四种被遗忘的MS Office功能被用于恶意软件投递

曲速未来安全区
曲速未来安全区 机构得得号

Aug 26, 2018 专注于为读者提供区块链安全领域最新讯息

摘要: 攻击者在不断寻找新的攻击载体。在Office文档中使用宏很容易检测,而且由于它们需要一些技能来实现,因此无法访问它们。然而,Office确实提供了许多现在未使用和被遗忘的特性,可以利用这些特性来创建成功的攻击。重新发现这些Office功能需要努力和技巧,但是一旦有了概念的证明,就有了一个窗口,可以用很少的技能创建高效的攻击。

 根据微软2016年威胁情报报告,98%的Office目标威胁使用宏来实现的。那么,难道我们就只专注于检测利用宏的威胁吗?当然不是,攻击者都在不断创新。

找到绕过现有安全解决方案的方法,并使恶意软件易于执行,是攻击者的首要任务。

利用漏洞实现代码执行是一种很好的方法,但对于大多数攻击者来说,它们的实现技术太高,而且成本太高。较不常见的文件类型提供了便于攻击者使用的传递方法,不需要受害者采取太多的行动,也可以逃避检测。

如果文件类型尚未被恶意软件广泛使用,那么很有可能安全产品对正确分析文件类型的支持有限。为此,可以利用一些很少使用的Office文件类型和特性来实现此目的。在这篇博文中,我们将重点介绍一些技术,这些技术使用了大多数被遗忘的特性来通过Microsoft Office提供恶意软件。

4种通过Microsoft Office提供恶意软件的技术

除了常见的VBA和利用漏洞的方式之外,Office还支持文件类型,这些文件类型大多被遗忘,通常不会在正常环境中使用。如果Excel支持该文件类型(例如,IQY、SLK),它将在Windows中显示一个熟悉的Excel图标,从而降低受害者变得可疑,并更有可能打开该文件的可能性。使用Excel打开后,使用DDE(DynamicDataExchange,动态数据交换)协议,如果在受害者的计算机上启用,可以轻松执行代码。

使用对象链接和嵌入(ObjectLinkandEmbedded,OLE)是利用Windows支持的文件类型感染用户计算机的一种常见技术。让受害者打开Word文档要比直接让可执行文件更容易。攻击者面临的问题是Office 2016默认阻止某些文件扩展名的执行。安全研究员MattNelson发现了一种文件类型-SettingContent-MS-它可以执行代码,但不在Office实现的阻止执行黑名单中,因此不会像OLE那样被阻止执行。

另一种滥用Office功能的方法是使用Word或Excel的,众所周知但很少使用的启动路径。如果支持的文件放置在此文件夹中,则将在应用程序下一次启动时自动打开该文件。

1)IQY-Excel Web查询

2)SLK-符号链接

3)启动路径

4)嵌入式设置内容
现在,让我们来看看利用这些投递技术的四个示例。
IQY-Excel Web查询

查看VMRayAnalyzer报告

SHA 256:ca0da220f7691059b3174b2de14bd41ddb96bf3f02a2824b2b8c103215c7403c

Excel Web查询是用于将内容从Web查询并填充到Excel单元格的简单文本文件。这些文件包含一个URL,在Excel中打开该文件后,URL的内容将被下载到工作簿中。从那时起,DDE就可以轻松地执行代码了。

Excel已支持该文件类型超过十年,但公开发布的恶意软件直到5月底才开始使用此技术.

然后在6月初发布了一份详细介绍利用此种方式进行攻击行动的报告:

恶意软件分析: Excel Web Query (iqy)文件下载FlawedAmmyy远控 (VirusTotal5/59)https://t.co/GJAnsfwwOg #infosec18 pic.twitter.com/PCpm3O1Pfe

示例本身非常简单,只是一个文本文件,其中包含要下载的链接。

图1:IQY文件的内容

打开文件时,Excel下载2.dat,并将文件的内容复制到单元格中。

图2:Excel下载下一阶段

图3:下载的2.dat文件的内容

2. dat的内容以=cmd|。这是一个简单的DDE方法,用于简单地获得后面代码执行。管道使用cmd.exe执行后的字符串,并将使用PowerShell下载下一阶段(1.dat)。在执行命令之前,Excel中会弹出警告。

图4:Office 2016的警告

图5: 第二阶段的内容, 1.dat

1.dat是一个简单的PowerShell下载程序,它下载并执行FlawinAmmyy远控。

图6:下载和执行FlawinAmmyy的IQY文件的处理图

SLK-符号链接

查看VMRayAnalyzer报告

SHA 256:3d479d661bdf4203f2dcdeaa932c3710ffb4a8edb6b0172a94659452d9c5c7f0

SLK文件格式是为在电子表格之间交换信息而设计的。与IQY一样,它也是Office支持的另一种格式,它可以与DDE相结合,以一种简单的方式执行代码。尽管该文件的内部文件是无文档的,但可以轻松地修改现有的SLK文件,而不需要了解格式,并且有非正式的文件尝试。

对于攻击者来说,实现代码执行的唯一方法是用动态表达式替换SLK文件中的单元格,比如以“=cmd\”开头的单元格。以下示例(地址)使用此技术开始使用联机XSL。攻击者可以直接在这里下载有效载荷,但可以使用“SquiblyTwo”SubTee技术,利用WMIC实现代码执行的技术。

图7:使用自定义电子表格启动wmic.SLK。

 

图8:SLK启动WMIC的过程图

启动文件夹

查看VMRayAnalyzer报告

SHA 256:83b0d7926fb2c5bc0708d9201043107e8709d77f2cd2fb5cb7693b2d930378d2

打开Word或Excel时,它们会解析某些文件夹,查找文件,并在默认情况下打开它们。这个特性有很详细的文档记录,一些组织在默认情况下使用它来打开默认的模板。

该特性也可以被恶意软件用作持久化机制或沙箱逃逸技术。技术实施起来简单,就只需将一个文件放到其中一个文件夹中。除非下一次启动相关的Office程序,否则不会打开该文件,沙箱可能不会自动打开该文件。

示例(地址)是一个rtf文件,该文件利用Word的等式编辑器漏洞(CVE-2017-11882)将XLS拖放到扩展名为xlam的默认ExcelXLSTART文件夹中。

图9:删除文件到XLSTART的检测

图10:被丢弃的XLS的Yara匹配 

释放的XLS有经过混淆的宏,下一次启动Excel时,它将打开已删除的文件,并执行宏,最后将DLL删除到AppData文件夹,并将其链接到系统启动时运行。
查看释放的XLS的VMRay Analyzer报告

图11:删除XLS的检测

嵌入式设置内容

查看VMRayAnalyzer报告

SHA 256:3c6a74d216e10e4ff158716cfa72984230995041c4bbb7596b8c8aaa461d76c5

本质上,SettingContent-Ms文件类型是一个XML,它有一个名为“Deeplink”的标签。Deeplink可以指向任何可运行的文件,当文件打开时,指定的文件将被执行。

当使用Office的连接打开文档中嵌入的文档时,Office可以禁用或警告打开嵌入的文件(如果它们是可执行的)。可执行文件黑名单中缺少了这个扩展名,因此它绕过了这个安全特性,这意味着使用Office文档执行代码要容易得多。在该漏洞被公开披露后,安全研究人员创建了测试样本,其中许多最终在VirusTotal上结束。这种方法也被野生的恶意软件所使用,让LokiBot掉了下来。从那时起,它就被广泛应用于恶意软件的运动中,它的变化是将文件嵌入到PDF文件中,而不是DOC文件。

VMRay Analyzer检测文件结果:

图12:VMRayAnalyzer检测文件

结语

攻击者在不断寻找新的攻击载体。在Office文档中使用宏很容易检测,而且由于它们需要一些技能来实现,因此无法访问它们。然而,Office确实提供了许多现在未使用和被遗忘的特性,可以利用这些特性来创建成功的攻击。重新发现这些Office功能需要努力和技巧,但是一旦有了概念的证明,就有了一个窗口,可以用很少的技能创建高效的攻击。

(作者:曲速未来安全区,内容来自链得得内容开放平台“得得号”;本文仅代表作者观点,不代表链得得官方立场)

链得得仅提供相关信息展示,不构成任何投资建议
本文系作者 曲速未来安全区 授权链得得发表,并经链得得编辑,转载请注明出处、作者和本文链接

更多精彩内容,关注链得得微信号(ID:ChainDD),或者下载链得得App

分享到:

相关推荐

    评论(0

    Oh! no

    您是否确认要删除该条评论吗?

    分享到微信