Geen wonder dat malspam-veldtogte 'n belangrike medium is om wanware te versprei nie. Voorheen het ons geskryf oor sulke veldtogte wat gebruik maak van MS Office-wanware soos kwaadwillige makro-, CVE-2017-0199- , CVE-2017-8759- en DDE- gebaseerde aanvalle. Onlangs het ons begin om verskeie malspam-veldtogte waar te neem wat die nuutste MS Office-kwesbaarheid CVE-2017-11882 uitbuit.
Kom ons kyk na 'n diepgaande analise van so 'n malspam-veldtog wat die kwesbaarheid ' CVE-2017-1188 2 ' in die natuur uitbuit.
Aanvalsketting
Kwetsbaarheidsanalise (CVE-2017-11882)
'n Kwesbaarheid vir die uitvoering van afstandkode ( CVE-2017-11882 ) word in die Microsoft Office Equation Editor (EQNEDT32.EXE)-komponent geaktiveer. Die aanvaller kan suksesvol 'n stapelbuffer-oorloopkwesbaarheid in die vergelykingsredigeerderkomponent van MS Office benut en 'n arbitrêre kode uitvoer. Die oorsaak van hierdie kwesbaarheid is die kopie van 'n onbegrensde string van die FONT-naam wat binne 'n FONT-rekordstruktuur van die Equation EditorOLE-objekdata gedefinieer is.
Om die kwesbaarheid te benut, gebruik aanvallers spesiaal vervaardigde RTF-lêers met doc-uitbreidings. Hierdie RTF-lêer bevat 'n ingebedde vergelykingsobjekklas soos getoon in Fig. 2.
Die OLE-lêer wat in die vervaardigde RTF ingebed is, het 'n stroomnaam "Equation Native" met die volgende opskrif:
| grootte | Beskrywing |
| WOORD | Grootte van koptekst(EQNOLEFILEHDR) == 28 (0x1C) |
| DWORD | weergawe |
| WOORD | Knipbordformaat |
| DWORD | Grootte van (MTEF-koptekst + MTEF-data) |
| DWORD | Voorbehou 1 |
| DWORD | Voorbehou 2 |
| DWORD | Voorbehou 3 |
| DWORD | Voorbehou 4 |
MTEF is 'n wiskundige tipe vergelykingsformaat wat deur vergelykingsredigeerder gebruik word.
Die MTEF-koptekst het die volgende struktuur.
| grootte | Beskrywing |
| BYTE | MTEF-weergawe |
| BYTE | Genererende platform |
| BYTE | Produk genereer |
| WOORD | Produkweergawe en ondermyning |
MTEF-data bestaan uit 'n MTEF-koptekst gevolg deur verskeie rekords. Hierdie rekords kan van verskillende tipes en groottes wees.
Die FONT-rekord wat in die MTEF-dataobjek gedefinieer is, ontvang 'n vervaardigde FONT-naam en veroorsaak die kwesbaarheid.
Hier volg die struktuur van MTEF-data (FONT-rekord).
| grootte | Beskrywing |
| BYTE | FONT-etiket |
| BYTE | Lettertipenommer |
| BYTE | Lettertipe-styl |
| Lyn | Lettertipe naam |
| BYTE | Nul beëindig |
As FONTNAAM groter as 32 grepe is, dui dit die aanvalspogings aan.
Uitbuitingsanalise
In hierdie veldtog gebruik die aanvanklike aanvalvektor strooipos-e-posse met vervaardigde RTF-aanhangsels met die .doc-uitbreiding.
Figuur 3 toon die strooipos-e-pos wat in hierdie veldtog gebruik is.
MS Word laat die kwaadwillige aanhangsel loop en probeer dit uitbuit. Na suksesvolle uitbuiting begin Microsoft Equation Editor die mshta- proses.
Kom ons delf in die vergadering om te sien hoe dit werk.
Die onderstaande figuur is 'n kiekie wat die stapelbuffer-oorloop-scenario wys waar 48 grepe data na 'n plaaslike buffer gekopieer word, wat 'n buffer-oorloop veroorsaak en die basiswyser en terugstuuradres oorskryf.
Fig 6 toon die adres ( 0x00430C12 ) wat in die terugkeeradres oorskryf word.
Die oorskrewe adres is van EQUATION32.EXE en daardie instruksie wys na die " WinExec " api soos genoem in Fig 7.
Na suksesvolle uitbuiting word die mshta- proses deur WinExec uitgevoer wat die kwaadwillige hta- lêer aflaai en uitvoer . Die hta-lêer dien verder as 'n aflaaier vir 'n inligtingsdief-wanware.
By Quick Heal Security Labs het ons verskillende variante van hierdie aanval gesien wat mshta.exe, cmd.exe en powershell.exe gebruik wat deur WinExec uitgevoer word vir die uitvoering van verdere aktiwiteite.
Lêerlose aanvalle
Hieronder is 'n scenario waar die aanval kode bevat wat direk 'n wanware uitvoer wat op 'n publieke WebDav-bediener gehuisves word. Die vrag is 'n tipiese netwerk UNC-pad.
Figuur 8 toon die verskillende wanware wat op die publieke WebDav-bediener 185.45.195.7 aangebied word.
Verduisteringstegniek
Om handtekeninggebaseerde opsporings te omseil, het aanvallers verskeie verdoeselingstegnieke in hierdie veldtog gebruik.
Een van die verdoeselingstegnieke wat gebruik word, word hieronder getoon (fig. 10).
Die RTF-wiskundebeheerwoord "\mmath" (wiskundesone) word as verduistering in die OLE-ingebedde RTF-lêer gebruik. As gevolg van die gebruik van die \mmath-beheerwoord, word die string cmd.exe verdeel as "c" en "md.exe" wat die handtekeninggebaseerde opsporing eenvoudig kan ontduik waar die handtekeningpatroon cmd.exe gebruik kan word.
Gevolgtrekking
Om teen sulke aanvalle te verdedig, het Microsoft reeds funksies soos DEP en ASLR in hul arsenaal geïmplementeer, maar die aanvaller het eqnedt32.exe geteiken waar albei hierdie funksies gedeaktiveer was; dus word dit vir aanvallers handig om sulke aanvalle uit te voer met behulp van geredelik beskikbare aanvals-POC's. Vanaf Microsoft Office 2007 Service Pack 3 is alle weergawes kwesbaar vir hierdie kwesbaarheid. Microsoft het 'n opdatering vir hierdie kwesbaarheid vrygestel, daarom beveel ons gebruikers aan om die nuutste Microsoft-opdateringspakkette toe te pas en hul antivirus op datum te hou.
Veiligheids maatreëls
- Om sulke aanvalle te vermy, beveel ons aan dat u Equation Editor 3.0 deaktiveer as dit nie gebruik word nie.
- Ons het ook in ons vorige blogplasing 'n paar phishing-tegnieke genoem om phishing-e-posse te identifiseer
https://blogs.quickheal.com/quick-heal-thwarts-attempts-java-jrat-phishing-campaign-targeting-international-embassy-india/
Aanwysers van kompromie:
1A74FD8314F303E96018002A9F73F1F1
F603D25DDF21A8B9C2FAE7C9DC118BE2
E64C7C14B4632E995C7922A81ABA5E15
hxxp://112.213.118[.]108:11882/
hxxp://104.254.99[.]77/x.txt
176.107.178.12
185.175.208.10
Vakassesseringseksperts
Aniruddha Dolas, Prashant Kadam | Quick Heal Sekuriteit Labs
