CVE-2017-0199 प्रयोग गरी मालस्प्याम अभियानले उत्पादन, औषधि र अन्य महत्त्वपूर्ण उद्योगहरूलाई लक्षित गर्दछ।

क्विक हिल सेक्युरिटी ल्याब्सले विभिन्न इमेल अभियानहरू भेटेको छ जसले भारतका प्रमुख निजी उद्योगहरूलाई लक्षित गर्ने प्रयासमा प्रसिद्ध जोखिम CVE-2017-0199 को सक्रिय रूपमा शोषण गरिरहेका छन् । CVE-2017-0199 अप्रिल २०१७ मा दुई फरक सुरक्षा फर्महरू द्वारा रिपोर्ट गरिएको शून्य-दिन जोखिम थियो। लगभग सबै MS Office संस्करणहरू यसबाट प्रभावित भएका थिए। माइक्रोसफ्टले ११ अप्रिल २०१७ मा यस जोखिमको लागि प्याच जारी गरेको थियो। सधैं जस्तै, धेरै आक्रमणकारीहरूले आफ्नो स्पाम अभियानहरूमा यो जोखिमको शोषण गर्न थाले। क्विक हिल सेक्युरिटी ल्याब्स द्वारा यस अभियानको विश्लेषण निम्नानुसार छ।

आक्रमण श्रृंखला

 

प्राविधिक विवरण

यो जोखिम (CVE-2017-0199) HTA फाइलको अनुचित ह्यान्डलिङको कारणले गर्दा हुन्छ जब एक एम्बेडेड OLE2 लिङ्क वस्तु भएको क्राफ्ट गरिएको RTF फाइल पार्स गर्दै। आक्रमणकारीहरूले जोखिमको फाइदा उठाउन कागजात एक्सटेन्सन भएका क्राफ्ट गरिएको RTF फाइलहरू प्रयोग गर्छन्। यो RTF फाइलमा चित्र २ मा देखाइए अनुसार एक एम्बेडेड OLE2link वस्तु समावेश छ।

यो इम्बेडेड OLE2 लिङ्क वस्तुले चित्र ३ मा देखाइए अनुसार टाढाबाट होस्ट गरिएको HTA फाइललाई औंल्याउँछ।

 

RTF शोषण विश्लेषण

यस अभियानमा आक्रमण एक्सप्लोइट RTF कागजात संलग्नकको रूपमा स्प्याम इमेलबाट सुरु हुन्छ। यो RTF फाइलमा चित्र २ र चित्र ३ मा देखाइए जस्तै सामग्रीहरू छन्। चित्र ४ ले स्प्याम इमेलको स्न्यापसट देखाउँछ।

 

जब MS Word ले RTF संलग्नक खोल्छ, एक्सप्लोइट कोडले टाढाबाट होस्ट गरिएको HTA फाइलको लागि अनुरोध गर्दछ। चित्र ५ ले रिमोट सर्भरमा अनुरोध गरिसकेपछि डाउनलोड गरिएको फाइल देखाउँछ।

डाउनलोड गरिएको फाइलमा प्रारम्भिक बाइटहरूको विश्लेषण गरेपछि, यो RTF फाइल हो जस्तो देखिन्छ तर MS Word द्वारा यसलाई त्यसरी व्यवहार गरिएको छैन; नक्कली RTF सामग्रीहरू मुनि एउटा एम्बेडेड स्क्रिप्ट छ। यो स्क्रिप्ट ' mshta.exe' द्वारा कार्यान्वयन गरिन्छ जसले PowerShell मार्फत मालवेयर डाउनलोड गर्दछ।

पेलोड विश्लेषण

सफल शोषण पछि, मालवेयर पेलोड PowerShell प्रयोग गरेर डाउनलोड हुन्छ। PowerShell ले यो डाउनलोड गरिएको मालवेयर फाइललाई %APPDATA%\jacob.exe मा प्रतिलिपि गर्छ र यसलाई कार्यान्वयन गर्छ। निरन्तर रहनको लागि, यसले 'jacob.vbe' फाइललाई स्टार्टअप फोल्डरमा प्रतिलिपि गर्छ। यो jacob.exe ले किलगिङ गतिविधिहरू गर्दछ, प्रक्रिया गतिविधिहरू निगरानी गर्दछ र तिनीहरूलाई %AppData%\Roaming\remcos मा अवस्थित logs.dat नामक फाइलमा लग गर्छ। सबै रेकर्ड गरिएका लगहरू मालवेयरद्वारा रिमोट CnC सर्भर (212.7.208.88) मा पठाइन्छ। हाम्रो विश्लेषण अनुसार, यो मालवेयरले remcos RAT परिवारसँग धेरै समानताहरू साझा गर्दछ ।

चित्र ६ ले मालवेयरको किलगिङ गतिविधि देखाउँछ।

 

हस्ताक्षर-आधारित पत्ता लगाउने कुराहरू बेवास्ता गर्दै

हस्ताक्षर-आधारित पहिचानबाट बच्नको लागि, मालवेयर अभिनेताहरूले RTF अस्पष्टता मार्फत आफ्नो शोषणलाई निरन्तर विकसित गरिरहेका छन्। यो प्राप्त गर्न धेरै प्रविधिहरू छन्; ती मध्ये केही तल देखाइएका छन्।

अस्पष्टीकरण प्रविधि १

URL moniker CLSID लाई नियन्त्रण शब्द '\*' प्रयोग गरेर अस्पष्ट पारिएको छ।

अस्पष्टीकरण प्रविधि १

अस्पष्ट URL moniker CLSID मा डमी ट्यागहरू थपिन्छन्।

अस्पष्टीकरण प्रविधि १

URL स्ट्रिङलाई अस्पष्ट पार्न ट्याब नियन्त्रण शब्द प्रयोग गरिन्छ।

 

लक्षित संस्थाहरू

चित्र १० ले दुर्भावनापूर्ण अभियानद्वारा लक्षित संस्थाहरूको तथ्याङ्कलाई प्रतिनिधित्व गर्दछ।

उत्पादन क्षेत्र सबैभन्दा मनपर्ने लक्ष्य जस्तो देखिन्छ, त्यसपछि औषधि, निर्यात र होटलहरू छन्।

 

सबै कार्यालय शोषणहरूमा प्रभुत्व जमाउँदै

खुलासा पछि, यस अभियानमा प्रयोग गरिएको शोषणको पत्ता लगाउने संख्या दिन प्रतिदिन बढ्दै गइरहेको छ। यसले धेरै मालवेयर अभिनेताहरूले यो जोखिम अपनाइरहेका र प्रयोग गरिरहेका छन् भन्ने मात्र देखाउँछ। तलको तथ्याङ्कले शोषणको बढ्दो प्रयोग देखाउँछ।

 २०१७ को पहिलो त्रैमासिकको लागि कार्यालय शोषण तथ्याङ्क

२०१७ को पहिलो त्रैमासिकको लागि कार्यालय शोषण तथ्याङ्क

चित्र ११ मा देखाइए अनुसार, CVE-२०१२-०१५८ मा सबैभन्दा धेरै गणना छ। वास्तवमा, यो पछिल्लो ३ वर्षदेखि सबैभन्दा धेरै गणनामा छ। यद्यपि, Q11 (चित्र १२) मा, CVE-२०१७-०१९९ मा सबैभन्दा धेरै पत्ता लगाउने गणना थियो; यसले छोटो समय अवधिमा लोकप्रियता प्राप्त गर्यो।

मालवेयर प्रयोगकर्ताहरूले MS Office vulnerability CVE-2017-0199 मार्फत मालवेयर डेलिभर गर्ने सबैभन्दा भरपर्दो र प्रमुख तरिका फेला पारेका छन्। आक्रमणकारीहरूले सजिलैसँग उपलब्ध POC हरू प्रयोग गरेर शोषण सिर्जना गरिरहेका छन् र विभिन्न मालवेयर डेलिभर गरिरहेका छन्। हामी हाम्रा प्रयोगकर्ताहरूलाई Microsoft बाट नवीनतम सुरक्षा अपडेटहरू लागू गर्न र उनीहरूको एन्टिभाइरस सफ्टवेयर अद्यावधिक राख्न सिफारिस गर्छौं।

सम्झौताका सूचकहरू

• 862172F84680456A0BA662F0FE3F56BF
• 4705476555FC8FCCB28DDAFFC65D2761
• 271AF4589D175F1725724D948A63E840
• BA02A7463A0C5BF6954DE860C53A9339
• 95.211.209.223
• 212.7.208.88

विषय कुरा विज्ञहरु

• पवनकुमार चौधरी, अनिरुद्ध डोलस | द्रुत निको सुरक्षा प्रयोगशालाहरू