द एडवेंचर्स ऑफ़ द एलूसिव माल्वारी, पार्ट IV: डीडीई और वर्ड डॉक्यूमेंट फील्ड्स

यह लेख फिललेस मालवेयर सीरीज का हिस्सा है। श्रृंखला के अन्य सभी भाग:

• द एडवेंचर्स ऑफ़ द एलूसिव माल्वारी, भाग I
• द एलूसिव माल्वारी का एडवेंचर्स, भाग II: सीक्रेट वीबीए लिपियों
• द एलूसिव माल्वारी के एडवेंचर्स, भाग III: हंसी और लाभ के लिए जटिल VBA लिपियों
• द एलूसिव माल्वारी के एडवेंचर्स, भाग IV: डीडीई और वर्ड डॉक्यूमेंट फील्ड्स (यहाँ हम हैं)

इस लेख में, मैं सिस्टम में फिक्सिंग के साथ फ़ाइल-मुक्त हमले के एक और अधिक जटिल बहु-मंच परिदृश्य में डुबकी लगाने जा रहा था। लेकिन फिर मुझे कोड के बिना एक अविश्वसनीय रूप से सरल हमला हुआ - कोई वर्ड या एक्सेल मैक्रोज़ की आवश्यकता नहीं है! और यह मेरी प्रारंभिक परिकल्पना को और अधिक कुशलता से साबित करता है जो लेखों की इस श्रृंखला को रेखांकित करता है: किसी भी संगठन की बाहरी परिधि को पार करना एक बहुत ही सरल कार्य है।

पहला हमला मैं Microsoft वर्ड भेद्यता का शोषण करता हूं, जो विरासत डायनेमिक डेटा एक्सचेंज प्रोटोकॉल (DDE) पर आधारित है। यह पहले ही तय हो चुका है । दूसरा Microsoft COM और ऑब्जेक्ट ट्रांसफर क्षमताओं में अधिक सामान्य भेद्यता का फायदा उठाता है।

DDE के साथ भविष्य पर वापस जाएं

क्या किसी और को DDE याद है? शायद कुछ ही। यह पहले अंतर-प्रक्रिया संचार प्रोटोकॉल में से एक था जो अनुप्रयोगों और उपकरणों को डेटा स्थानांतरित करने की अनुमति देता था ।

मैं खुद इससे थोड़ा परिचित हूं, क्योंकि मैं दूरसंचार उपकरणों की जांच और परीक्षण करता था। उस समय, DDE ने, उदाहरण के लिए, कॉल सेंटर संचालकों के लिए CRM एप्लिकेशन को CRM ID में स्थानांतरित करने की अनुमति दी, जिसने अंततः ग्राहक का कार्ड खोला। ऐसा करने के लिए, आपको फोन और कंप्यूटर के बीच RS-232 केबल कनेक्ट करना होगा। यहाँ दिन थे!

जैसा कि यह निकला, Microsoft Word अभी भी DDE का समर्थन करता है ।

कोड के बिना इस हमले को प्रभावी बनाता है कि आप एक वर्ड दस्तावेज़ के स्वचालित क्षेत्रों से सीधे DDE प्रोटोकॉल तक पहुंच सकते हैं (मैं शोध और इसके बारे में प्रकाशित करने के लिए SensePost पर अपनी टोपी उतारता हूं)।

फ़ील्ड कोड एक अन्य प्राचीन एमएस वर्ड फीचर है जो आपको डायनामिक टेक्स्ट और एक दस्तावेज़ में थोड़ी प्रोग्रामिंग जोड़ने की अनुमति देता है। सबसे स्पष्ट उदाहरण पृष्ठ संख्या फ़ील्ड है, जिसे {पेज \ * MERGEFORMAT} मान का उपयोग करके पाद लेख में डाला जा सकता है। इससे आप पेज नंबर अपने आप जेनरेट कर सकते हैं।


संकेत: आप सम्मिलित करें अनुभाग में फ़ील्ड मेनू आइटम पा सकते हैं।

मुझे याद है कि जब मैंने पहली बार वर्ड में इस फीचर की खोज की थी, तो मैं हैरान था। और जब तक पैच इसे अक्षम नहीं करता, तब तक वर्ड ने DDE फ़ील्ड पैरामीटर का समर्थन किया। यह विचार था कि डीडीई वर्ड को सीधे आवेदन के साथ संवाद करने की अनुमति देगा, फिर प्रोग्राम आउटपुट को एक दस्तावेज़ में स्थानांतरित करने की संभावना के लिए। यह उस समय एक बहुत ही युवा तकनीक थी - बाहरी अनुप्रयोगों के साथ डेटा के आदान-प्रदान के लिए समर्थन। बाद में इसे COM तकनीक में विकसित किया गया था, जिसे हम नीचे भी विचार करेंगे।

नतीजतन, हैकर्स को एहसास हुआ कि यह डीडीई एप्लिकेशन एक कमांड शेल हो सकता है, जो निश्चित रूप से, पॉवरशेल को लॉन्च करता है, और वहां से हैकर्स जो चाहें कर सकते हैं।
नीचे दिए गए स्क्रीनशॉट से पता चलता है कि मैंने इस गुप्त तकनीक का उपयोग कैसे किया: DDE फ़ील्ड से एक छोटी PowerShell स्क्रिप्ट (इसके बाद PS के रूप में संदर्भित) एक और PS स्क्रिप्ट लोड करती है जो हमले के दूसरे चरण को लॉन्च करती है।


पॉप-अप चेतावनी के लिए विंडोज के लिए धन्यवाद कि DDEAUTO अंतर्निहित फ़ील्ड गुप्त रूप से शेल को शुरू करने की कोशिश कर रहा है

भेद्यता के दोहन की पसंदीदा विधि DDEAUTO फ़ील्ड के साथ विकल्प का उपयोग करना है, जो किसी Word दस्तावेज़ को खोलने पर स्वचालित रूप से एक स्क्रिप्ट चलाता है।
आइए इस बारे में सोचें कि हम इसके बारे में क्या कर सकते हैं।

नौसिखिए हैकर के रूप में, आप, उदाहरण के लिए, फ़िशिंग ईमेल भेज सकते हैं, यह दिखाते हुए कि आप फ़ेडरल टैक्स सर्विस से हैं, और पहले चरण (मूल रूप से ड्रॉपर) के लिए PS स्क्रिप्ट के साथ DDEAUTO फ़ील्ड एम्बेड करें। और आपको मैक्रोज़ आदि की कोई वास्तविक कोडिंग करने की भी आवश्यकता नहीं है, जैसा कि मैंने पिछले लेख में किया था ।
पीड़ित आपके दस्तावेज़ को खोलता है, अंतर्निहित स्क्रिप्ट सक्रिय है, और हैकर कंप्यूटर के अंदर है। मेरे मामले में, दूरस्थ PS स्क्रिप्ट केवल संदेश प्रिंट करता है, लेकिन यह PS साम्राज्य क्लाइंट को भी आसानी से लॉन्च कर सकता है, जो शेल को रिमोट एक्सेस प्रदान करेगा।
और इससे पहले कि पीड़ित के पास कुछ भी कहने का समय हो, गाँव में हैकर सबसे अमीर किशोर होंगे।


शेल को थोड़ी सी भी एन्कोडिंग के बिना लॉन्च किया गया था। एक बच्चा भी कर सकता है!

डीडीई और खेतों

बाद में, माइक्रोसॉफ्ट ने अभी भी वर्ड में DDE को अक्षम कर दिया था, लेकिन इससे पहले, कंपनी ने कहा कि इस सुविधा का दुरुपयोग किया गया था। कुछ बदलने की उनकी अनिच्छा समझ में आती है। अपने स्वयं के अनुभव से, मैंने खुद एक ऐसा उदाहरण देखा कि दस्तावेज़ खोलते समय फ़ील्ड्स को अपडेट करना सक्षम था, लेकिन आईटी सेवा द्वारा वर्ड मैक्रोज़ को अक्षम कर दिया गया था (लेकिन एक अधिसूचना के साथ)। वैसे, आप Word सेटिंग्स अनुभाग में संबंधित पैरामीटर पा सकते हैं।

हालाँकि, भले ही फ़ील्ड अपडेट सक्षम हो, लेकिन Microsoft Word अतिरिक्त उपयोगकर्ता को तब सूचित करेगा जब कोई फ़ील्ड हटाए गए डेटा तक पहुंच का अनुरोध करता है, जैसा कि ऊपर DDE के साथ है। Microsoft वास्तव में आपको चेतावनी दे रहा है।

लेकिन सबसे अधिक संभावना है, उपयोगकर्ता अभी भी इस चेतावनी को छोड़ देंगे और वर्ड में फ़ील्ड अपडेट को सक्रिय करेंगे। यह खतरनाक DDE सुविधा को अक्षम करने के लिए Microsoft को धन्यवाद देने के दुर्लभ अवसरों में से एक है।

आज एक अप्रकाशित विंडोज सिस्टम खोजना कितना कठिन है?

इस परीक्षण के लिए, मैंने वर्चुअल डेस्कटॉप तक पहुंचने के लिए AWS वर्कस्पेस का उपयोग किया। इस प्रकार, मुझे एमएस ऑफिस के साथ एक अप्रकाशित आभासी मशीन मिली, जिसने मुझे DDEAUTO फ़ील्ड सम्मिलित करने की अनुमति दी। मुझे कोई संदेह नहीं है कि इसी तरह आप अन्य कंपनियों को ढूंढ सकते हैं जिन्होंने अभी तक आवश्यक सुरक्षा पैच स्थापित नहीं किए हैं।

वस्तुओं का रहस्य

यहां तक ​​कि अगर आपने इस पैच को स्थापित किया है, तो एमएस ऑफिस में अन्य सुरक्षा छेद हैं जो हैकर्स को वर्ड के साथ हमारे द्वारा किए गए कुछ समान करने की अनुमति देते हैं। निम्नलिखित परिदृश्य में, हम सीखेंगे कि एक्सेल को एक फिशिंग अटैक के लिए फाइट के रूप में बिना कोड लिखे कैसे इस्तेमाल किया जाए।

इस परिदृश्य को समझने के लिए, चलो Microsoft घटक ऑब्जेक्ट मॉडल या संक्षिप्त COM (घटक ऑब्जेक्ट मॉडल) को याद करते हैं ।

COM का अस्तित्व 1990 के दशक से है, और इसे दूरस्थ RPC कॉल पर आधारित "ऑब्जेक्ट-ओरिएंटेड घटक मॉडल को प्रोग्रामिंग भाषा के लिए तटस्थ" के रूप में परिभाषित किया गया है। COM शब्दावली की सामान्य समझ के लिए, इस पोस्ट को StackOverflow पर पढ़ें।

द्वारा और बड़े, आप एक एक्सेल या वर्ड निष्पादन योग्य के रूप में एक COM अनुप्रयोग, या लॉन्च की जा सकने वाली कुछ अन्य बाइनरी फ़ाइल की कल्पना कर सकते हैं।

यह पता चला है कि एक COM एप्लिकेशन स्क्रिप्ट - जावास्क्रिप्ट या वीबीएसस्क्रिप्ट भी चला सकता है। तकनीकी रूप से, इसे एक स्क्रिप्टलेट कहा जाता है। शायद आपने विंडोज़ पर फ़ाइलों के लिए sct एक्सटेंशन का सामना किया है - यह स्क्रिप्टलेट्स के लिए आधिकारिक एक्सटेंशन है। वास्तव में, वे XML आवरण में लिपटे एक स्क्रिप्ट के लिए कोड हैं:

<?XML version="1.0"?> <scriptlet> <registration description="test" progid="test" version="1.00" classid="{BBBB4444-0000-0000-0000-0000FAADACDC}" remotable="true"> </registration> <script language="JScript"> <![CDATA[ var r = new ActiveXObject("WScript.Shell").Run("cmd /k powershell -c Write-Host You have been scripted!"); ]]> </script> </scriptlet> 

हैकर्स और पेंटेस्टर्स ने पता लगाया है कि विंडोज पर अलग-अलग उपयोगिताओं और एप्लिकेशन हैं जो COM ऑब्जेक्ट्स को स्वीकार करते हैं और तदनुसार, स्क्रिप्टलेट भी।

मैं स्क्रिप्ट को VBS में लिखी गई एक Windows उपयोगिता में पास कर सकता हूं, जिसे pubprn के नाम से जाना जाता है। यह C: \ Windows \ system32 \ Printing_Admin_Scripts के आंत्रों में स्थित है। वैसे, अन्य विंडोज यूटिलिटीज हैं जो ऑब्जेक्ट्स को पैरामीटर के रूप में लेते हैं। आरंभ करने के लिए, इस उदाहरण पर विचार करें।


यह केवल स्वाभाविक है कि शेल को प्रिंट स्क्रिप्ट से भी लॉन्च किया जा सकता है। Microsoft जाओ!

एक परीक्षण के रूप में, मैंने एक सरल रिमोट स्क्रिप्टलेट बनाया जो शेल को लॉन्च करता है और मजेदार संदेश को प्रिंट करता है "आप अभी-अभी स्क्रिप्ट किए गए हैं!"। मूलतः, pubprn स्क्रिप्टलेट ऑब्जेक्ट को तुरंत खोल देता है, जिससे VBScript शेल को चलाने की अनुमति देता है। यह विधि उन हैकर्स को स्पष्ट लाभ प्रदान करती है जो आपके सिस्टम में घुसना और छिपाना चाहते हैं।

अगली पोस्ट में, मैं बताऊंगा कि कैसे एक्सेल स्प्रेडशीट का उपयोग करके हैकर्स द्वारा COM स्क्रिप्टलेट का उपयोग किया जा सकता है।

अपने होमवर्क के लिए, 2016 का यह डर्बीकॉन वीडियो देखें जो बताता है कि हैकर्स ने स्क्रिप्टलेट का उपयोग कैसे किया। और इस लेख को स्क्रिप्टलेट्स और कुछ प्रकार के मोनिकर के बारे में भी पढ़ें।