द अॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग V: इव्हन मोअर डीडीई आणि सीओएम स्क्रिप्टलेट्स

हा लेख फाइललेस मालवेअर मालिकेचा भाग आहे. मालिकेतील इतर सर्व भाग:

• द अॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग I
• द अॅडव्हेंचर्स ऑफ इलुसिव्ह मालवेअर, भाग II: सिक्रेटिव्ह VBA स्क्रिप्ट्स
• द अॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग तिसरा: हशा आणि नफ्यासाठी गोंधळलेल्या VBA स्क्रिप्ट्स
• द अॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग IV: DDE आणि वर्ड डॉक्युमेंट फील्ड्स
• द अॅडव्हेंचर्स ऑफ द इलुसिव्ह मालवेअर, भाग V: इव्हन मोअर डीडीई आणि सीओएम स्क्रिप्टलेट्स (आम्ही इथे आहोत)

लेखांच्या या मालिकेत, आम्ही हॅकर्सकडून कमीतकमी प्रयत्न करणे आवश्यक असलेल्या आक्रमण पद्धतींचा शोध घेत आहोत. भूतकाळात लेख मायक्रोसॉफ्ट वर्डमधील डीडीई ऑटोफिल्ड पेलोडमध्ये कोड घालणे शक्य आहे हे आम्ही कव्हर केले आहे. फिशिंग ईमेलशी संलग्न असा दस्तऐवज उघडून, एक अविचारी वापरकर्ता आक्रमणकर्त्याला त्याच्या संगणकावर पाऊल ठेवण्याची परवानगी देईल. तथापि, 2017 च्या शेवटी, मायक्रोसॉफ्ट बंद DDE वरील हल्ल्यांसाठी ही पळवाट.
फिक्स एक रेजिस्ट्री एंट्री जोडते जी अक्षम करते DDE कार्ये शब्दात. तुम्हाला अजूनही या कार्यक्षमतेची आवश्यकता असल्यास, तुम्ही जुन्या DDE क्षमता सक्षम करून हा पर्याय परत करू शकता.

तथापि, मूळ पॅचमध्ये फक्त मायक्रोसॉफ्ट वर्डचा समावेश आहे. या DDE भेद्यता इतर Microsoft Office उत्पादनांमध्ये अस्तित्वात आहेत ज्यांचा वापर नो-कोड हल्ल्यांमध्ये देखील केला जाऊ शकतो? होय खात्री. उदाहरणार्थ, आपण ते Excel मध्ये देखील शोधू शकता.

लिव्हिंग डीडीईची रात्र

मला आठवते की शेवटच्या वेळी मी COM स्क्रिप्टलेटच्या वर्णनावर थांबलो होतो. मी वचन देतो की या लेखात मी नंतर त्यांच्यापर्यंत पोहोचेन.

दरम्यान, एक्सेल आवृत्तीमध्ये डीडीईची आणखी एक वाईट बाजू पाहू. जसे Word मध्ये, काही Excel मध्ये DDE ची लपलेली वैशिष्ट्ये तुम्हाला जास्त प्रयत्न न करता कोड कार्यान्वित करण्याची परवानगी देते. एक शब्द वापरकर्ता म्हणून, मी फील्डशी परिचित होतो, परंतु DDE मधील कार्यांबद्दल अजिबात नाही.

खाली दर्शविल्याप्रमाणे एक्सेलमध्ये मी सेलमधून शेल कॉल करू शकतो हे जाणून मला आश्चर्य वाटले:

हे शक्य आहे हे तुम्हाला माहीत आहे का? व्यक्तिशः, मी नाही

विंडोज शेल लाँच करण्याची ही क्षमता DDE च्या सौजन्याने आहे. तुम्ही इतर अनेक गोष्टींचा विचार करू शकता
एक्सेलची अंगभूत DDE फंक्शन्स वापरून तुम्ही कनेक्ट करू शकता असे अॅप्लिकेशन.
मी विचार करतोय तोच विचार तुम्ही करत आहात का?

आमच्या इन-सेल कमांडला पॉवरशेल सत्र सुरू करू द्या जे नंतर लिंक डाउनलोड आणि कार्यान्वित करेल - हे रिसेप्शन, जे आम्ही आधी वापरले आहे. खाली पहा:

एक्सेलमध्ये रिमोट कोड लोड करण्यासाठी आणि रन करण्यासाठी थोडे पॉवरशेल पेस्ट करा

परंतु एक कॅच आहे: एक्सेलमध्ये हे सूत्र कार्य करण्यासाठी तुम्ही हा डेटा सेलमध्ये स्पष्टपणे प्रविष्ट केला पाहिजे. हॅकर ही DDE कमांड दूरस्थपणे कशी कार्यान्वित करू शकतो? वस्तुस्थिती अशी आहे की जेव्हा एक्सेल टेबल उघडते तेव्हा एक्सेल डीडीई मधील सर्व लिंक्स अपडेट करण्याचा प्रयत्न करेल. ट्रस्ट सेंटर सेटिंग्जमध्ये हे अक्षम करण्याची किंवा बाह्य डेटा स्रोतांचे दुवे अद्यतनित करताना चेतावणी देण्याची क्षमता आहे.

अगदी नवीनतम पॅचशिवाय, तुम्ही DDE मध्ये स्वयंचलित लिंक अपडेट करणे अक्षम करू शकता

मायक्रोसॉफ्ट मूळतः स्वतः सल्ला दिला 2017 मधील कंपन्यांनी Word आणि Excel मध्ये DDE असुरक्षा टाळण्यासाठी स्वयंचलित लिंक अद्यतने अक्षम केली पाहिजेत. जानेवारी 2018 मध्ये, मायक्रोसॉफ्टने एक्सेल 2007, 2010 आणि 2013 साठी पॅच जारी केले जे डीडीई डीफॉल्टनुसार अक्षम करतात. या लेख कॉम्प्युटरवर्ल्ड पॅचच्या सर्व तपशीलांचे वर्णन करते.

बरं, इव्हेंट लॉगबद्दल काय?

मायक्रोसॉफ्टने असे असले तरी एमएस वर्ड आणि एक्सेलसाठी डीडीई सोडले, ज्यामुळे शेवटी हे ओळखले की डीडीई कार्यक्षमतेपेक्षा एक बग आहे. काही कारणास्तव तुम्ही अद्याप हे पॅचेस स्थापित केले नसतील, तरीही तुम्ही स्वयंचलित लिंक अपडेट्स अक्षम करून आणि दस्तऐवज आणि स्प्रेडशीट उघडताना वापरकर्त्यांना दुवे अद्यतनित करण्यास प्रवृत्त करणारी सेटिंग्ज सक्षम करून DDE हल्ल्याचा धोका कमी करू शकता.

आता दशलक्ष डॉलर्सचा प्रश्न: जर तुम्ही या हल्ल्याचे बळी असाल, तर लॉगमध्ये वर्ड फील्ड किंवा एक्सेल सेलमधून लॉन्च केलेली पॉवरशेल सत्रे दिसतील का?

प्रश्न: पॉवरशेल सत्रे DDE द्वारे लॉग इन केली जातात का? उत्तर: होय

जेव्हा तुम्ही पॉवरशेल सेशन्स मॅक्रो ऐवजी एक्सेल सेलमधून थेट चालवता, तेव्हा विंडोज हे इव्हेंट लॉग करेल (वर पहा). त्याच वेळी, मी असा दावा करू शकत नाही की सुरक्षा कार्यसंघासाठी पॉवरशेल सत्र, एक्सेल दस्तऐवज आणि ईमेल संदेश यांच्यातील सर्व ठिपके जोडणे आणि हल्ला कोठून सुरू झाला हे समजून घेणे सोपे होईल. मायावी मालवेअरवरील माझ्या कधीही न संपणाऱ्या मालिकेतील शेवटच्या लेखात मी यावर परत येईन.

आमची COM कशी आहे?

मागील मध्ये लेख मी COM स्क्रिप्टलेटच्या विषयावर स्पर्श केला. ते स्वतःच सोयीस्कर आहेत. तंत्रज्ञान, जे तुम्हाला कोड पास करण्याची परवानगी देते, JScript म्हणा, फक्त COM ऑब्जेक्ट म्हणून. परंतु नंतर हॅकर्सद्वारे स्क्रिप्टलेट शोधण्यात आले आणि यामुळे त्यांना अनावश्यक साधनांचा वापर न करता पीडिताच्या संगणकावर पाऊल ठेवता आले. या видео Derbycon कडून regsrv32 आणि rundll32 सारख्या अंगभूत विंडोज टूल्सचे प्रात्यक्षिक केले जाते जे रिमोट स्क्रिप्टलेटला युक्तिवाद म्हणून स्वीकारतात आणि हॅकर्स अनिवार्यपणे मालवेअरच्या मदतीशिवाय त्यांचा हल्ला करतात. मी गेल्या वेळी दाखवल्याप्रमाणे, तुम्ही JScript स्क्रिप्टलेट वापरून PowerShell कमांड्स सहज चालवू शकता.

तो एक अतिशय हुशार आहे की बाहेर वळले संशोधक COM स्क्रिप्टलेट चालवण्याचा मार्ग सापडला в एक्सेल दस्तऐवज. त्याने शोधून काढले की जेव्हा त्याने सेलमध्ये दस्तऐवज किंवा चित्राची लिंक घालण्याचा प्रयत्न केला तेव्हा त्यात एक विशिष्ट पॅकेज समाविष्ट केले गेले. आणि हे पॅकेज इनपुट म्हणून रिमोट स्क्रिप्टलेट शांतपणे स्वीकारते (खाली पहा).

बूम! COM स्क्रिप्टलेट्स वापरून शेल लाँच करण्यासाठी आणखी एक गुप्त, मूक पद्धत

निम्न-स्तरीय कोड तपासणीनंतर, संशोधकाला ते खरोखर काय आहे ते आढळले किडा पॅकेज सॉफ्टवेअरमध्ये. हे COM स्क्रिप्टलेट्स चालवण्याचा हेतू नव्हता, परंतु केवळ फायलींशी दुवा साधण्यासाठी होता. मला खात्री नाही की या असुरक्षिततेसाठी आधीपासूनच पॅच आहे. Office 2010 प्रीइंस्टॉल केलेले Amazon WorkSpaces वापरून माझ्या स्वतःच्या अभ्यासात, मी परिणामांची प्रतिकृती बनवू शकलो. तथापि, मी थोड्या वेळाने पुन्हा प्रयत्न केला तेव्हा ते कार्य करत नाही.

मला खरोखर आशा आहे की मी तुम्हाला बर्‍याच मनोरंजक गोष्टी सांगितल्या आहेत आणि त्याच वेळी हे दाखवले आहे की हॅकर्स तुमच्या कंपनीमध्ये एक किंवा दुसर्या समान प्रकारे प्रवेश करू शकतात. जरी तुम्ही सर्व नवीनतम मायक्रोसॉफ्ट पॅचेस स्थापित केले तरीही, हॅकर्सकडे तुमच्या सिस्टममध्ये पाऊल ठेवण्यासाठी अजूनही बरीच साधने आहेत, VBA मॅक्रोपासून मी ही मालिका Word किंवा Excel मध्ये दुर्भावनापूर्ण पेलोड्ससह सुरू केली आहे.

या गाथेतील अंतिम (मी वचन देतो) लेखात, मी स्मार्ट संरक्षण कसे प्रदान करावे याबद्दल बोलेन.

स्त्रोत: www.habr.com