The Adventures of the Elusive Malware, Part V: Even More DDE र COM स्क्रिप्टलेटहरू

यो लेख फाइललेस मालवेयर श्रृंखलाको अंश हो। शृङ्खलाका अन्य सबै भागहरू:

• द एडभेन्चर अफ द इलुसिभ मालवेयर, भाग १
• द एडभेन्चर्स अफ इलुसिभ मालवेयर, भाग II: सेक्रेटिभ VBA स्क्रिप्ट
• The Adventures of the Elusive Malware, Part III: Tangled VBA Scripts for Laughter and Profit
• The Adventures of the Elusive Malware, Part IV: DDE र Word Document Fields
• The Adventures of the Elusive Malware, Part V: Even More DDE र COM स्क्रिप्टलेटहरू (हामी यहाँ छौ)

लेखहरूको यस शृङ्खलामा, हामी ह्याकरहरूको पक्षमा न्यूनतम प्रयास आवश्यक पर्ने आक्रमण विधिहरू खोज्छौं। विगतमा लेख हामीले Microsoft Word मा DDE अटोफिल्ड पेलोडमा कोड आफैं घुसाउन सम्भव छ भनेर कभर गरेका छौं। फिसिङ इमेलमा जोडिएको यस्तो कागजात खोलेर, एक अचेत प्रयोगकर्ताले आक्रमणकारीलाई आफ्नो कम्प्युटरमा आफ्नो स्थान हासिल गर्न अनुमति दिनेछ। यद्यपि, 2017 को अन्त्यमा, माइक्रोसफ्ट बन्द DDE मा आक्रमणको लागि यो लूपोल।
फिक्सले रजिस्ट्री प्रविष्टि थप्छ जुन असक्षम गर्दछ DDE प्रकार्यहरू शब्द मा। यदि तपाइँलाई अझै पनि यो कार्यक्षमता चाहिन्छ भने, तपाइँ पुरानो DDE क्षमताहरू सक्षम गरेर यो विकल्प फिर्ता गर्न सक्नुहुन्छ।

यद्यपि, मूल प्याचले माइक्रोसफ्ट वर्डलाई मात्र कभर गर्यो। के यी DDE कमजोरीहरू अन्य Microsoft Office उत्पादनहरूमा अवस्थित छन् जुन नो-कोड आक्रमणहरूमा पनि शोषण गर्न सकिन्छ? हो, पक्का। उदाहरण को लागी, तपाइँ तिनीहरूलाई Excel मा पनि फेला पार्न सक्नुहुन्छ।

जीवित DDE को रात

मलाई याद छ कि अन्तिम पटक मैले COM स्क्रिप्टलेटहरूको विवरणमा रोकेको थिएँ। म प्रतिज्ञा गर्छु कि म यस लेखमा पछि तिनीहरूलाई भेट्नेछु।

यस बीचमा, एक्सेल संस्करणमा DDE को अर्को खराब पक्ष हेरौं। शब्दमा जस्तै, केहि Excel मा DDE को लुकेका सुविधाहरू तपाईंलाई धेरै प्रयास बिना कोड कार्यान्वयन गर्न अनुमति दिन्छ। हुर्केको शब्द प्रयोगकर्ताको रूपमा, म फिल्डहरूसँग परिचित थिएँ, तर DDE मा प्रकार्यहरूको बारेमा केही पनि होइन।

एक्सेलमा म तल देखाइएको सेलबाट शेल कल गर्न सक्छु भनेर जान्न पाउँदा म छक्क परें:

के तपाईंलाई थाहा थियो कि यो सम्भव थियो? व्यक्तिगत रूपमा, म गर्दिन

विन्डोज शेल सुरु गर्ने यो क्षमता DDE को सौजन्य हो। तपाईं अन्य धेरै कुराहरू सोच्न सक्नुहुन्छ
तपाईँले Excel को निर्मित DDE प्रकार्यहरू प्रयोग गरेर जडान गर्न सक्ने अनुप्रयोगहरू।
मैले सोचेकै कुरा तिमी पनि सोच्छौ ?

हाम्रो इन-सेल आदेशलाई PowerShell सत्र सुरु गर्न दिनुहोस् जसले लिङ्क डाउनलोड र कार्यान्वयन गर्दछ - यो स्वागतजुन हामीले पहिले नै प्रयोग गरिसकेका छौं। तल हेर:

एक्सेलमा रिमोट कोड लोड गर्न र चलाउनको लागि थोरै PowerShell टाँस्नुहोस्

तर त्यहाँ एउटा क्याच छ: तपाईंले एक्सेलमा काम गर्नको लागि यो सूत्रको लागि सेलमा स्पष्ट रूपमा यो डाटा प्रविष्ट गर्नुपर्छ। ह्याकरले कसरी यो DDE आदेश टाढैबाट कार्यान्वयन गर्न सक्छ? तथ्य यो हो कि जब एक्सेल तालिका खुला छ, एक्सेलले DDE मा सबै लिङ्कहरू अद्यावधिक गर्ने प्रयास गर्नेछ। ट्रस्ट सेन्टर सेटिङहरूमा लामो समयदेखि यसलाई असक्षम पार्ने वा बाह्य डेटा स्रोतहरूमा लिङ्कहरू अद्यावधिक गर्दा चेतावनी दिने क्षमता थियो।

नवीनतम प्याच बिना पनि, तपाईं DDE मा स्वचालित लिङ्क अद्यावधिक असक्षम गर्न सक्नुहुन्छ

माइक्रोसफ्ट मूल रूपमा सल्लाह दिए 2017 मा कम्पनीहरूले Word र Excel मा DDE कमजोरीहरू रोक्न स्वचालित लिङ्क अद्यावधिकहरू असक्षम गर्नुपर्छ। जनवरी 2018 मा, माइक्रोसफ्टले एक्सेल 2007, 2010 र 2013 को लागि प्याचहरू जारी गर्‍यो जसले पूर्वनिर्धारित रूपमा DDE असक्षम पार्छ। यो लेख Computerworld ले प्याचको सबै विवरणहरू वर्णन गर्दछ।

ठीक छ, घटना लगहरूको बारेमा के हो?

तैपनि माइक्रोसफ्टले एमएस वर्ड र एक्सेलको लागि DDE त्याग्यो, यसैले अन्ततः DDE कार्यक्षमता भन्दा बग जस्तै हो भनेर मान्यता दियो। यदि कुनै कारणले तपाईंले यी प्याचहरू स्थापना गर्नुभएको छैन भने, तपाईं अझै पनि स्वचालित लिङ्क अद्यावधिकहरू असक्षम गरेर र कागजातहरू र स्प्रेडसिटहरू खोल्दा प्रयोगकर्ताहरूलाई लिङ्कहरू अद्यावधिक गर्न प्रोम्प्ट गर्ने सेटिङहरू सक्षम गरेर DDE आक्रमणको जोखिम कम गर्न सक्नुहुन्छ।

अब मिलियन डलर प्रश्न: यदि तपाईं यस आक्रमणको शिकार हुनुहुन्छ भने, Word फिल्डहरू वा एक्सेल कक्षहरूबाट सुरु गरिएको PowerShell सत्रहरू लगमा देखा पर्नेछ?

प्रश्न: के PowerShell सत्रहरू DDE लग इन मार्फत सुरू गरिएका छन्? उत्तर: हो

जब तपाईले PowerShell सत्रहरू सिधै एक्सेल सेलबाट म्याक्रोको रूपमा चलाउनु हुन्छ, विन्डोजले यी घटनाहरू लग गर्नेछ (माथि हेर्नुहोस्)। एकै समयमा, म यो दाबी गर्न सक्दिन कि सुरक्षा टोलीलाई त्यसपछि PowerShell सत्र, Excel कागजात र इमेल सन्देश बीचको सबै थोप्लाहरू जडान गर्न र आक्रमण कहाँ सुरु भयो भनेर बुझ्न सजिलो हुनेछ। म यो मायावी मालवेयर मा मेरो कहिल्यै अन्त्य नहुने श्रृंखला मा अन्तिम लेख मा फिर्ता आउनेछु।

हाम्रो COM कस्तो छ?

अघिल्लो मा लेख मैले COM स्क्रिप्टलेटको विषयमा छुनुभयो। तिनीहरू आफैमा सुविधाजनक छन्। टेक्नोलोजी, जसले तपाईंलाई कोड पास गर्न अनुमति दिन्छ, JScript भन्नुहोस्, केवल COM वस्तुको रूपमा। तर त्यसपछि स्क्रिप्टलेटहरू ह्याकरहरू द्वारा पत्ता लगाइयो, र यसले तिनीहरूलाई अनावश्यक उपकरणहरू प्रयोग नगरी पीडितको कम्प्युटरमा खुट्टा राख्न अनुमति दियो। यो видео Derbycon बाट regsrv32 र rundll32 जस्ता बिल्ट-इन विन्डोज उपकरणहरू प्रदर्शन गर्दछ जसले रिमोट स्क्रिप्टलेटहरूलाई तर्कको रूपमा स्वीकार गर्दछ, र ह्याकरहरूले अनिवार्य रूपमा मालवेयरको मद्दत बिना उनीहरूको आक्रमण गर्दछ। मैले पछिल्लो पटक देखाए जस्तै, तपाईले सजिलैसँग JScript स्क्रिप्टलेट प्रयोग गरेर PowerShell आदेशहरू चलाउन सक्नुहुन्छ।

यो एक धेरै चलाख छ भनेर पत्ता लाग्यो अनुसन्धानकर्ता COM स्क्रिप्टलेट चलाउने तरिका फेला पार्यो в एक्सेल कागजात। उनले पत्ता लगाए कि जब उनले कुनै कागजात वा तस्विरको लिङ्क सेलमा घुसाउने प्रयास गरे, त्यसमा एक निश्चित प्याकेज घुसाइएको थियो। र यो प्याकेज चुपचाप इनपुट रूपमा रिमोट स्क्रिप्टलेट स्वीकार गर्दछ (तल हेर्नुहोस्)।

बूम! COM स्क्रिप्टलेटहरू प्रयोग गरेर शेल सुरु गर्न अर्को लुकेको, मौन विधि

कम-स्तर कोड निरीक्षण पछि, अनुसन्धानकर्ताले यो वास्तवमा के हो पत्ता लगायो बग प्याकेज सफ्टवेयरमा। यो COM स्क्रिप्टलेटहरू चलाउनको लागि होइन, तर केवल फाइलहरूमा लिङ्क गर्नको लागि। म पक्का छैन कि यो जोखिमको लागि पहिले नै प्याच छ। Office 2010 पूर्वस्थापित भएको Amazon WorkSpaces को प्रयोग गरेर मेरो आफ्नै अध्ययनमा, मैले नतिजाहरू नक्कल गर्न सक्षम भएँ। यद्यपि, जब मैले केहि समय पछि पुन: प्रयास गरें, यसले काम गरेन।

म साँच्चै आशा गर्दछु कि मैले तपाईलाई धेरै रोचक कुराहरू भनें र एकै समयमा देखाएको छु कि ह्याकरहरूले तपाइँको कम्पनीमा एक वा अर्को समान तरिकामा प्रवेश गर्न सक्छन्। यदि तपाईंले सबै नवीनतम Microsoft प्याचहरू स्थापना गर्नुभयो भने पनि, ह्याकरहरूसँग तपाईंको प्रणालीमा पाइला राख्नको लागि अझै धेरै उपकरणहरू छन्, VBA म्याक्रोबाट मैले यो शृङ्खला Word वा Excel मा मालिसियस पेलोडहरूबाट सुरु गरें।

यस गाथाको अन्तिम (म वाचा गर्छु) लेखमा, म कसरी स्मार्ट सुरक्षा प्रदान गर्ने बारे कुरा गर्नेछु।

स्रोत: www.habr.com