Ang Quick Heal Security Labs ay nakatagpo ng iba't ibang mga kampanya sa email na aktibong nagsasamantala sa sikat na kahinaan na CVE-2017-0199 sa kanilang pagtatangka na targetin ang mga kilalang pribadong industriya sa India. Ang CVE-2017-0199 ay isang zero-day na kahinaan na iniulat noong Abril 2017 ng dalawang magkaibang kumpanya ng seguridad. Halos lahat ng bersyon ng MS Office ay naapektuhan nito. Naglabas ang Microsoft ng isang patch para sa kahinaan na ito noong ika-11 ng Abril 2017. Gaya ng dati, maraming mga umaatake ang nagsimulang gamitin ang kahinaan na ito sa kanilang mga kampanya sa spam. Ang sumusunod ay isang pagsusuri ng kampanyang ito ng Quick Heal Security Labs.
Kadena ng pag-atake
Mga detalyeng teknikal
Ang kahinaang ito (CVE-2017-0199) ay nagti-trigger dahil sa hindi wastong paghawak ng HTA file habang pina-parse ang isang ginawang RTF file na may naka-embed na OLE2 link object. Gumagamit ang mga attacker ng mga ginawang RTF file na may extension na doc upang samantalahin ang kahinaan. Ang RTF file na ito ay naglalaman ng isang naka-embed na OLE2link object gaya ng ipinapakita sa fig 2.
Ang naka-embed na OLE2 link object na ito ay tumuturo sa isang malayuang naka-host na HTA file tulad ng ipinapakita sa fig 3.
Pagsusuri ng pagsasamantala ng RTF
Ang pag-atake sa campaign na ito ay nagsisimula sa isang spam na email na may exploit na RTF doc bilang isang attachment. Ang RTF file na ito ay may katulad na nilalaman tulad ng ipinapakita sa fig 2 at fig 3. Ang Fig 4 ay nagpapakita ng snapshot ng spam email.
Kapag binuksan ng MS Word ang RTF attachment, humihiling ang exploit code para sa malayuang naka-host na HTA file. Ipinapakita ng Fig 5 ang na-download na file pagkatapos gawin ang kahilingan sa malayong server.
Matapos suriin ang mga unang byte sa na-download na file, tila isa itong RTF file ngunit hindi ito tinatrato nang ganito ng MS Word; mayroong naka-embed na script na matatagpuan sa ilalim ng mga pekeng nilalaman ng RTF. Ang script na ito ay pinapatakbo ng ' mshta.exe' na siyang nagda-download ng malware sa pamamagitan ng PowerShell.
Pagsusuri ng payload
Pagkatapos ng matagumpay na paggamit, ang malware payload ay mada-download gamit ang PowerShell. Kokopyahin ng PowerShell ang na-download na malware file na ito sa %APPDATA%\jacob.exe at ipapatupad ito. Upang maging persistent, kokopyahin nito ang 'jacob.vbe' file sa startup folder. Ang jacob.exe na ito ay nagsasagawa ng mga aktibidad ng keylogging, sinusubaybayan ang mga aktibidad ng proseso at inila-log ang mga ito sa isang file na tinatawag na logs.dat, na matatagpuan sa %AppData%\Roaming\remcos. Lahat ng naitalang log ay ipinapadala sa isang remote CnC server (212.7.208.88) ng malware. Ayon sa aming pagsusuri, ang malware na ito ay may maraming pagkakatulad sa pamilya ng remcos RAT.
Ipinapakita ng Fig 6 ang aktibidad ng keylogging ng malware.
Pag-iwas sa mga pagtukoy na nakabatay sa lagda
Upang maiwasan ang pagtukoy na nakabatay sa lagda, patuloy na binabago ng mga aktor ng malware ang kanilang mga pagsasamantala sa pamamagitan ng RTF obfuscation. Mayroong maraming mga pamamaraan para sa pagkamit nito; ilan sa mga ito ay ipinapakita sa ibaba.
Pamamaraan ng Obfuscation 1
Ang URL moniker na CLSID ay na-obfuscate gamit ang control word na '\*'.
Pamamaraan ng Obfuscation 2
Ang mga dummy tag ay idinaragdag sa obfuscate na URL moniker na CLSID.
Pamamaraan ng Obfuscation 3
Ginagamit ang salitang kontrol ng tab upang i-obfuscate ang string ng URL.
Mga target na organisasyon
Ang Fig 10 ay kumakatawan sa mga istatistika ng mga organisasyong tina-target ng nakakahamak na kampanya.
Ang sektor ng pagmamanupaktura ay tila ang pinakapabor na target na sinusundan ng mga parmasyutiko, pag-export, at mga hotel.
Nangibabaw sa lahat ng pagsasamantala sa opisina
Pagkatapos ng pagbubunyag, ang bilang ng pagtuklas ng pagsasamantalang ginamit sa kampanyang ito ay lumalaki araw-araw. Ipinapakita lamang nito na maraming aktor ng malware ang gumagamit at gumagamit ng kahinaang ito. Ang mga istatistika sa ibaba ay nagpapakita ng lumalagong paggamit ng pagsasamantala.
Mga istatistika ng pagsasamantala ng opisina para sa Q1 2017
Mga istatistika ng pagsasamantala ng opisina para sa Q2 2017
Gaya ng ipinapakita sa fig 11, ang CVE-2012-0158 ang may pinakamataas na bilang. Sa katunayan, ito ang may pinakamataas na bilang sa nakalipas na 3 taon na ngayon. Gayunpaman, sa Q2 (fig 12), ang CVE-2017-0199 ay may pinakamataas na bilang ng pagtuklas; naging popular ito sa maikling panahon.
Natagpuan ng mga aktor ng malware ang pinaka maaasahan at kilalang paraan upang maghatid ng malware sa pamamagitan ng kahinaan ng MS Office CVE-2017-0199. Ang mga umaatake ay madaling gumagawa ng mga pagsasamantala gamit ang mga madaling magagamit na POC at naghahatid ng iba't ibang malware. Inirerekomenda namin ang aming mga user na ilapat ang pinakabagong mga update sa seguridad mula sa Microsoft at panatilihing napapanahon ang kanilang antivirus software.
Mga tagapagpahiwatig ng kompromiso
- 862172F84680456A0BA662F0FE3F56BF
- 4705476555FC8FCCB28DDAFFC65D2761
- 271AF4589D175F1725724D948A63E840
- BA02A7463A0C5BF6954DE860C53A9339
- 95.211.209.223
- 212.7.208.88
Mga Dalubhasa sa Mahalagang Paksa
- Pavankumar Chaudhari, Aniruddha Dolas | Quick Heal Security Labs
