉപയോഗിച്ചതെന്ന് കൃത്യമായി വിശദീകരിക്കുന്നു. ഒപ്പം വായിക്കുകയും ചെയ്യുന്നു ഈ ലേഖനം സ്ക്രിപ്റ്റ്ലെറ്റുകളെക്കുറിച്ചും ചിലതരം പേരുകളെക്കുറിച്ചും.

അവലംബം: www.habr.com