O lenei tusiga o se vaega o le Fileless Malware faasologa. O isi vaega uma o le faasologa:
- The Adventures of the Elusive Malware, Vaega IV: DDE ma Word Document Fields (ua matou i ai iinei)
I totonu o lenei tusiga, o le a ou alu atu i se faʻalavelave sili atu ona lavelave tele-laasaga e leai ni faila osofaʻiga faʻatasi ma le faʻapipiʻiina o le faiga. Ae na ou tau atu i se osofaʻiga sili ona faigofie, leai se code-e leai se Word poʻo Excel macros e manaʻomia! Ma o lenei mea e faʻamaonia atili ai loʻu manatu muamua o loʻo faʻavaeina ai lenei faasologa o tala: talepe le pito i fafo o soʻo se faʻalapotopotoga e le o se galuega faigata.
O le osofaʻiga muamua o le a ou faʻamatalaina faʻaaogaina se faʻafitauli faʻaletonu Microsoft Word e faʻavae i luga tuai (DDE). Ua uma lava . O le lona lua o lo'o fa'aaogaina se fa'aletonu lautele i Microsoft COM ma mea e mafai ona fa'afeiloa'i.
Toe foʻi i le lumanaʻi ma DDE
O i ai se isi e manatua le DDE? Masalo e le toatele. O se tasi o mea muamua feso'ota'iga feso'ota'iga va'ava'ai e fa'ataga ai talosaga ma masini e fa'afeiloa'i fa'amaumauga.
E fai lava si ou masani i ai aua sa masani ona ou siaki ma su'e masini telefoni. I lena taimi, na faʻatagaina e le DDE, mo se faʻataʻitaʻiga, telefoni nofoaga autu e faʻafeiloaʻi le ID telefoni i se talosaga CRM, lea na iu ai ina tatalaina se kata faʻatau. Ina ia faia lenei mea, e tatau ona e faʻafesoʻotaʻi se uaea RS-232 i le va o lau telefoni ma lau komepiuta. O aso na!
E pei ona aliali mai, o loʻo tumau pea le Microsoft Word DDE.
O le a le mea e aoga ai lenei osofaʻiga e aunoa ma se faʻailoga e mafai ona e mauaina le DDE protocol saʻo mai fanua otometi i totonu o se pepa Word (pulou i SensePost mo e uiga i ai).
Fa'ailoga fanua o se isi uiga anamua MS Word e mafai ai ona e faʻaopoopoina tusitusiga faʻamalosi ma sina polokalame i lau pepa. O le faʻataʻitaʻiga sili ona manino o le itulau numera fanua, lea e mafai ona faʻaofi i totonu o le vae e faʻaaoga ai le tau {PAGE *MERGEFORMAT}. Ole mea lea e mafai ai ona fa'atupu otometi numera o itulau.
Fa'ata'ita'iga: E mafai ona e mauaina le mea fa'aitu fanua i lalo ole Fa'aofi.
Ou te manatua ina ua ou mauaina muamua lenei vaega i le Word, sa ou ofo. Ma seʻia oʻo ina faʻaumatia e le patch, o loʻo lagolagoina pea e Word le filifiliga o fanua DDE. O le manatu o le DDE o le a faʻatagaina Word e fesoʻotaʻi saʻo ma le talosaga, ina ia mafai ai ona pasi atu le gaioiga a le polokalame i totonu o se pepa. O se tekinolosi talavou lava i lena taimi - lagolago mo fefaʻatauaiga o faʻamatalaga ma faʻaoga fafo. Na mulimuli ane atiina ae i COM tekinolosi, lea o le a tatou tilotilo foi i lalo.
Mulimuli ane, na iloa e le au taʻavale o lenei DDE talosaga e mafai ona avea ma se atigi faʻatonu, lea na faʻalauiloa ai le PowerShell, ma mai iina e mafai e le au taʻavale ona faia soʻo se mea latou te mananaʻo ai.
O le faʻamalama o loʻo i lalo o loʻo faʻaalia ai le auala na ou faʻaogaina ai lenei auala faʻamalosi: o se tamai tusi PowerShell (lea e taʻua mulimuli ane o PS) mai le fanua DDE o loʻo faʻapipiʻiina ai se isi PS script, lea e faʻalauiloa ai le vaega lona lua o le osofaʻiga.
Fa'afetai ia Windows mo le fa'aaliga fa'alauiloa e fa'apea o lo'o taumafai fa'alilolilo le fanua DDEAUTO na fausia e amata le atigi
O le auala sili e faʻaaogaina ai le faʻafitauli o le faʻaaogaina lea o se fesuiaiga ma le DDEAUTO fanua, lea e otometi ona faʻatautaia le tusitusiga. pe a tatala Word pepa.
Sei o tatou mafaufau po o le a se mea e mafai ona tatou faia i lenei mea.
I le avea ai o se tagata taʻavale fou, e mafai, mo se faʻataʻitaʻiga, lafo se imeli phishing, faʻafoliga o oe mai le Federal Tax Service, ma faʻapipiʻi le fanua DDEAUTO ma le PS script mo le laasaga muamua (o se dropper, e taua). Ma e te le manaʻomia foʻi le faia o soʻo se faʻamatalaga moni o macros, ma isi, pei ona ou faia i totonu
Ua tatalaina e le tagata manua lau pepa, ua faʻagaoioia le tusitusiga faʻapipiʻi, ma faʻaiʻu le tagata taʻavale i totonu o le komepiuta. I loʻu tulaga, o le tusi mamao PS na o le lolomiina o se feʻau, ae e mafai lava ona faigofie le faʻalauiloaina o le PS Empire client, lea o le a maua ai le avanoa atigi mamao.
Ma a o leʻi maua e le tagata manua se taimi e fai atu ai se mea, o le a avea le au taʻavale ma tupulaga sili ona tamaoaiga i totonu o le nuʻu.
Na fa'alauiloa le atigi e aunoa ma sina fa'ailoga. E oo lava i se tamaitiiti e mafai ona faia!
DDE ma fanua
Na faʻagata mulimuli ane e Microsoft le DDE i le Word, ae leʻi leʻi taʻua e le kamupani na faʻaaoga sese le ata. O lo latou mumusu e suia se mea e malamalama i ai. I loʻu poto masani, na ou vaʻai i se faʻataʻitaʻiga lea na faʻafou ai fanua pe a tatalaina se pepa na mafai, ae o le Word macros na le mafai e le IT (ae faʻaalia se faʻamatalaga). I le ala, e mafai ona e mauaina tulaga tutusa i le vaega Word settings.
Ae peita'i, e tusa lava pe mafai ona fa'afou le fanua, e fa'aopoopoina e Microsoft Word le tagata fa'aoga pe a talosagaina e se fanua le avanoa i fa'amaumauga ua tapeina, e pei o le DDE i luga. Ua lapataia oe e Microsoft.
Ae e foliga mai, o le a le amanaʻia e tagata faʻaoga lenei lapataiga ma faʻagaoioia le faʻafouina o fanua ile Word. O se tasi lea o avanoa e le masani ai e faʻafetai ai ia Microsoft mo le faʻagataina o le DDE mataʻutia.
O le a le faigata o le suʻeina o se Windows system e leʻi faʻapipiʻiina i aso nei?
Mo lenei suʻega, na ou faʻaogaina AWS Workspaces e faʻaoga ai se komepiuta komepiuta. O le auala lea na ou maua ai se masini masini MS Office e leʻi faʻaogaina na mafai ai ona ou faʻaofi le DDEAUTO fanua. E leai soʻu masalosalo i se auala talitutusa e mafai ona e mauaina isi kamupani e leʻi faʻapipiʻiina le puipuiga talafeagai.
Mealilo o mea faitino
E tusa lava pe na e faʻapipiʻi lenei patch, o loʻo i ai isi pu puipui ile MS Office e faʻatagaina ai tagata taʻavale e faia se mea e tutusa lelei ma mea na matou faia i le Word. I le isi vaaiga o le a tatou aoao ai fa'aaoga le Excel e fai ma maunu mo se osofa'iga phishing e aunoa ma le tusiaina o se code.
Ina ia malamalama i lenei faʻataʻitaʻiga, seʻi o tatou manatua le Microsoft Component Object Model, pe faʻapuupuu COM (Fa'ata'ita'iga Mea Fa'atino).
O le COM sa i ai talu mai le 1990s, ma ua faʻamatalaina o se "gagana-neutral, mea-faʻataʻitaʻiga vaega faʻataʻitaʻiga" e faʻavae i luga o le RPC telefoni mamao. Mo se malamalamaaga lautele o upu COM, faitau luga ole StackOverflow.
O le mea moni, e mafai ona e mafaufau i se talosaga COM o se Excel poʻo le Word executable, poʻo se isi faila faila e taʻavale.
E foliga mai e mafai foʻi ona taʻavale se talosaga COM tala faʻatusa - JavaScript poʻo le VBScript. Fa'atekinisi e ta'ua tusitusiga. Atonu na e va'ai i le fa'aopoopoga .sct mo faila i Windows - o le fa'aopoopoga aloa'ia lea mo tusitusiga. O le mea moni, o latou o faʻamaumauga tusitusia ua afifi i se afifi XML:
<?XML version="1.0"?>
<scriptlet>
<registration
description="test"
progid="test"
version="1.00"
classid="{BBBB4444-0000-0000-0000-0000FAADACDC}"
remotable="true">
</registration>
<script language="JScript">
<![CDATA[
var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!");
]]>
</script>
</scriptlet>
Ua iloa e tagata ta'avale ma tagata fa'atauva'a o lo'o i ai fa'aoga eseese ma fa'aoga i totonu o Windows e talia mea COM ma, e tusa ai, ma tusitusiga.
E mafai ona ou pasi atu se tusitusiga i se faʻaoga Windows na tusia i le VBS e taʻua o le puprn. O lo'o iai i le loloto o le C:Windowssystem32Printing_Admin_Scripts. I le ala, o loʻo i ai isi faʻaoga Windows e talia mea e fai ma faʻamau. Sei o tatou vaai muamua i le faataitaiga lenei.
E masani lava e mafai ona fa'alauiloa le atigi e tusa lava pe mai se tusitusiga lolomi. Alu Microsoft!
I le avea ai ma se suʻega, na ou fatuina ai se tusi faigofie mamao e faʻalauiloa ai se atigi ma lolomi se feʻau malie, "Faʻatoa uma ona e tusia!" O le mea moni, o le puprn e faʻapipiʻiina se mea tusitusi, faʻatagaina le VBScript code e faʻatautaia se afifi. O lenei metotia e maua ai se avanoa manino i tagata taʻavale e manaʻo e sosolo i totonu ma lalafi i luga o lau masini.
I le isi pou, o le a ou faʻamatalaina pe faʻafefea ona faʻaogaina tusitusiga a le COM e tagata taʻavale e faʻaaoga ai Excel spreadsheets.
Mo lau meaaoga, vaai mai Derbycon 2016, o loʻo faʻamatalaina tonu le auala na faʻaogaina ai e tagata taʻavale tusitusiga. Ma faitau foi e uiga i tusitusiga ma nisi ituaiga moniker.
puna: www.habr.com
