Sa nakalipas na ilang taon, nakakakita tayo ng mga macro-based na pag-atake sa pamamagitan ng mga Object Linking Embedding (OLE)/Microsoft Office file. Ngunit, sa kasalukuyan, gumagamit ang mga attacker ng ibang pamamaraan upang maikalat ang malware sa mga Office file – gamit ang isang bagong attack vector na tinatawag na 'Dynamic Data Exchange ( DDE )'.
Ang DDE ay isang awtorisadong feature ng Microsoft Office na nagbibigay ng ilang paraan para sa paglilipat ng data sa pagitan ng mga application. Kapag naitatag na ang protocol ng komunikasyon, hindi na nangangailangan ng mga pakikipag-ugnayan ng user upang makipagpalitan ng data sa pagitan ng mga application. Ang tampok na DDE ay hindi limitado sa Word at Excel na dokumento ngunit kasama rin dito ang RTF at Outlook.
Mga detalyeng teknikal
Ang pag-atake na ito ay nagsisimula sa isang spam na email na may nakakahamak na file ng dokumento bilang isang attachment tulad ng ipinapakita sa fig 1.
Microsoft Word aplikasyon ie, 'winword.exe' binubuksan ang attachment na ito at pinapatakbo ang DDE code. Ito ibinabato a gumagamit prompt alin sabi ni na ang dokumentong ito naglalaman ng ilang mga link na maaari sumangguni upang kumuha ng data mula sa iba pang mga file. Ipinapakita ng Fig 2 prompt na ito.
Kung pipiliin ng user ang Oo , isa pang prompt ng user ang ipapakita na nagpapakita ng impormasyon sa pagpapatupad ng malayuang data. At dito, kung pipiliin ng user ang Oo , magtatagumpay ang pag-atake.
Ipinapakita ng Fig 3 ang impormasyon tungkol sa malayuang data (maaaring mag-iba ito sa bawat kaso).
Sa alinman sa mga prompt na ito ng user, kung pipiliin ng user ang Hindi , mabibigo ang pag-atake.
Ang malware na may DDE code ay nagpapatupad ng 'cmd.exe' gamit ang PowerShell at iba pang mga code bilang isang parameter. Ida-download ng PowerShell ang payload sa background at tahimik itong isasagawa. Maaaring naglalaman ang payload ng alinman sa mga uri ng malware. Ipinapakita ng Fig 4 ang isa sa mga uri ng DDE code.
Upang makaiwas sa mga pagtukoy na nakabatay sa lagda, gumagamit ang mga may-akda ng malware ng iba't ibang mga diskarte sa obfuscation kabilang ang mga sumusunod:
Pamamaraan ng Obfuscation 1
Hinahati ang DDE at PowerShell code sa iba't ibang tag.
Pamamaraan ng Obfuscation 2
Naka-encode na PowerShell code na may base64.
Pamamaraan ng Obfuscation 3
Naka-encode na PowerShell code na may integer value ng kani-kanilang character.
Na-decode na bersyon ng code sa itaas :
Ang pamamaraan ng pag-atake ng malware sa opisina na nakabatay sa DDE ay napakasimple para sa mga umaatake. Inaasahan namin na ang trend na ito ay kukunin ng mga may-akda ng malware sa darating na hinaharap.
Mga hakbang sa pag-iwas
- Pag-isipang i-disable ang DDE kapag hindi ginagamit.
- Upang huwag paganahin ang tampok na DDE sa pamamagitan ng user interface: Itakda ang File -> Mga Pagpipilian -> Trust Center -> Mga Setting ng Trust Center -> Panlabas na Nilalaman -> Mga setting ng seguridad para sa Mga Link sa Workbook = Huwag paganahin ang awtomatikong pag-update ng Mga Link sa Workbook.
- Huwag mag-download/magbukas ng mga attachment na dumarating sa mga email mula sa hindi kanais-nais o hindi inaasahang pinagmulan.
- Ilapat ang lahat ng inirerekomendang update sa seguridad at mga patch para sa iyong Operating System.
Mga palatandaan ng kompromiso :
53c1d68242de77940a0011d7d108c098
106776A1A0F1F15E17C06C23CBFE550E
31362967C1BFE285DDC5C3AB27CDC62D
Mga Dalubhasa sa Mahalagang Paksa
- Aniruddha Dolas, Prashant Tilekar| Quick Heal Security Labs
