Kein Wunder, dass Malspam-Kampagnen ein wichtiges Medium zur Verbreitung von Malware sind. Wir haben bereits über solche Kampagnen berichtet, bei denen MS Office-Malware wie bösartige Makros zum Einsatz kommt. CVE-2017-0199, CVE-2017-8759 und DDE-basierter Angriff. In letzter Zeit haben wir begonnen, verschiedene Malspam-Kampagnen zu beobachten, die die neueste MS Office-Sicherheitslücke ausnutzen CVE-2017-11882.
Werfen wir einen Blick auf die detaillierte Analyse einer solchen Malspam-Kampagne, die eine Sicherheitslücke ausnutzt.CVE-2017-11882' in der Wildnis.
Angriffskette
Schwachstellenanalyse (CVE-2017-11882)
Eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung (CVE-2017-11882) wird ausgelöst im Microsoft Office-Formeleditor (EQNEDT32.EXE) Komponente. Der Angreifer kann erfolgreich eine Sicherheitslücke im Formeleditor von MS Office ausnutzen und beliebigen Code ausführen. Die Ursache dieser Sicherheitslücke ist das Kopieren einer unbegrenzten Zeichenfolge eines FONT-Namens, der innerhalb einer FONT-Datensatzstruktur der OLE-Objektdaten des Formeleditors definiert ist.
Um die Sicherheitslücke auszunutzen, verwenden Angreifer speziell erstellte RTF-Dateien mit der Erweiterung doc. Diese RTF-Datei enthält eine eingebettete Gleichungsobjektklasse, wie in Abb. 2 dargestellt.
Die in das erstellte RTF eingebettete OLE-Datei hat den Streamnamen „Equation Native“ und die folgende Kopfzeile:
| Größe | Beschreibung |
| WORD | Größe des Headers (EQNOLEFILEHDR) == 28 (0x1C) |
| DWORD | Version |
| WORD | Zwischenablageformat |
| DWORD | Größe von (MTEF-Header + MTEF-Daten) |
| DWORD | Reserviert1 |
| DWORD | Reserviert2 |
| DWORD | Reserviert3 |
| DWORD | Reserviert4 |
MTEF ist ein mathematisches Gleichungsformat, das vom Gleichungseditor verwendet wird.
MTEF-Header haben die folgende Struktur.
| Größe | Beschreibung |
| BYTE | MTEF-Version |
| BYTE | Plattform generieren |
| BYTE | Produkt generieren |
| WORD | Produktversion und Subversion |
MTEF-Daten bestehen aus einem MTEF-Header, gefolgt von mehreren Datensätzen. Diese Datensätze können unterschiedlichen Typs und unterschiedlicher Größe sein.
Der im MTEF-Datenobjekt definierte FONT-Datensatz erhält einen manipulierten FONT-Namen und löst die Sicherheitslücke aus.
Nachfolgend ist die Struktur der MTEF-Daten (FONT-Datensatz) aufgeführt.
| Größe | Beschreibung |
| BYTE | FONT-Tag |
| BYTE | Schriftnummer |
| BYTE | Schriftstil |
| STRING | Schriftartenname |
| BYTE | Nullterminiert |
Wenn der FONT NAME größer als 32 Byte ist, weist dies auf Exploit-Versuche hin.
Exploit-Analyse
In dieser Kampagne verwendet der anfängliche Angriffsvektor Spam-E-Mails mit manipulierten RTF-Anhängen mit der Erweiterung .doc.
Abb. 3 zeigt die in dieser Kampagne verwendete Spam-E-Mail.
MS Word führt den schädlichen Anhang aus und versucht, ihn auszunutzen. Nach erfolgreicher Ausnutzung startet der Microsoft Equation Editor die mshta
Lassen Sie uns in die Montage eintauchen, um zu erfahren, wie sie funktioniert.
Die folgende Abbildung ist eine Momentaufnahme, die das Szenario eines Stapelpufferüberlaufs zeigt, bei dem 48 Byte Daten in einen lokalen Puffer kopiert werden, was einen Pufferüberlauf verursacht und den Basiszeiger und die Rücksprungadresse überschreibt.
Abb. 6 zeigt die Adresse (0x00430C12), das in der Rücksendeadresse überschrieben wird.
Die überschriebene Adresse stammt von EQUATION32.EXE und diese Anweisung verweist auf „WinExec”-API, wie in Abb. 7 erwähnt.
Nach erfolgreicher Ausbeutung mshta Prozess wird ausgeführt von WinExec die die schädliche hta Datei. Die hta-Datei dient außerdem als Downloader für eine Infostealer-Malware.
Bei Quick Heal Security Labs haben wir verschiedene Varianten dieses Exploits gesehen, bei denen mshta.exe, cmd.exe und powershell.exe von WinExec ausgeführt werden, um weitere Aktivitäten auszuführen.
Dateilose Angriffe
Nachfolgend sehen Sie ein Szenario, in dem der Exploit einen Code enthält, der direkt eine Malware ausführt, die auf einem öffentlichen WebDAV-Server gehostet wird. Die Nutzlast ist ein typischer Netzwerk-UNC-Pfad.
Abb. 8 zeigt die verschiedenen Malware-Varianten, die auf öffentlichen WebDav-Servern gehostet werden. 185.45.195.7.
Verschleierungstechnik
Um signaturbasierte Erkennungen zu umgehen, verwendeten die Angreifer in dieser Kampagne verschiedene Verschleierungstechniken.
Eine der verwendeten Verschleierungstechniken ist unten dargestellt (Abb. 10).
Das RTF-Mathematik-Steuerwort „\mmath“ (Mathematikzone) wird zur Verschleierung in eingebetteten OLE-RTF-Dateien verwendet. Durch die Verwendung des \mmath-Steuerworts wird die Zeichenfolge cmd.exe in „c“ und „md.exe“ unterteilt, wodurch die signaturbasierte Erkennung einfach umgangen werden kann. Das verwendete Signaturmuster ist cmd.exe.
Fazit
Zur Abwehr solcher Exploits hat Microsoft bereits Funktionen wie DEP und ASLR implementiert. Angreifer zielten jedoch auf eqnedt32.exe ab, wo beide Funktionen deaktiviert waren. Daher ist es für Angreifer praktisch, solche Angriffe mit leicht verfügbaren Exploit-POCs durchzuführen. Ab Microsoft Office 2007 Service Pack 3 sind alle Versionen anfällig für diese Sicherheitslücke. Microsoft hat einen Patch für diese Sicherheitslücke veröffentlicht. Wir empfehlen unseren Benutzern daher, die neuesten Microsoft-Updatepakete zu installieren und ihre Antivirensoftware auf dem neuesten Stand zu halten.
Sicherheitsmaßnahmen
- Um solche Angriffe zu vermeiden, empfehlen wir, den Formeleditor 3.0 zu deaktivieren, wenn er nicht verwendet wird. Folgen Sie hierzu bitte dem folgenden Link:
https://support.microsoft.com/en-in/help/4055535/how-to-disable-equation-editor-3-0 - Wir haben in unserem vorherigen Blogbeitrag auch einige Phishing-Techniken zum Erkennen von Phishing-E-Mails erwähnt.
https://blogs.quickheal.com/quick-heal-thwarts-attempts-java-jrat-phishing-campaign-targeting-international-embassy-india/
Indikatoren für eine Gefährdung:
1A74FD8314F303E96018002A9F73F1F1
F603D25DDF21A8B9C2FAE7C9DC118BE2
E64C7C14B4632E995C7922A81ABA5E15
hxxp://112.213.118[.]108:11882/
hxxp://104.254.99[.]77/x.txt
176.107.178.12
185.175.208.10
Fachexperten
Aniruddha Dolas, Prashant Kadam | Quick Heal Security Labs
