Kwa miaka michache iliyopita, tumekuwa tukiona mashambulizi yanayotegemea makro kupitia faili za Object Linking Embedding (OLE)/Microsoft Office. Lakini, kwa sasa, washambuliaji wanatumia mbinu tofauti kusambaza programu hasidi kupitia faili za Office - kwa kutumia vekta mpya ya mashambulizi inayoitwa 'Dynamic Data Exchange ( DDE )'.
DDE ni kipengele kilichoidhinishwa cha Ofisi ya Microsoft ambacho hutoa mbinu kadhaa za kuhamisha data kati ya programu. Itifaki ya mawasiliano ikishaanzishwa, haihitaji mwingiliano wa watumiaji ili kubadilishana data kati ya programu. Kipengele cha DDE sio tu kwa hati ya Neno na Excel lakini inajumuisha RTF na Outlook pia.
Maelezo ya kiufundi
Shambulio hili linaanza na barua pepe taka iliyo na faili ya hati hasidi kama kiambatisho kama inavyoonyeshwa kwenye tini 1.
Microsoft Word maombi yaani, 'winword.exe' inafungua kiambatisho hiki na inaendesha nambari ya DDE. Ni hutupa a user haraka ambayo anasema Kwamba hati hii ina baadhi ya viungo ambayo inaweza rejea ili kupata data kutoka kwa faili zingine. Mchoro wa 2 unaonyesha haraka hii.
Ikiwa mtumiaji atachagua Ndiyo , kidokezo kingine cha mtumiaji kitaonyeshwa ambacho kinaonyesha taarifa ya utekelezaji wa data ya mbali. Na hapa, ikiwa mtumiaji atachagua Ndiyo , shambulio litafanikiwa.
Mchoro wa 3 unaonyesha habari kuhusu data ya mbali (hii inaweza kutofautiana kutoka kesi hadi kesi).
Katika mojawapo ya vidokezo hivi vya mtumiaji, ikiwa mtumiaji atachagua Hapana , shambulio litashindwa.
Programu hasidi iliyo na msimbo wa DDE hutekeleza 'cmd.exe' kwa PowerShell na misimbo mingine kama kigezo. PowerShell itapakua upakiaji chinichini na kuutekeleza kimya kimya. Upakiaji unaweza kuwa na aina yoyote ya programu hasidi. Mchoro wa 4 unaonyesha mojawapo ya aina za msimbo wa DDE.
Ili kukwepa ugunduzi unaotegemea saini, waandishi wa programu hasidi hutumia mbinu tofauti za ufichuzi ikijumuisha zifuatazo:
Mbinu ya upotoshaji 1
Hugawanya msimbo wa DDE na PowerShell katika lebo tofauti.
Mbinu ya upotoshaji 2
Msimbo wa PowerShell uliosimbwa na base64.
Mbinu ya upotoshaji 3
Msimbo wa PowerShell uliosimbwa wenye thamani kamili ya herufi husika.
Toleo lililosimbwa la msimbo hapo juu :
Mbinu ya mashambulizi ya programu hasidi ya ofisi ya DDE ni rahisi sana kwa washambuliaji. Tunashuku mtindo huu utachukuliwa na waandishi wa programu hasidi katika siku zijazo.
Hatua za kuzuia
- Zingatia kuzima DDE wakati haitumiki.
- Ili kuzima kipengele cha DDE kupitia kiolesura cha mtumiaji: Weka Faili -> Chaguzi -> Kituo cha Kuaminika -> Mipangilio ya Kituo cha Uaminifu -> Maudhui ya Nje -> Mipangilio ya usalama ya Viungo vya Kitabu cha Kazi = Lemaza sasisho otomatiki la Viungo vya Kitabu cha Kazi.
- Usipakue/kufungua viambatisho vinavyofika kwa barua pepe kutoka kwa vyanzo visivyotakikana au visivyotarajiwa.
- Tekeleza masasisho na viraka vyote vya usalama vinavyopendekezwa kwa Mfumo wako wa Uendeshaji.
Viashiria vya utovu wa nidhamu :
53c1d68242de77940a0011d7d108c098
106776A1A0F1F15E17C06C23CBFE550E
31362967C1BFE285DDC5C3AB27CDC62D
Wataalam wa Masomo
- Aniruddha Dolas, Prashant Tilekar| Maabara ya Usalama ya Uponyaji Haraka
