द एलूसिव माल्वारी, द एडवेंचर्स वी: मोर डीडीई और कॉम स्क्रिप्ट्स

यह लेख फिललेस मालवेयर सीरीज का हिस्सा है। श्रृंखला के अन्य सभी भाग:

• द एडवेंचर्स ऑफ़ द एलूसिव माल्वारी, भाग I
• द एलूसिव माल्वारी का एडवेंचर्स, भाग II: सीक्रेट वीबीए लिपियों
• द एलूसिव माल्वारी के एडवेंचर्स, भाग III: हंसी और लाभ के लिए जटिल VBA लिपियों
• द एलूसिव माल्वारी का एडवेंचर्स, भाग IV: डीडीई और वर्ड डॉक्यूमेंट फील्ड्स
• मायावी मालवरी का भाग, भाग V: अधिक DDE और COM स्क्रिप्टलेट (हम यहां हैं)

लेखों की इस श्रृंखला में, हम हमले के तरीकों का अध्ययन करते हैं जिसमें हैकर्स द्वारा न्यूनतम प्रयास शामिल होते हैं। पिछले लेख में, हमने देखा कि आप Microsoft Word में एक स्वचालित DDE फ़ील्ड के पेलोड में कोड को कैसे एम्बेड कर सकते हैं। इस तरह के दस्तावेज़ को खोलकर, फ़िशिंग ईमेल में संलग्न, एक लापरवाह उपयोगकर्ता स्वयं एक हमलावर को अपने कंप्यूटर पर पैर जमाने की अनुमति देगा। हालाँकि, 2017 के अंत में, Microsoft ने DDE पर हमलों के लिए इस खामी को बंद कर दिया ।
हॉटफ़िक्स एक रजिस्ट्री प्रविष्टि जोड़ता है जो Word में DDE सुविधाओं को अक्षम करता है। यदि आपको अभी भी इस कार्यक्षमता की आवश्यकता है, तो आप पुराने DDE सुविधाओं को शामिल करके इस पैरामीटर को वापस कर सकते हैं।

हालाँकि, मूल पैच केवल Microsoft Word को कवर करता है। क्या ये DDE भेद्यताएँ अन्य Microsoft Office उत्पादों में मौजूद हैं जिनका उपयोग अतिरिक्त कोड के बिना हमलों में भी किया जा सकता है? हां बिल्कुल। उदाहरण के लिए, आप उन्हें एक्सेल में भी पा सकते हैं।

लाइव डीडीई नाइट

मुझे याद है कि पिछली बार मैं COM स्क्रिप्टलेट्स के विवरण पर बस गया था। मैं वादा करता हूं कि मैं इस लेख में उनसे मिलूंगा।

इस बीच, चलो एक्सेल के संस्करण में DDE के एक और बुरे पक्ष का पता लगाते हैं। वर्ड की तरह ही, एक्सेल में कुछ छिपे हुए डीडीई फीचर्स से आप बिना ज्यादा मेहनत किए कोड को अंजाम दे सकते हैं। एक उपयोगकर्ता के रूप में जो वर्ड पर बड़ा हुआ, मैं खेतों से परिचित था, लेकिन मैं डीडीई के कार्यों से पूरी तरह से अनजान था।

मुझे यह जानकर आश्चर्य हुआ कि एक्सेल में मैं एक सेल से कमांड शेल को आमंत्रित कर सकता हूं, जैसा कि नीचे दिखाया गया है:

क्या आप जानते हैं कि यह संभव था? व्यक्तिगत रूप से, मैं - नहीं।

विंडोज शेल शुरू करने का यह अवसर हमें DDE द्वारा प्रदान किया गया था। आप कई अन्य के साथ आ सकते हैं
अनुप्रयोग जो आप Excel में निर्मित DDE फ़ंक्शन का उपयोग करने के लिए कनेक्ट कर सकते हैं।
क्या आपको लगता है कि मैं उसी के बारे में बात कर रहा हूं?

एक सेल में हमारी टीम को एक PowerShell सत्र शुरू करने दें, जो तब लिंक को लोड और निष्पादित करता है - यह वह तकनीक है जिसे हमने पहले ही उपयोग किया है। नीचे देखें:

एक्सेल में रिमोट कोड को लोड करने और निष्पादित करने के लिए बस थोड़ा सा PowerShell डालें

लेकिन एक बारीकियों है: आपको एक्सेल में निष्पादित करने के लिए इस सूत्र में स्पष्ट रूप से इस डेटा को सेल में दर्ज करना होगा। तो एक हैकर इस DDE कमांड को दूरस्थ रूप से कैसे निष्पादित कर सकता है? तथ्य यह है कि जब एक्सेल स्प्रेडशीट खुली होती है, तो एक्सेल डीडीई के सभी लिंक को अपडेट करने की कोशिश करेगा। ट्रस्ट सेंटर सेटिंग्स में, बाहरी डेटा स्रोतों के लिंक को अपडेट करते समय इसे निष्क्रिय करना या चेतावनी देना लंबे समय से संभव है।

नवीनतम पैच के बिना भी, आप DDE में स्वचालित लिंक अपडेट बंद कर सकते हैं

माइक्रोसॉफ्ट ने शुरुआत में 2017 में कंपनियों को वर्ड और एक्सेल में DDE भेद्यता को रोकने के लिए स्वचालित लिंक अपडेट को बंद करने की सलाह दी थी । जनवरी 2018 में, माइक्रोसॉफ्ट ने एक्सेल 2007, 2010 और 2013 के लिए पैच जारी किए, जो डीडीई को डिफ़ॉल्ट रूप से अक्षम करते हैं। यह कंप्यूटरवर्ल्ड लेख एक पैच के सभी विवरणों का वर्णन करता है।

लेकिन घटना लॉग के बारे में क्या?

माइक्रोसॉफ्ट ने फिर भी एमएस वर्ड और एक्सेल के लिए डीडीई को छोड़ दिया, जिससे यह स्वीकार किया गया कि आखिरकार, डीडीई कार्यक्षमता की तुलना में बग की तरह अधिक है। यदि किसी कारण से आपने अभी तक इन फ़िक्सेस को स्थापित नहीं किया है, तो आप अभी भी स्वत: लिंक अपडेट को अक्षम करके और दस्तावेज़ और स्प्रेडशीट खोलते समय लिंक को अपडेट करने के लिए उपयोगकर्ताओं को संकेत देने वाली सेटिंग्स को चालू करके DDE पर हमले के जोखिम को कम कर सकते हैं।

अब, एक मिलियन-डॉलर का प्रश्न: यदि आप इस हमले के शिकार हैं, तो क्या वर्ड फ़ील्ड्स या एक्सेल सेल से लॉन्च किए गए पॉवरशेल सत्र लॉग में प्रदर्शित किए जाएंगे?

प्रश्न: क्या डीडीई लॉग इन के माध्यम से पॉवरशेल सत्र लॉग किए गए हैं? जवाब है हां

जब आप PowerShell सत्र सीधे Excel सेल से शुरू करते हैं, और मैक्रो के रूप में नहीं, तो Windows इन घटनाओं को लॉग करेगा (ऊपर देखें)। हालाँकि, मैं यह कहने का दिखावा नहीं करता कि सुरक्षा सेवा के लिए पॉवरशेल सत्र, एक्सेल डॉक्यूमेंट और मेल संदेश के बीच के सभी बिंदुओं को जोड़ना आसान होगा और यह समझना होगा कि हमला कहाँ से शुरू हुआ। मैं मायावी माल्वारी के बारे में अपनी कभी न खत्म होने वाली श्रृंखला के अंतिम लेख में इस पर वापस आऊंगा।

हमारा COM कैसा है?

पिछले लेख में, मैंने COM स्क्रिप्टलेट्स के विषय को छुआ था। अपने आप से, वे एक सुविधाजनक तकनीक हैं जो आपको एक COM ऑब्जेक्ट की तरह, कोड, कहने के लिए, JScript पास करने की अनुमति देता है। लेकिन फिर हैकर्स ने स्क्रिप्टलेट्स की खोज की, और इससे उन्हें अतिरिक्त उपकरणों के उपयोग के बिना पीड़ित के कंप्यूटर पर एक पैर जमाने में मदद मिली। यह डर्बीकॉन कॉन्फ्रेंस वीडियो बिल्ट-इन विंडोज टूल्स को प्रदर्शित करता है, जैसे कि regsrv32 और rundll32, जो रिमोट स्क्रिप्टलेट को तर्क के रूप में लेते हैं, और हैकर्स अनिवार्य रूप से मैलवेयर की मदद के बिना अपना हमला करते हैं। जैसा कि मैंने पिछली बार दिखाया था, आप JScript स्क्रिप्ट का उपयोग करके आसानी से PowerShell कमांड चला सकते हैं।

यह पता चला कि एक बहुत ही स्मार्ट शोधकर्ता ने एक्सेल दस्तावेज़ में COM स्क्रिप्टलेट को चलाने का एक तरीका पाया। उन्होंने पाया कि जब उन्होंने एक दस्तावेज़ में एक लिंक डालने या एक सेल में ड्राइंग करने की कोशिश की, तो उसमें एक पैकेज डाला गया। और यह पैकेज एक दूरस्थ स्क्रिप्टलेट को इनपुट के रूप में स्वीकार करता है (नीचे देखें)।

बूम! COM स्क्रिप्टलेट का उपयोग करके शेल चलाने के लिए एक और गुढ़ चुप्प विधि

एक निम्न-स्तरीय कोड निरीक्षण के बाद, शोधकर्ता को पता चला कि यह वास्तव में सॉफ्टवेयर पैकेज में एक बग है। यह COM स्क्रिप्टलेट चलाने के लिए नहीं था, बल्कि केवल फ़ाइल संदर्भ के लिए था। मुझे यकीन नहीं है कि इस भेद्यता के लिए पहले से ही एक पैच मौजूद है। अमेज़ॅन कार्यस्थानों पर अपने स्वयं के शोध में ऑफिस 2010 के साथ वर्चुअल डेस्कटॉप की स्थापना की गई, मैं इसके परिणामों को पुन: पेश करने में सक्षम था। हालाँकि, जब मैंने थोड़ी देर बाद फिर से कोशिश की, तो मैं सफल नहीं हुआ।

मुझे वास्तव में उम्मीद है कि मैंने आपको कई दिलचस्प बातें बताईं और साथ ही यह भी दिखाया कि हैकर्स आपकी कंपनी में एक या एक से अधिक तरीके से घुसपैठ कर सकते हैं। यहां तक ​​कि अगर आप सभी नवीनतम Microsoft पैच स्थापित करते हैं, तब भी हैकर्स के पास सिस्टम में ठीक करने के लिए बहुत सारे उपकरण होते हैं: VBA मैक्रोज़ से शुरू होकर जिसके साथ मैंने यह श्रृंखला शुरू की, और वर्ड या एक्सेल में दुर्भावनापूर्ण भार तक।

इस गाथा के अंतिम (मैं वादा करता हूं) लेख में, मैं उचित सुरक्षा प्रदान करने के तरीके के बारे में बात करूंगा।