द अॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग IV: DDE आणि वर्ड डॉक्युमेंट फील्ड्स

हा लेख फाइललेस मालवेअर मालिकेचा भाग आहे. मालिकेतील इतर सर्व भाग:

• द अॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग I
• द अॅडव्हेंचर्स ऑफ इलुसिव्ह मालवेअर, भाग II: सिक्रेटिव्ह VBA स्क्रिप्ट्स
• द अॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग तिसरा: हशा आणि नफ्यासाठी गोंधळलेल्या VBA स्क्रिप्ट्स
• द ॲडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग IV: DDE आणि वर्ड डॉक्युमेंट फील्ड्स (आम्ही येथे आहोत)

या लेखात, मी सिस्टीमवर पिनिंगसह आणखी जटिल मल्टी-स्टेज फाइललेस अटॅक परिस्थितीमध्ये जाईन. पण नंतर मला एक आश्चर्यकारकपणे साधा, विना-कोड हल्ला आला—शब्द किंवा एक्सेल मॅक्रो आवश्यक नाहीत! आणि हे लेखांच्या या मालिकेतील माझे मूळ गृहितक अधिक प्रभावीपणे सिद्ध करते: कोणत्याही संस्थेची बाह्य परिमिती तोडणे हे कठीण काम नाही.

मी वर्णन करणार पहिला हल्ला मायक्रोसॉफ्ट वर्ड असुरक्षिततेवर आधारित आहे कालबाह्य डायनॅमिक डेटा एक्सचेंज प्रोटोकॉल (DDE). ती आधीच होती निश्चित. दुसरा मायक्रोसॉफ्ट COM आणि ऑब्जेक्ट ट्रान्सफर क्षमतांमध्ये अधिक सामान्य भेद्यतेचा फायदा घेतो.

DDE सह भविष्याकडे परत

इतर कोणाला DDE आठवते का? बहुधा अनेक नाहीत. ते पहिल्यापैकी एक होते इंटर-प्रोसेस कम्युनिकेशन प्रोटोकॉल जे अनुप्रयोग आणि डिव्हाइसेसना डेटा हस्तांतरित करण्यास अनुमती देतात.

मी स्वत: त्याच्याशी थोडे परिचित आहे कारण मी दूरसंचार उपकरणे तपासत आणि तपासत असे. त्या वेळी, DDE ने, उदाहरणार्थ, कॉल सेंटर ऑपरेटरना CRM ऍप्लिकेशनमध्ये कॉलर आयडी हस्तांतरित करण्याची परवानगी दिली, ज्याने शेवटी ग्राहक कार्ड उघडले. हे करण्यासाठी, तुम्हाला तुमचा फोन आणि तुमच्या संगणकादरम्यान RS-232 केबल जोडावी लागेल. ते दिवस होते!

तो बाहेर वळते म्हणून, मायक्रोसॉफ्ट वर्ड अजूनही आहे समर्थन DDE.

कोडशिवाय हा हल्ला कशामुळे प्रभावी होतो ते म्हणजे तुम्ही DDE प्रोटोकॉलमध्ये प्रवेश करू शकता थेट वर्ड डॉक्युमेंटमधील स्वयंचलित फील्डमधून (हॅट्स ऑफ सेन्सपोस्टसाठी संशोधन आणि प्रकाशने त्याबद्दल).

फील्ड कोड आणखी एक प्राचीन एमएस वर्ड वैशिष्ट्य आहे जे तुम्हाला तुमच्या दस्तऐवजात डायनॅमिक मजकूर आणि थोडा प्रोग्रामिंग जोडण्याची परवानगी देते. सर्वात स्पष्ट उदाहरण पृष्ठ क्रमांक फील्ड आहे, जे {PAGE *MERGEFORMAT} मूल्य वापरून तळटीपमध्ये समाविष्ट केले जाऊ शकते. हे पृष्ठ क्रमांक स्वयंचलितपणे व्युत्पन्न करण्यास अनुमती देते.

इशारा: तुम्ही इन्सर्ट अंतर्गत फील्ड मेनू आयटम शोधू शकता.

मला आठवते की जेव्हा मी पहिल्यांदा वर्डमध्ये हे वैशिष्ट्य शोधले तेव्हा मी आश्चर्यचकित झालो होतो. आणि जोपर्यंत पॅचने ते अक्षम केले नाही, तोपर्यंत Word ने DDE फील्ड पर्यायाला समर्थन दिले. कल्पना अशी होती की डीडीई वर्डला अनुप्रयोगाशी थेट संवाद साधण्याची परवानगी देईल, जेणेकरून ते प्रोग्रामचे आउटपुट डॉक्युमेंटमध्ये पास करू शकेल. त्या वेळी हे एक अतिशय तरुण तंत्रज्ञान होते - बाह्य अनुप्रयोगांसह डेटा एक्सचेंजसाठी समर्थन. हे नंतर COM तंत्रज्ञानामध्ये विकसित केले गेले, जे आपण खाली देखील पाहू.

अखेरीस, हॅकर्सना लक्षात आले की हे DDE ऍप्लिकेशन कमांड शेल असू शकते, ज्याने अर्थातच पॉवरशेल लाँच केले आणि तेथून हॅकर्स त्यांना हवे ते करू शकतात.
खालील स्क्रीनशॉट दाखवतो की मी हे स्टिल्थ तंत्र कसे वापरले: DDE फील्डमधील एक लहान पॉवरशेल स्क्रिप्ट (यापुढे PS म्हणून संदर्भित) दुसरी PS स्क्रिप्ट लोड करते, जी हल्ल्याचा दुसरा टप्पा सुरू करते.

अंगभूत DDEAUTO फील्ड गुप्तपणे शेल सुरू करण्याचा प्रयत्न करत असल्याच्या पॉप-अप चेतावणीसाठी विंडोजचे आभार

असुरक्षिततेचे शोषण करण्याची पसंतीची पद्धत म्हणजे DDEAUTO फील्डसह एक प्रकार वापरणे, जे स्क्रिप्ट स्वयंचलितपणे चालवते. उघडताना शब्द दस्तऐवज.
याबद्दल आपण काय करू शकतो याचा विचार करूया.

एक नवशिक्या हॅकर म्हणून, तुम्ही, उदाहरणार्थ, तुम्ही फेडरल टॅक्स सेवेचे असल्याचे भासवून, फिशिंग ईमेल पाठवू शकता आणि पहिल्या टप्प्यासाठी PS स्क्रिप्टसह DDEAUTO फील्ड एम्बेड करू शकता (एक ड्रॉपर, मूलत:). आणि तुम्हाला मॅक्रो इत्यादींचे कोणतेही वास्तविक कोडिंग करण्याची आवश्यकता नाही, जसे मी केले मागील लेख.
पीडित व्यक्ती तुमचा दस्तऐवज उघडतो, एम्बेडेड स्क्रिप्ट सक्रिय होते आणि हॅकर संगणकाच्या आत जातो. माझ्या बाबतीत, रिमोट पीएस स्क्रिप्ट फक्त एक संदेश मुद्रित करते, परंतु ते पीएस एम्पायर क्लायंटला सहजपणे लॉन्च करू शकते, जे रिमोट शेल प्रवेश प्रदान करेल.
आणि पीडितेला काहीही बोलण्याची वेळ येण्यापूर्वी, हॅकर्स गावातील सर्वात श्रीमंत किशोरवयीन बनतील.

कोडिंगचा थोडासा त्रास न घेता शेल लाँच केले गेले. अगदी लहान मूलही करू शकते!

DDE आणि फील्ड

मायक्रोसॉफ्टने नंतर Word मध्ये DDE अक्षम केले, परंतु कंपनीने या वैशिष्ट्याचा फक्त गैरवापर झाल्याचे सांगण्यापूर्वी नाही. काहीही बदलण्याची त्यांची अनिच्छा समजण्यासारखी आहे. माझ्या अनुभवात, मी स्वतः एक उदाहरण पाहिले आहे जेथे दस्तऐवज उघडताना फील्ड अद्यतनित करणे सक्षम केले गेले होते, परंतु वर्ड मॅक्रो IT द्वारे अक्षम केले गेले होते (परंतु एक सूचना दर्शवित आहे). तसे, आपण Word सेटिंग्ज विभागात संबंधित सेटिंग्ज शोधू शकता.

तथापि, फील्ड अपडेटिंग सक्षम केले असले तरीही, वरील DDE प्रमाणेच, जेव्हा फील्ड हटविलेल्या डेटामध्ये प्रवेश करण्याची विनंती करते तेव्हा Microsoft Word वापरकर्त्याला अतिरिक्तपणे सूचित करते. मायक्रोसॉफ्ट तुम्हाला खरोखर चेतावणी देत ​​आहे.

परंतु बहुधा, वापरकर्ते तरीही या चेतावणीकडे दुर्लक्ष करतील आणि वर्डमधील फील्ड अपडेट सक्रिय करतील. धोकादायक DDE वैशिष्ट्य अक्षम केल्याबद्दल मायक्रोसॉफ्टचे आभार मानण्याची ही एक दुर्मिळ संधी आहे.

आज अनपॅच नसलेली विंडोज सिस्टम शोधणे किती कठीण आहे?

या चाचणीसाठी, मी आभासी डेस्कटॉपवर प्रवेश करण्यासाठी AWS कार्यस्थान वापरले. अशा प्रकारे मला एक अनपॅच केलेले MS Office व्हर्च्युअल मशीन मिळाले ज्याने मला DDEAUTO फील्ड घालण्याची परवानगी दिली. मला शंका नाही की अशाच प्रकारे आपण इतर कंपन्या शोधू शकता ज्यांनी अद्याप आवश्यक सुरक्षा पॅच स्थापित केलेले नाहीत.

वस्तूंचे रहस्य

जरी तुम्ही हा पॅच इन्स्टॉल केला असला तरीही, MS Office मध्ये इतर सुरक्षा छिद्रे आहेत जी हॅकर्सना आम्ही Word सोबत केलेल्या सारखे काहीतरी करू देतात. पुढील परिस्थितीत आपण शिकू कोणताही कोड न लिहिता फिशिंग हल्ल्यासाठी आमिष म्हणून Excel वापरा.

ही परिस्थिती समजून घेण्यासाठी, मायक्रोसॉफ्ट कॉम्पोनंट ऑब्जेक्ट मॉडेल किंवा थोडक्यात लक्षात ठेवूया COM (घटक ऑब्जेक्ट मॉडेल).

COM 1990 च्या दशकापासून आहे, आणि RPC रिमोट प्रक्रिया कॉलवर आधारित "भाषा-तटस्थ, ऑब्जेक्ट-ओरिएंटेड घटक मॉडेल" म्हणून परिभाषित केले आहे. COM शब्दावलीच्या सामान्य समजासाठी, वाचा हे पोस्ट StackOverflow वर.

मूलभूतपणे, तुम्ही COM ऍप्लिकेशनला एक्सेल किंवा वर्ड एक्झीक्यूटेबल किंवा इतर काही बायनरी फाइल म्हणून विचार करू शकता जी चालते.

असे दिसून आले की एक COM अनुप्रयोग देखील चालू शकतो परिस्थिती — JavaScript किंवा VBScript. तांत्रिकदृष्ट्या त्याला म्हणतात स्क्रिप्टलेट. तुम्ही Windows मधील फाइल्ससाठी .sct विस्तार पाहिला असेल - हा स्क्रिप्टलेटसाठी अधिकृत विस्तार आहे. मूलत:, ते XML रॅपरमध्ये गुंडाळलेले स्क्रिप्ट कोड आहेत:

<?XML version="1.0"?>

<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[

var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");

]]>
</script>
</scriptlet>

हॅकर्स आणि पेंटेस्टर्सनी हे शोधून काढले आहे की Windows मध्ये स्वतंत्र युटिलिटी आणि ऍप्लिकेशन्स आहेत जे COM ऑब्जेक्ट्स स्वीकारतात आणि त्यानुसार, स्क्रिप्टलेट देखील.

मी Pubprn म्हणून ओळखल्या जाणाऱ्या VBS मध्ये लिहिलेल्या Windows युटिलिटीला स्क्रिप्टलेट पास करू शकतो. हे C:Windowssystem32Printing_Admin_Scripts च्या खोलवर स्थित आहे. तसे, इतर विंडोज युटिलिटिज आहेत जे पॅरामीटर्स म्हणून ऑब्जेक्ट्स स्वीकारतात. प्रथम हे उदाहरण पाहू.

हे अगदी स्वाभाविक आहे की शेल प्रिंट स्क्रिप्टमधून देखील लॉन्च केला जाऊ शकतो. मायक्रोसॉफ्ट जा!

चाचणी म्हणून, मी एक साधा रिमोट स्क्रिप्टलेट तयार केला जो शेल लाँच करतो आणि एक मजेदार संदेश प्रिंट करतो, "तुम्हाला नुकतेच स्क्रिप्ट केले गेले आहे!" मूलत:, pubprn स्क्रिप्टलेट ऑब्जेक्ट इन्स्टंट करते, VBScript कोडला रॅपर चालवण्याची परवानगी देते. ही पद्धत हॅकर्सना एक स्पष्ट फायदा देते ज्यांना तुमच्या सिस्टममध्ये डोकावून लपवायचे आहे.

पुढील पोस्टमध्ये, मी एक्सेल स्प्रेडशीट वापरून हॅकर्सद्वारे COM स्क्रिप्टलेटचे शोषण कसे केले जाऊ शकते हे सांगेन.

तुमच्या गृहपाठासाठी, एक नजर टाका हा व्हिडिओ Derbycon 2016 वरून, जे हॅकर्सनी स्क्रिप्टलेट कसे वापरले हे स्पष्ट करते. आणि वाचा देखील हा लेख स्क्रिप्टलेट आणि काही प्रकारचे मोनिकर बद्दल.

स्त्रोत: www.habr.com