The Adventures of Elusive Malware, Part II: Secretive VBA Scripts

ਇਹ ਲੇਖ ਫਾਈਲ ਰਹਿਤ ਮਾਲਵੇਅਰ ਲੜੀ ਦਾ ਹਿੱਸਾ ਹੈ। ਲੜੀ ਦੇ ਹੋਰ ਸਾਰੇ ਹਿੱਸੇ:

• The Adventures of the Elusive Malware, Part I
• ਐਲੂਸਿਵ ਮਾਲਵੇਅਰ ਦੇ ਸਾਹਸ, ਭਾਗ II: ਛੁਪੀਆਂ VBA ਸਕ੍ਰਿਪਟਾਂ (ਅਸੀਂ ਇੱਥੇ ਹਾਂ)

ਮੈਂ ਸਾਈਟ ਦਾ ਪ੍ਰਸ਼ੰਸਕ ਹਾਂ ਹਾਈਬ੍ਰਿਡ ਵਿਸ਼ਲੇਸ਼ਣ (ਹਾਈਬ੍ਰਿਡ ਵਿਸ਼ਲੇਸ਼ਣ, ਇਸ ਤੋਂ ਬਾਅਦ HA)। ਇਹ ਇੱਕ ਕਿਸਮ ਦਾ ਮਾਲਵੇਅਰ ਚਿੜੀਆਘਰ ਹੈ ਜਿੱਥੇ ਤੁਸੀਂ ਹਮਲਾ ਕੀਤੇ ਬਿਨਾਂ ਇੱਕ ਸੁਰੱਖਿਅਤ ਦੂਰੀ ਤੋਂ ਜੰਗਲੀ "ਸ਼ਿਕਾਰੀ" ਨੂੰ ਸੁਰੱਖਿਅਤ ਢੰਗ ਨਾਲ ਦੇਖ ਸਕਦੇ ਹੋ। HA ਸੁਰੱਖਿਅਤ ਵਾਤਾਵਰਣਾਂ ਵਿੱਚ ਮਾਲਵੇਅਰ ਚਲਾਉਂਦਾ ਹੈ, ਸਿਸਟਮ ਕਾਲਾਂ ਨੂੰ ਰਿਕਾਰਡ ਕਰਦਾ ਹੈ, ਬਣਾਈਆਂ ਗਈਆਂ ਫਾਈਲਾਂ ਅਤੇ ਇੰਟਰਨੈਟ ਟ੍ਰੈਫਿਕ, ਅਤੇ ਤੁਹਾਨੂੰ ਹਰੇਕ ਨਮੂਨੇ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਇਹ ਸਾਰੇ ਨਤੀਜੇ ਦਿੰਦਾ ਹੈ। ਇਸ ਤਰੀਕੇ ਨਾਲ, ਤੁਹਾਨੂੰ ਆਪਣੇ ਆਪ ਨੂੰ ਉਲਝਣ ਵਾਲੇ ਕੋਡ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਵਿੱਚ ਆਪਣਾ ਸਮਾਂ ਅਤੇ ਊਰਜਾ ਬਰਬਾਦ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ, ਪਰ ਹੈਕਰਾਂ ਦੇ ਸਾਰੇ ਇਰਾਦਿਆਂ ਨੂੰ ਤੁਰੰਤ ਸਮਝ ਸਕਦੇ ਹੋ।

HA ਉਦਾਹਰਨਾਂ ਜਿਨ੍ਹਾਂ ਨੇ ਮੇਰਾ ਧਿਆਨ ਖਿੱਚਿਆ ਉਹ ਜਾਂ ਤਾਂ ਕੋਡਿਡ JavaScript ਜਾਂ Visual Basic for Applications (VBA) ਸਕ੍ਰਿਪਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ ਜੋ ਵਰਡ ਜਾਂ ਐਕਸਲ ਦਸਤਾਵੇਜ਼ਾਂ ਵਿੱਚ ਮੈਕਰੋਜ਼ ਦੇ ਰੂਪ ਵਿੱਚ ਏਮਬੇਡ ਕੀਤੇ ਗਏ ਹਨ ਅਤੇ ਫਿਸ਼ਿੰਗ ਈਮੇਲਾਂ ਨਾਲ ਜੁੜੇ ਹੋਏ ਹਨ। ਜਦੋਂ ਖੋਲ੍ਹਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇਹ ਮੈਕਰੋ ਪੀੜਤ ਦੇ ਕੰਪਿਊਟਰ 'ਤੇ ਪਾਵਰਸ਼ੇਲ ਸੈਸ਼ਨ ਸ਼ੁਰੂ ਕਰਦੇ ਹਨ। ਹੈਕਰ ਆਮ ਤੌਰ 'ਤੇ PowerShell ਨੂੰ ਕਮਾਂਡਾਂ ਦੀ ਇੱਕ Base64 ਏਨਕੋਡ ਕੀਤੀ ਸਟ੍ਰੀਮ ਭੇਜਦੇ ਹਨ। ਇਹ ਸਭ ਕੁਝ ਵੈੱਬ ਫਿਲਟਰਾਂ ਅਤੇ ਐਂਟੀਵਾਇਰਸ ਸੌਫਟਵੇਅਰ ਦੁਆਰਾ ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਉਣਾ ਮੁਸ਼ਕਲ ਬਣਾਉਣ ਲਈ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਕੁਝ ਖਾਸ ਸ਼ਬਦਾਂ ਦਾ ਜਵਾਬ ਦਿੰਦੇ ਹਨ।
ਖੁਸ਼ਕਿਸਮਤੀ ਨਾਲ, HA ਆਪਣੇ ਆਪ ਬੇਸ 64 ਨੂੰ ਡੀਕੋਡ ਕਰਦਾ ਹੈ ਅਤੇ ਹਰ ਚੀਜ਼ ਨੂੰ ਤੁਰੰਤ ਪੜ੍ਹਨਯੋਗ ਫਾਰਮੈਟ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦਾ ਹੈ। ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ, ਤੁਹਾਨੂੰ ਇਹ ਧਿਆਨ ਦੇਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ ਕਿ ਇਹ ਸਕ੍ਰਿਪਟਾਂ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀਆਂ ਹਨ ਕਿਉਂਕਿ ਤੁਸੀਂ HA ਦੇ ਅਨੁਸਾਰੀ ਭਾਗ ਵਿੱਚ ਚੱਲ ਰਹੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਲਈ ਪੂਰੀ ਕਮਾਂਡ ਆਉਟਪੁੱਟ ਦੇਖਣ ਦੇ ਯੋਗ ਹੋਵੋਗੇ। ਹੇਠਾਂ ਉਦਾਹਰਨ ਵੇਖੋ:

ਹਾਈਬ੍ਰਿਡ ਵਿਸ਼ਲੇਸ਼ਣ PowerShell ਨੂੰ ਭੇਜੀਆਂ ਬੇਸ64 ਏਨਕੋਡ ਕੀਤੀਆਂ ਕਮਾਂਡਾਂ ਨੂੰ ਰੋਕਦਾ ਹੈ:

...ਅਤੇ ਫਿਰ ਉਹਨਾਂ ਨੂੰ ਤੁਹਾਡੇ ਲਈ ਡੀਕੋਡ ਕਰਦਾ ਹੈ। #ਜਾਦੂਈ ਤੌਰ 'ਤੇ

В ਪਿਛਲੀ ਪੋਸਟ ਮੈਂ PowerShell ਸੈਸ਼ਨ ਨੂੰ ਚਲਾਉਣ ਲਈ ਆਪਣਾ ਥੋੜ੍ਹਾ ਜਿਹਾ ਗੁੰਝਲਦਾਰ JavaScript ਕੰਟੇਨਰ ਬਣਾਇਆ ਹੈ। ਮੇਰੀ ਸਕ੍ਰਿਪਟ, ਜਿਵੇਂ ਕਿ ਬਹੁਤ ਸਾਰੇ PowerShell-ਅਧਾਰਿਤ ਮਾਲਵੇਅਰ, ਫਿਰ ਇੱਕ ਰਿਮੋਟ ਵੈਬਸਾਈਟ ਤੋਂ ਹੇਠਾਂ ਦਿੱਤੀ PowerShell ਸਕ੍ਰਿਪਟ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਦੀ ਹੈ। ਫਿਰ, ਇੱਕ ਉਦਾਹਰਨ ਦੇ ਤੌਰ ਤੇ, ਮੈਂ ਇੱਕ ਨੁਕਸਾਨਦੇਹ PS ਲੋਡ ਕੀਤਾ ਜੋ ਸਕ੍ਰੀਨ ਤੇ ਇੱਕ ਸੁਨੇਹਾ ਛਾਪਦਾ ਹੈ. ਪਰ ਸਮਾਂ ਬਦਲ ਰਿਹਾ ਹੈ, ਅਤੇ ਹੁਣ ਮੈਂ ਦ੍ਰਿਸ਼ ਨੂੰ ਗੁੰਝਲਦਾਰ ਬਣਾਉਣ ਦਾ ਪ੍ਰਸਤਾਵ ਕਰਦਾ ਹਾਂ.

ਪਾਵਰਸ਼ੇਲ ਸਾਮਰਾਜ ਅਤੇ ਰਿਵਰਸ ਸ਼ੈੱਲ

ਇਸ ਅਭਿਆਸ ਦੇ ਟੀਚਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਇਹ ਦਰਸਾਉਣਾ ਹੈ ਕਿ ਕਿਵੇਂ (ਮੁਕਾਬਲਤਨ) ਆਸਾਨੀ ਨਾਲ ਇੱਕ ਹੈਕਰ ਕਲਾਸਿਕ ਪੈਰੀਮੀਟਰ ਡਿਫੈਂਸ ਅਤੇ ਐਂਟੀਵਾਇਰਸ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਸਕਦਾ ਹੈ। ਜੇ ਕੋਈ ਆਈਟੀ ਬਲੌਗਰ ਬਿਨਾਂ ਪ੍ਰੋਗਰਾਮਿੰਗ ਹੁਨਰ, ਮੇਰੇ ਵਾਂਗ, ਇਹ ਕੁਝ ਸ਼ਾਮਾਂ ਵਿੱਚ ਕਰ ਸਕਦਾ ਹੈ ਖੋਜਣਯੋਗ ਮਾਲਵੇਅਰ ਬਣਾਓ (ਪੂਰੀ ਤਰ੍ਹਾਂ ਖੋਜਿਆ ਨਹੀਂ ਗਿਆ, FUD), ਇਸ ਵਿੱਚ ਦਿਲਚਸਪੀ ਰੱਖਣ ਵਾਲੇ ਇੱਕ ਨੌਜਵਾਨ ਹੈਕਰ ਦੀਆਂ ਸਮਰੱਥਾਵਾਂ ਦੀ ਕਲਪਨਾ ਕਰੋ!

ਅਤੇ ਜੇਕਰ ਤੁਸੀਂ ਇੱਕ IT ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਤਾ ਹੋ, ਪਰ ਤੁਹਾਡਾ ਮੈਨੇਜਰ ਇਹਨਾਂ ਖਤਰਿਆਂ ਦੇ ਸੰਭਾਵਿਤ ਨਤੀਜਿਆਂ ਤੋਂ ਜਾਣੂ ਨਹੀਂ ਹੈ, ਤਾਂ ਉਸਨੂੰ ਇਹ ਲੇਖ ਦਿਖਾਓ।

ਹੈਕਰ ਪੀੜਤ ਦੇ ਲੈਪਟਾਪ ਜਾਂ ਸਰਵਰ ਤੱਕ ਸਿੱਧੀ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦਾ ਸੁਪਨਾ ਦੇਖਦੇ ਹਨ। ਇਹ ਕਰਨਾ ਬਹੁਤ ਸੌਖਾ ਹੈ: ਇੱਕ ਹੈਕਰ ਨੂੰ ਸੀਈਓ ਦੇ ਲੈਪਟਾਪ 'ਤੇ ਕੁਝ ਗੁਪਤ ਫਾਈਲਾਂ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

ਕਿਸੇ ਤਰ੍ਹਾਂ ਮੈਂ ਪਹਿਲਾਂ ਹੀ ਲਿਖੀ PowerShell Empire ਪੋਸਟ-ਪ੍ਰੋਡਕਸ਼ਨ ਰਨਟਾਈਮ ਬਾਰੇ। ਆਓ ਯਾਦ ਕਰੀਏ ਕਿ ਇਹ ਕੀ ਹੈ.

ਇਹ ਲਾਜ਼ਮੀ ਤੌਰ 'ਤੇ ਇੱਕ PowerShell-ਅਧਾਰਿਤ ਪ੍ਰਵੇਸ਼ ਟੈਸਟਿੰਗ ਟੂਲ ਹੈ ਜੋ, ਕਈ ਹੋਰ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦੇ ਵਿਚਕਾਰ, ਤੁਹਾਨੂੰ ਆਸਾਨੀ ਨਾਲ ਇੱਕ ਉਲਟ ਸ਼ੈੱਲ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਤੁਸੀਂ ਇਸ 'ਤੇ ਵਧੇਰੇ ਵਿਸਥਾਰ ਨਾਲ ਅਧਿਐਨ ਕਰ ਸਕਦੇ ਹੋ PSE ਹੋਮ ਸਾਈਟ.

ਆਓ ਇੱਕ ਛੋਟਾ ਜਿਹਾ ਪ੍ਰਯੋਗ ਕਰੀਏ। ਮੈਂ Amazon Web Services ਕਲਾਉਡ ਵਿੱਚ ਇੱਕ ਸੁਰੱਖਿਅਤ ਮਾਲਵੇਅਰ ਟੈਸਟਿੰਗ ਵਾਤਾਵਰਨ ਸੈਟ ਅਪ ਕੀਤਾ ਹੈ। ਤੁਸੀਂ ਇਸ ਕਮਜ਼ੋਰੀ (ਅਤੇ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਦੇ ਘੇਰੇ ਦੇ ਅੰਦਰ ਚੱਲ ਰਹੇ ਵਾਇਰਸਾਂ ਲਈ ਬਰਖਾਸਤ ਨਾ ਹੋਣ) ਦੀ ਕਾਰਜਸ਼ੀਲ ਉਦਾਹਰਣ ਨੂੰ ਤੇਜ਼ੀ ਨਾਲ ਅਤੇ ਸੁਰੱਖਿਅਤ ਢੰਗ ਨਾਲ ਦਿਖਾਉਣ ਲਈ ਮੇਰੀ ਉਦਾਹਰਣ ਦੀ ਪਾਲਣਾ ਕਰ ਸਕਦੇ ਹੋ।

ਜੇਕਰ ਤੁਸੀਂ PowerShell Empire ਕੰਸੋਲ ਲਾਂਚ ਕਰਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਇਸ ਤਰ੍ਹਾਂ ਦਾ ਕੁਝ ਦੇਖੋਗੇ:

ਪਹਿਲਾਂ ਤੁਸੀਂ ਆਪਣੇ ਹੈਕਰ ਕੰਪਿਊਟਰ 'ਤੇ ਲਿਸਨਰ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰੋ। ਕਮਾਂਡ "ਸੁਣਨ ਵਾਲਾ" ਦਰਜ ਕਰੋ, ਅਤੇ "ਸੈੱਟ ਹੋਸਟ" ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਆਪਣੇ ਸਿਸਟਮ ਦਾ IP ਐਡਰੈੱਸ ਦਿਓ। ਫਿਰ "ਐਕਜ਼ੀਕਿਊਟ" ਕਮਾਂਡ (ਹੇਠਾਂ) ਨਾਲ ਲਿਸਨਰ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰੋ। ਇਸ ਤਰ੍ਹਾਂ, ਤੁਹਾਡੇ ਹਿੱਸੇ 'ਤੇ, ਤੁਸੀਂ ਰਿਮੋਟ ਸ਼ੈੱਲ ਤੋਂ ਇੱਕ ਨੈਟਵਰਕ ਕਨੈਕਸ਼ਨ ਦੀ ਉਡੀਕ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰੋਗੇ:

ਦੂਜੇ ਪਾਸੇ ਲਈ, ਤੁਹਾਨੂੰ "ਲਾਂਚਰ" ਕਮਾਂਡ ਦਾਖਲ ਕਰਕੇ ਇੱਕ ਏਜੰਟ ਕੋਡ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੋਵੇਗੀ (ਹੇਠਾਂ ਦੇਖੋ)। ਇਹ ਰਿਮੋਟ ਏਜੰਟ ਲਈ ਪਾਵਰਸ਼ੇਲ ਕੋਡ ਤਿਆਰ ਕਰੇਗਾ। ਨੋਟ ਕਰੋ ਕਿ ਇਹ ਬੇਸ 64 ਵਿੱਚ ਏਨਕੋਡ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਤੇ ਪੇਲੋਡ ਦੇ ਦੂਜੇ ਪੜਾਅ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਦੂਜੇ ਸ਼ਬਦਾਂ ਵਿੱਚ, ਮੇਰਾ JavaScript ਕੋਡ ਹੁਣ ਇਸ ਏਜੰਟ ਨੂੰ ਸਕਰੀਨ 'ਤੇ ਨਿਰਦੋਸ਼ ਰੂਪ ਵਿੱਚ ਟੈਕਸਟ ਪ੍ਰਿੰਟ ਕਰਨ ਦੀ ਬਜਾਏ PowerShell ਨੂੰ ਚਲਾਉਣ ਲਈ ਖਿੱਚੇਗਾ, ਅਤੇ ਇੱਕ ਰਿਵਰਸ ਸ਼ੈੱਲ ਚਲਾਉਣ ਲਈ ਸਾਡੇ ਰਿਮੋਟ PSE ਸਰਵਰ ਨਾਲ ਕਨੈਕਟ ਕਰੇਗਾ।

ਉਲਟਾ ਸ਼ੈੱਲ ਦਾ ਜਾਦੂ. ਇਹ ਕੋਡ ਕੀਤੀ PowerShell ਕਮਾਂਡ ਮੇਰੇ ਲਿਸਨਰ ਨਾਲ ਜੁੜ ਜਾਵੇਗੀ ਅਤੇ ਇੱਕ ਰਿਮੋਟ ਸ਼ੈੱਲ ਲਾਂਚ ਕਰੇਗੀ।

ਤੁਹਾਨੂੰ ਇਹ ਪ੍ਰਯੋਗ ਦਿਖਾਉਣ ਲਈ, ਮੈਂ ਨਿਰਦੋਸ਼ ਪੀੜਤ ਦੀ ਭੂਮਿਕਾ ਨਿਭਾਈ ਅਤੇ Evil.doc ਖੋਲ੍ਹਿਆ, ਇਸ ਤਰ੍ਹਾਂ ਸਾਡੀ JavaScript ਲਾਂਚ ਕੀਤੀ। ਪਹਿਲਾ ਭਾਗ ਯਾਦ ਹੈ? PowerShell ਨੂੰ ਇਸਦੀ ਵਿੰਡੋ ਨੂੰ ਪੌਪ-ਅੱਪ ਹੋਣ ਤੋਂ ਰੋਕਣ ਲਈ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਇਸਲਈ ਪੀੜਤ ਨੂੰ ਕੁਝ ਵੀ ਅਸਾਧਾਰਨ ਨਹੀਂ ਲੱਗੇਗਾ। ਹਾਲਾਂਕਿ, ਜੇਕਰ ਤੁਸੀਂ ਵਿੰਡੋਜ਼ ਟਾਸਕ ਮੈਨੇਜਰ ਨੂੰ ਖੋਲ੍ਹਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਇੱਕ ਬੈਕਗ੍ਰਾਉਂਡ ਪਾਵਰਸ਼ੇਲ ਪ੍ਰਕਿਰਿਆ ਦੇਖੋਗੇ ਜੋ ਕਿਸੇ ਵੀ ਤਰ੍ਹਾਂ ਬਹੁਤੇ ਲੋਕਾਂ ਲਈ ਅਲਾਰਮ ਦਾ ਕਾਰਨ ਨਹੀਂ ਬਣੇਗੀ। ਕਿਉਂਕਿ ਇਹ ਸਿਰਫ਼ ਨਿਯਮਤ PowerShell ਹੈ, ਹੈ ਨਾ?

ਹੁਣ ਜਦੋਂ ਤੁਸੀਂ Evil.doc ਚਲਾਉਂਦੇ ਹੋ, ਤਾਂ ਇੱਕ ਲੁਕੀ ਹੋਈ ਬੈਕਗ੍ਰਾਊਂਡ ਪ੍ਰਕਿਰਿਆ PowerShell Empire ਚਲਾਉਣ ਵਾਲੇ ਸਰਵਰ ਨਾਲ ਜੁੜ ਜਾਵੇਗੀ। ਮੇਰੀ ਚਿੱਟੀ ਪੇਂਟੇਸਟਰ ਹੈਕਰ ਟੋਪੀ ਪਾ ਕੇ, ਮੈਂ PowerShell Empire ਕੰਸੋਲ ਤੇ ਵਾਪਸ ਆ ਗਿਆ ਅਤੇ ਹੁਣ ਇੱਕ ਸੁਨੇਹਾ ਦੇਖਿਆ ਕਿ ਮੇਰਾ ਰਿਮੋਟ ਏਜੰਟ ਕਿਰਿਆਸ਼ੀਲ ਹੈ।

ਮੈਂ ਫਿਰ PSE ਵਿੱਚ ਇੱਕ ਸ਼ੈੱਲ ਖੋਲ੍ਹਣ ਲਈ "ਇੰਟਰੈਕਟ" ਕਮਾਂਡ ਦਾਖਲ ਕੀਤੀ - ਅਤੇ ਮੈਂ ਉੱਥੇ ਸੀ! ਸੰਖੇਪ ਵਿੱਚ, ਮੈਂ ਟੈਕੋ ਸਰਵਰ ਨੂੰ ਹੈਕ ਕੀਤਾ ਜੋ ਮੈਂ ਇੱਕ ਵਾਰ ਆਪਣੇ ਆਪ ਨੂੰ ਸਥਾਪਤ ਕੀਤਾ ਸੀ.

ਜੋ ਮੈਂ ਹੁਣੇ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤਾ ਹੈ ਉਸ ਲਈ ਤੁਹਾਡੇ ਹਿੱਸੇ 'ਤੇ ਇੰਨੇ ਕੰਮ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਤੁਸੀਂ ਆਪਣੇ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਗਿਆਨ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ ਲਈ ਇੱਕ ਜਾਂ ਦੋ ਘੰਟਿਆਂ ਲਈ ਆਪਣੇ ਦੁਪਹਿਰ ਦੇ ਖਾਣੇ ਦੇ ਬ੍ਰੇਕ ਦੌਰਾਨ ਇਹ ਸਭ ਆਸਾਨੀ ਨਾਲ ਕਰ ਸਕਦੇ ਹੋ। ਇਹ ਸਮਝਣ ਦਾ ਇੱਕ ਵਧੀਆ ਤਰੀਕਾ ਵੀ ਹੈ ਕਿ ਹੈਕਰ ਤੁਹਾਡੇ ਬਾਹਰੀ ਸੁਰੱਖਿਆ ਘੇਰੇ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਰਹੇ ਹਨ ਅਤੇ ਤੁਹਾਡੇ ਸਿਸਟਮ ਦੇ ਅੰਦਰ ਆ ਰਹੇ ਹਨ।

IT ਪ੍ਰਬੰਧਕ ਜੋ ਸੋਚਦੇ ਹਨ ਕਿ ਉਹਨਾਂ ਨੇ ਕਿਸੇ ਵੀ ਘੁਸਪੈਠ ਦੇ ਵਿਰੁੱਧ ਇੱਕ ਅਦੁੱਤੀ ਰੱਖਿਆ ਬਣਾਇਆ ਹੈ, ਉਹ ਸ਼ਾਇਦ ਇਸ ਨੂੰ ਵਿਦਿਅਕ ਵੀ ਸਮਝਣਗੇ - ਭਾਵ, ਜੇਕਰ ਤੁਸੀਂ ਉਹਨਾਂ ਨੂੰ ਕਾਫ਼ੀ ਦੇਰ ਤੱਕ ਤੁਹਾਡੇ ਨਾਲ ਬੈਠਣ ਲਈ ਮਨਾ ਸਕਦੇ ਹੋ।

ਆਉ ਵਾਪਿਸ ਹਕੀਕਤ ਵੱਲ ਜਾਈਏ

ਜਿਵੇਂ ਕਿ ਮੈਂ ਉਮੀਦ ਕੀਤੀ ਸੀ, ਇੱਕ ਅਸਲ ਹੈਕ, ਔਸਤ ਉਪਭੋਗਤਾ ਲਈ ਅਦਿੱਖ, ਬਸ ਉਸ ਦੀ ਇੱਕ ਪਰਿਵਰਤਨ ਹੈ ਜੋ ਮੈਂ ਹੁਣੇ ਵਰਣਨ ਕੀਤਾ ਹੈ. ਅਗਲੇ ਪ੍ਰਕਾਸ਼ਨ ਲਈ ਸਮੱਗਰੀ ਇਕੱਠੀ ਕਰਨ ਲਈ, ਮੈਂ HA 'ਤੇ ਇੱਕ ਨਮੂਨਾ ਲੱਭਣਾ ਸ਼ੁਰੂ ਕੀਤਾ ਜੋ ਮੇਰੀ ਖੋਜ ਕੀਤੀ ਉਦਾਹਰਣ ਵਾਂਗ ਕੰਮ ਕਰਦਾ ਹੈ। ਅਤੇ ਮੈਨੂੰ ਇਸਦੀ ਲੰਬੇ ਸਮੇਂ ਲਈ ਖੋਜ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਸੀ - ਸਾਈਟ 'ਤੇ ਇੱਕ ਸਮਾਨ ਹਮਲੇ ਤਕਨੀਕ ਲਈ ਬਹੁਤ ਸਾਰੇ ਵਿਕਲਪ ਹਨ.

ਮੈਨੂੰ ਆਖਰਕਾਰ HA 'ਤੇ ਮਿਲਿਆ ਮਾਲਵੇਅਰ ਇੱਕ VBA ਸਕ੍ਰਿਪਟ ਸੀ ਜੋ ਇੱਕ Word ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਏਮਬੇਡ ਕੀਤਾ ਗਿਆ ਸੀ। ਭਾਵ, ਮੈਨੂੰ ਡੌਕ ਐਕਸਟੈਂਸ਼ਨ ਨੂੰ ਜਾਅਲੀ ਕਰਨ ਦੀ ਵੀ ਜ਼ਰੂਰਤ ਨਹੀਂ ਹੈ, ਇਹ ਮਾਲਵੇਅਰ ਅਸਲ ਵਿੱਚ ਇੱਕ ਆਮ ਦਿੱਖ ਵਾਲਾ ਮਾਈਕ੍ਰੋਸਾੱਫਟ ਵਰਡ ਦਸਤਾਵੇਜ਼ ਹੈ। ਜੇ ਤੁਸੀਂ ਦਿਲਚਸਪੀ ਰੱਖਦੇ ਹੋ, ਤਾਂ ਮੈਂ ਇਸ ਨਮੂਨੇ ਨੂੰ ਚੁਣਿਆ ਹੈ rfq.doc.

ਮੈਨੂੰ ਜਲਦੀ ਪਤਾ ਲੱਗਾ ਕਿ ਤੁਸੀਂ ਅਕਸਰ ਕਿਸੇ ਦਸਤਾਵੇਜ਼ ਵਿੱਚੋਂ ਖਤਰਨਾਕ VBA ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਸਿੱਧੇ ਨਹੀਂ ਕੱਢ ਸਕਦੇ ਹੋ। ਹੈਕਰ ਉਹਨਾਂ ਨੂੰ ਸੰਕੁਚਿਤ ਅਤੇ ਲੁਕਾਉਂਦੇ ਹਨ ਤਾਂ ਜੋ ਉਹ ਵਰਡ ਦੇ ਬਿਲਟ-ਇਨ ਮੈਕਰੋ ਟੂਲਸ ਵਿੱਚ ਦਿਖਾਈ ਨਾ ਦੇਣ। ਤੁਹਾਨੂੰ ਇਸ ਨੂੰ ਹਟਾਉਣ ਲਈ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਸੰਦ ਦੀ ਲੋੜ ਹੋਵੇਗੀ. ਖੁਸ਼ਕਿਸਮਤੀ ਨਾਲ ਮੈਨੂੰ ਇੱਕ ਸਕੈਨਰ ਮਿਲਿਆ OfficeMalScanner ਫ੍ਰੈਂਕ ਬਾਲਡਵਿਨ. ਤੁਹਾਡਾ ਧੰਨਵਾਦ, ਫ੍ਰੈਂਕ।

ਇਸ ਟੂਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ, ਮੈਂ ਬਹੁਤ ਜ਼ਿਆਦਾ ਗੁੰਝਲਦਾਰ VBA ਕੋਡ ਨੂੰ ਬਾਹਰ ਕੱਢਣ ਦੇ ਯੋਗ ਸੀ. ਇਹ ਕੁਝ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦਾ ਸੀ:

ਇਹ ਗੜਬੜ ਉਨ੍ਹਾਂ ਦੇ ਖੇਤਰ ਵਿੱਚ ਪੇਸ਼ੇਵਰਾਂ ਦੁਆਰਾ ਕੀਤੀ ਗਈ ਸੀ। ਮੈਂ ਪ੍ਰਭਾਵਿਤ ਹੋਇਆ ਸੀ!

ਹਮਲਾਵਰ ਕੋਡ ਨੂੰ ਅਸਪਸ਼ਟ ਕਰਨ ਵਿੱਚ ਅਸਲ ਵਿੱਚ ਚੰਗੇ ਹਨ, Evil.doc ਬਣਾਉਣ ਵਿੱਚ ਮੇਰੇ ਯਤਨਾਂ ਵਾਂਗ ਨਹੀਂ। ਠੀਕ ਹੈ, ਅਗਲੇ ਹਿੱਸੇ ਵਿੱਚ ਅਸੀਂ ਆਪਣੇ VBA ਡੀਬੱਗਰਾਂ ਨੂੰ ਬਾਹਰ ਕੱਢਾਂਗੇ, ਇਸ ਕੋਡ ਵਿੱਚ ਥੋੜਾ ਡੂੰਘਾ ਡੁਬਕੀ ਲਵਾਂਗੇ ਅਤੇ HA ਨਤੀਜਿਆਂ ਨਾਲ ਸਾਡੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੀ ਤੁਲਨਾ ਕਰਾਂਗੇ।

ਸਰੋਤ: www.habr.com