എലൂസീവ് മാൽവെയറിന്റെ സാഹസികത, ഭാഗം V: ഇനിയും കൂടുതൽ DDE, COM സ്ക്രിപ്റ്റ്ലെറ്റുകൾ

ഈ ലേഖനം ഫയൽലെസ്സ് മാൽവെയർ പരമ്പരയുടെ ഭാഗമാണ്. പരമ്പരയുടെ മറ്റെല്ലാ ഭാഗങ്ങളും:

• എലൂസീവ് മാൽവാരിയുടെ സാഹസികത, ഭാഗം I
• ദി അഡ്വഞ്ചേഴ്‌സ് ഓഫ് എലൂസീവ് മാൽവെയറുകൾ, രണ്ടാം ഭാഗം: രഹസ്യാത്മക വിബിഎ സ്‌ക്രിപ്റ്റുകൾ
• എലൂസീവ് മാൽവെയറിന്റെ സാഹസികത, ഭാഗം III: ചിരിക്കും ലാഭത്തിനും വേണ്ടിയുള്ള Tangled VBA സ്ക്രിപ്റ്റുകൾ
• എലൂസീവ് മാൽവെയറിന്റെ സാഹസികത, ഭാഗം IV: DDE, വേഡ് ഡോക്യുമെന്റ് ഫീൽഡുകൾ
• എലൂസീവ് മാൽവെയറിന്റെ സാഹസികത, ഭാഗം V: ഇനിയും കൂടുതൽ DDE, COM സ്ക്രിപ്റ്റ്ലെറ്റുകൾ (ഞങ്ങൽ ഇവിടെ ഉണ്ട്)

ഈ ലേഖന പരമ്പരയിൽ, ഹാക്കർമാരുടെ ഭാഗത്തുനിന്ന് കുറഞ്ഞ പരിശ്രമം ആവശ്യമായ ആക്രമണ രീതികൾ ഞങ്ങൾ പര്യവേക്ഷണം ചെയ്യുന്നു. കഴിഞ്ഞകാലത്ത് ലേഖനം മൈക്രോസോഫ്റ്റ് വേഡിലെ ഡിഡിഇ ഓട്ടോഫീൽഡ് പേലോഡിലേക്ക് കോഡ് തന്നെ ഒട്ടിക്കാൻ കഴിയുമെന്ന് ഞങ്ങൾ കവർ ചെയ്തു. ഒരു ഫിഷിംഗ് ഇമെയിലിൽ ഘടിപ്പിച്ചിരിക്കുന്ന അത്തരമൊരു ഡോക്യുമെന്റ് തുറക്കുന്നതിലൂടെ, ജാഗ്രതയില്ലാത്ത ഒരു ഉപയോക്താവ് ആക്രമണകാരിയെ തന്റെ കമ്പ്യൂട്ടറിൽ കാലുറപ്പിക്കാൻ അനുവദിക്കും. എന്നിരുന്നാലും, 2017 അവസാനത്തോടെ, മൈക്രോസോഫ്റ്റ് അടച്ചു ഡിഡിഇയെ ആക്രമിക്കുന്നതിനുള്ള ഈ പഴുതുണ്ട്.
തിരുത്തൽ പ്രവർത്തനരഹിതമാക്കുന്ന ഒരു രജിസ്ട്രി എൻട്രി ചേർക്കുന്നു DDE പ്രവർത്തനങ്ങൾ വാക്കിൽ. നിങ്ങൾക്ക് ഇപ്പോഴും ഈ പ്രവർത്തനം ആവശ്യമാണെങ്കിൽ, പഴയ DDE കഴിവുകൾ പ്രവർത്തനക്ഷമമാക്കി നിങ്ങൾക്ക് ഈ ഓപ്ഷൻ തിരികെ നൽകാം.

എന്നിരുന്നാലും, യഥാർത്ഥ പാച്ച് മൈക്രോസോഫ്റ്റ് വേഡ് മാത്രമേ ഉൾക്കൊള്ളുന്നുള്ളൂ. ഈ ഡിഡിഇ കേടുപാടുകൾ മറ്റ് മൈക്രോസോഫ്റ്റ് ഓഫീസ് ഉൽപ്പന്നങ്ങളിൽ നിലവിലുണ്ടോ, അത് നോ-കോഡ് ആക്രമണങ്ങളിലും ഉപയോഗിക്കാനാകുമോ? അതെ, തീർച്ച. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് അവ Excel-ലും കണ്ടെത്താനാകും.

നൈറ്റ് ഓഫ് ദി ലിവിംഗ് ഡിഡിഇ

COM സ്ക്രിപ്റ്റ്ലെറ്റുകളുടെ വിവരണത്തിൽ ഞാൻ അവസാനമായി നിർത്തിയതായി ഞാൻ ഓർക്കുന്നു. ഈ ലേഖനത്തിൽ പിന്നീട് ഞാൻ അവരെ സമീപിക്കുമെന്ന് ഞാൻ വാഗ്ദാനം ചെയ്യുന്നു.

ഇതിനിടയിൽ, എക്സൽ പതിപ്പിൽ ഡിഡിഇയുടെ മറ്റൊരു ദൂഷ്യവശം നോക്കാം. വേഡിലെന്നപോലെ ചിലത് Excel-ൽ DDE-യുടെ മറഞ്ഞിരിക്കുന്ന സവിശേഷതകൾ വളരെയധികം പരിശ്രമമില്ലാതെ കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. വളർന്നുവന്ന ഒരു വേഡ് ഉപയോക്താവ് എന്ന നിലയിൽ, എനിക്ക് ഫീൽഡുകൾ പരിചിതമായിരുന്നു, പക്ഷേ ഡിഡിഇയിലെ പ്രവർത്തനങ്ങളെക്കുറിച്ച് ഒട്ടും പരിചയമില്ല.

Excel-ൽ താഴെ കാണിച്ചിരിക്കുന്നതുപോലെ ഒരു സെല്ലിൽ നിന്ന് ഒരു ഷെല്ലിനെ വിളിക്കാൻ കഴിയുമെന്ന് അറിഞ്ഞപ്പോൾ ഞാൻ ആശ്ചര്യപ്പെട്ടു:

ഇത് സാധ്യമാണെന്ന് നിങ്ങൾക്കറിയാമോ? വ്യക്തിപരമായി, ഞാനില്ല

ഒരു വിൻഡോസ് ഷെൽ സമാരംഭിക്കാനുള്ള ഈ കഴിവ് ഡിഡിഇയുടെ കടപ്പാടാണ്. നിങ്ങൾക്ക് മറ്റ് പല കാര്യങ്ങളും ചിന്തിക്കാം
Excel-ന്റെ ബിൽറ്റ്-ഇൻ DDE ഫംഗ്‌ഷനുകൾ ഉപയോഗിച്ച് നിങ്ങൾക്ക് കണക്റ്റുചെയ്യാനാകുന്ന അപ്ലിക്കേഷനുകൾ.
ഞാൻ ചിന്തിക്കുന്നത് തന്നെയാണോ നിങ്ങളും ചിന്തിക്കുന്നത്?

ഞങ്ങളുടെ ഇൻ-സെൽ കമാൻഡ് ഒരു PowerShell സെഷൻ ആരംഭിക്കാൻ അനുവദിക്കുക, അത് ലിങ്ക് ഡൗൺലോഡ് ചെയ്യുകയും എക്സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു - ഇത് സമ്മേളിക്കുക, ഞങ്ങൾ മുമ്പ് ഉപയോഗിച്ചത്. താഴെ നോക്കുക:

Excel-ൽ റിമോട്ട് കോഡ് ലോഡ് ചെയ്യാനും പ്രവർത്തിപ്പിക്കാനും കുറച്ച് PowerShell ഒട്ടിക്കുക

എന്നാൽ ഒരു പിടിയുണ്ട്: Excel-ൽ ഈ ഫോർമുല പ്രവർത്തിക്കുന്നതിന് നിങ്ങൾ ഈ ഡാറ്റ സെല്ലിലേക്ക് വ്യക്തമായി നൽകണം. ഒരു ഹാക്കർക്ക് എങ്ങനെ ഈ DDE കമാൻഡ് വിദൂരമായി എക്സിക്യൂട്ട് ചെയ്യാം? ഒരു എക്സൽ ടേബിൾ തുറക്കുമ്പോൾ, ഡിഡിഇയിലെ എല്ലാ ലിങ്കുകളും അപ്ഡേറ്റ് ചെയ്യാൻ എക്സൽ ശ്രമിക്കും എന്നതാണ് വസ്തുത. ട്രസ്റ്റ് സെന്റർ ക്രമീകരണങ്ങൾക്ക് ഇത് പ്രവർത്തനരഹിതമാക്കാനോ ബാഹ്യ ഡാറ്റ ഉറവിടങ്ങളിലേക്കുള്ള ലിങ്കുകൾ അപ്‌ഡേറ്റ് ചെയ്യുമ്പോൾ മുന്നറിയിപ്പ് നൽകാനോ ഉള്ള കഴിവ് വളരെക്കാലമായി ഉണ്ട്.

ഏറ്റവും പുതിയ പാച്ചുകൾ ഇല്ലാതെ പോലും, നിങ്ങൾക്ക് ഡിഡിഇയിൽ സ്വയമേവയുള്ള ലിങ്ക് അപ്ഡേറ്റ് അപ്രാപ്തമാക്കാം

മൈക്രോസോഫ്റ്റ് യഥാർത്ഥത്തിൽ തന്നെ ഉപദേശിച്ചു Word, Excel എന്നിവയിലെ DDE കേടുപാടുകൾ തടയാൻ 2017-ലെ കമ്പനികൾ സ്വയമേവയുള്ള ലിങ്ക് അപ്‌ഡേറ്റുകൾ പ്രവർത്തനരഹിതമാക്കണം. 2018 ജനുവരിയിൽ, ഡിഡിഇ ഡിഫോൾട്ടായി പ്രവർത്തനരഹിതമാക്കുന്ന എക്സൽ 2007, 2010, 2013 എന്നിവയുടെ പാച്ചുകൾ മൈക്രോസോഫ്റ്റ് പുറത്തിറക്കി. ഈ ഒരു ലേഖനം പാച്ചിന്റെ എല്ലാ വിശദാംശങ്ങളും കമ്പ്യൂട്ടർ വേൾഡ് വിവരിക്കുന്നു.

ശരി, ഇവന്റ് ലോഗുകളുടെ കാര്യമോ?

എന്നിരുന്നാലും, MS Word, Excel എന്നിവയ്‌ക്കായി മൈക്രോസോഫ്റ്റ് DDE ഉപേക്ഷിച്ചു, അതുവഴി പ്രവർത്തനക്ഷമതയേക്കാൾ DDE ഒരു ബഗ് പോലെയാണെന്ന് ഒടുവിൽ തിരിച്ചറിഞ്ഞു. ചില കാരണങ്ങളാൽ നിങ്ങൾ ഇതുവരെ ഈ പാച്ചുകൾ ഇൻസ്റ്റാൾ ചെയ്തിട്ടില്ലെങ്കിൽ, ഓട്ടോമാറ്റിക് ലിങ്ക് അപ്‌ഡേറ്റുകൾ പ്രവർത്തനരഹിതമാക്കുന്നതിലൂടെയും ഡോക്യുമെന്റുകളും സ്‌പ്രെഡ്‌ഷീറ്റുകളും തുറക്കുമ്പോൾ ലിങ്കുകൾ അപ്‌ഡേറ്റ് ചെയ്യാൻ ഉപയോക്താക്കളെ പ്രേരിപ്പിക്കുന്ന ക്രമീകരണങ്ങൾ പ്രവർത്തനക്ഷമമാക്കുന്നതിലൂടെയും നിങ്ങൾക്ക് DDE ആക്രമണത്തിന്റെ സാധ്യത കുറയ്ക്കാനാകും.

ഇപ്പോൾ മില്യൺ ഡോളർ ചോദ്യം: നിങ്ങൾ ഈ ആക്രമണത്തിന്റെ ഇരയാണെങ്കിൽ, Word ഫീൽഡുകളിൽ നിന്നോ Excel സെല്ലുകളിൽ നിന്നോ ആരംഭിച്ച PowerShell സെഷനുകൾ ലോഗിൽ കാണിക്കുമോ?

ചോദ്യം: DDE വഴി ലോഞ്ച് ചെയ്ത പവർഷെൽ സെഷനുകൾ ലോഗിൻ ചെയ്തിട്ടുണ്ടോ? ഉത്തരം: അതെ

നിങ്ങൾ പവർഷെൽ സെഷനുകൾ ഒരു മാക്രോ എന്നതിലുപരി ഒരു എക്സൽ സെല്ലിൽ നിന്ന് നേരിട്ട് പ്രവർത്തിപ്പിക്കുമ്പോൾ, വിൻഡോസ് ഈ ഇവന്റുകൾ ലോഗ് ചെയ്യും (മുകളിൽ കാണുക). അതേ സമയം, പവർഷെൽ സെഷൻ, എക്സൽ ഡോക്യുമെന്റ്, ഇമെയിൽ സന്ദേശം എന്നിവയ്ക്കിടയിലുള്ള എല്ലാ ഡോട്ടുകളും ബന്ധിപ്പിച്ച് ആക്രമണം എവിടെ നിന്നാണ് ആരംഭിച്ചതെന്ന് മനസ്സിലാക്കുന്നത് സുരക്ഷാ ടീമിന് എളുപ്പമാകുമെന്ന് എനിക്ക് അവകാശപ്പെടാനാവില്ല. പിടികിട്ടാത്ത ക്ഷുദ്രവെയറിനെക്കുറിച്ചുള്ള എന്റെ ഒരിക്കലും അവസാനിക്കാത്ത പരമ്പരയിലെ അവസാന ലേഖനത്തിൽ ഞാൻ ഇതിലേക്ക് മടങ്ങിവരും.

ഞങ്ങളുടെ COM എങ്ങനെയുണ്ട്?

മുമ്പത്തേതിൽ ലേഖനം ഞാൻ COM സ്ക്രിപ്റ്റ്ലെറ്റുകൾ എന്ന വിഷയത്തിൽ സ്പർശിച്ചു. അവർ സ്വയം സൗകര്യപ്രദമാണ്. സാങ്കേതികവിദ്യ, ഒരു COM ഒബ്‌ജക്‌റ്റായി JScript എന്ന് പറയുക, കോഡ് കൈമാറാൻ നിങ്ങളെ അനുവദിക്കുന്നു. എന്നാൽ പിന്നീട് സ്ക്രിപ്റ്റ്ലെറ്റുകൾ ഹാക്കർമാർ കണ്ടെത്തി, ഇത് അനാവശ്യ ഉപകരണങ്ങൾ ഉപയോഗിക്കാതെ ഇരയുടെ കമ്പ്യൂട്ടറിൽ കാലുറപ്പിക്കാൻ അവരെ അനുവദിച്ചു. ഈ видео Regsrv32, rundll32 തുടങ്ങിയ അന്തർനിർമ്മിത വിൻഡോസ് ടൂളുകൾ ഡെർബികോണിൽ നിന്ന് പ്രദർശിപ്പിക്കുന്നു, അത് റിമോട്ട് സ്‌ക്രിപ്റ്റ്‌ലെറ്റുകളെ ആർഗ്യുമെന്റുകളായി എടുക്കുന്നു, കൂടാതെ ഹാക്കർമാർ പ്രധാനമായും ക്ഷുദ്രവെയറിന്റെ സഹായമില്ലാതെ അവരുടെ ആക്രമണം നടത്തുന്നു. ഞാൻ കഴിഞ്ഞ തവണ കാണിച്ചതുപോലെ, JScript സ്ക്രിപ്റ്റ്ലെറ്റ് ഉപയോഗിച്ച് നിങ്ങൾക്ക് പവർഷെൽ കമാൻഡുകൾ എളുപ്പത്തിൽ പ്രവർത്തിപ്പിക്കാൻ കഴിയും.

ഒരാൾ വളരെ മിടുക്കനാണെന്ന് മനസ്സിലായി ഗവേഷകൻ ഒരു COM സ്ക്രിപ്റ്റ്ലെറ്റ് പ്രവർത്തിപ്പിക്കുന്നതിനുള്ള ഒരു വഴി കണ്ടെത്തി в എക്സൽ പ്രമാണം. ഒരു സെല്ലിലേക്ക് ഒരു ഡോക്യുമെന്റിലേക്കോ ചിത്രത്തിലേക്കോ ഉള്ള ലിങ്ക് തിരുകാൻ ശ്രമിച്ചപ്പോൾ ഒരു പ്രത്യേക പാക്കേജ് അതിൽ ഉൾപ്പെടുത്തിയതായി അദ്ദേഹം കണ്ടെത്തി. ഈ പാക്കേജ് നിശബ്‌ദമായി ഒരു റിമോട്ട് സ്‌ക്രിപ്റ്റ്‌ലെറ്റ് ഇൻപുട്ടായി സ്വീകരിക്കുന്നു (ചുവടെ കാണുക).

ബൂം! COM സ്ക്രിപ്റ്റ്ലെറ്റുകൾ ഉപയോഗിച്ച് ഒരു ഷെൽ സമാരംഭിക്കുന്നതിനുള്ള മറ്റൊരു രഹസ്യവും നിശബ്ദവുമായ രീതി

ഒരു താഴ്ന്ന തലത്തിലുള്ള കോഡ് പരിശോധനയ്ക്ക് ശേഷം, അത് യഥാർത്ഥത്തിൽ എന്താണെന്ന് ഗവേഷകൻ കണ്ടെത്തി ബഗ് പാക്കേജ് സോഫ്റ്റ്വെയറിൽ. ഇത് COM സ്ക്രിപ്റ്റ്ലെറ്റുകൾ പ്രവർത്തിപ്പിക്കാൻ ഉദ്ദേശിച്ചുള്ളതല്ല, ഫയലുകളിലേക്കുള്ള ലിങ്ക് മാത്രമാണ്. ഈ ദുർബലതയ്‌ക്ക് ഇതിനകം ഒരു പാച്ച് ഉണ്ടോ എന്ന് എനിക്ക് ഉറപ്പില്ല. ഓഫീസ് 2010 പ്രീഇൻസ്റ്റാൾ ചെയ്‌തിരിക്കുന്ന ആമസോൺ വർക്ക്‌സ്‌പേസുകൾ ഉപയോഗിച്ചുള്ള എന്റെ സ്വന്തം പഠനത്തിൽ, ഫലങ്ങൾ ആവർത്തിക്കാൻ എനിക്ക് കഴിഞ്ഞു. എന്നിരുന്നാലും, കുറച്ച് കഴിഞ്ഞ് വീണ്ടും ശ്രമിച്ചപ്പോൾ അത് നടന്നില്ല.

ഞാൻ നിങ്ങളോട് ഒരുപാട് രസകരമായ കാര്യങ്ങൾ പറഞ്ഞിട്ടുണ്ടെന്നും അതേ സമയം ഹാക്കർമാർക്ക് നിങ്ങളുടെ കമ്പനിയിലേക്ക് ഒന്നോ അല്ലെങ്കിൽ മറ്റൊരു തരത്തിൽ തുളച്ചുകയറാൻ കഴിയുമെന്നും ഞാൻ ശരിക്കും പ്രതീക്ഷിക്കുന്നു. നിങ്ങൾ ഏറ്റവും പുതിയ എല്ലാ മൈക്രോസോഫ്റ്റ് പാച്ചുകളും ഇൻസ്‌റ്റാൾ ചെയ്‌താലും, നിങ്ങളുടെ സിസ്റ്റത്തിൽ കാലുറപ്പിക്കാൻ ഹാക്കർമാർക്ക് ഇനിയും നിരവധി ടൂളുകൾ ഉണ്ട്, ഞാൻ ഈ സീരീസ് ആരംഭിച്ച VBA മാക്രോകൾ മുതൽ Word അല്ലെങ്കിൽ Excel-ലെ ക്ഷുദ്രകരമായ പേലോഡുകൾ വരെ.

ഈ സാഗയിലെ അവസാന ലേഖനത്തിൽ (ഞാൻ വാഗ്ദത്തം ചെയ്യുന്നു) എങ്ങനെ മികച്ച സംരക്ഷണം നൽകാം എന്നതിനെക്കുറിച്ച് ഞാൻ സംസാരിക്കും.

അവലംബം: www.habr.com