搜索

[11957] 2017-11-01_OfficeDDEAUTO技术分析报告

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2017-11-01_OfficeDDEAUTO技术分析报告 O f f i c e   D D E A U T O 技 术 分 析 报 告 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 1 1 - 0 1 0 x 1   背 景 背 景 过 去 几 年 ， 基 于 宏 的 文 档 攻 击 技 术 一 直 是 主 流 ， 虽 然 需 要 用 户 主 动 进 行 确 认 ， 但 是 攻 击 的 成 功 率 依 然 非 常 的 过 去 几 年 ， 基 于 宏 的 文 档 攻 击 技 术 一 直 是 主 流 ， 虽 然 需 要 用 户 主 动 进 行 确 认 ， 但 是 攻 击 的 成 功 率 依 然 非 常 的 高 。 不 过 ， 近 段 时 间 来 ， 使 用 高 。 不 过 ， 近 段 时 间 来 ， 使 用 O f f i c e   D D E A U T O 技 术 来 传 播 恶 意 文 件 的 方 法 已 经 越 来 越 流 行 。 该 技 术 很 快 被 技 术 来 传 播 恶 意 文 件 的 方 法 已 经 越 来 越 流 行 。 该 技 术 很 快 被 F I N 7 组 织 、 组 织 、 N e c u r s 僵 尸 网 络 所 采 用 ， 用 来 进 行 僵 尸 网 络 所 采 用 ， 用 来 进 行 A P T 攻 击 ， 以 及 用 来 传 播 勒 索 病 毒 。 该 方 法 已 经 开 始 替 代 了 用 攻 击 ， 以 及 用 来 传 播 勒 索 病 毒 。 该 方 法 已 经 开 始 替 代 了 用 宏 技 术 来 传 播 ， 成 为 当 前 使 用 宏 技 术 来 传 播 ， 成 为 当 前 使 用 o f f i c e 为 载 体 传 播 病 毒 的 新 宠 。 为 载 体 传 播 病 毒 的 新 宠 。 0 x 2   D D E 技 术 介 绍 技 术 介 绍 W i n d o w s 提 供 了 应 用 程 序 间 数 据 传 输 的 若 干 种 方 法 。 其 中 一 种 就 是 使 用 动 态 数 据 交 换 （ D D E ） 协 议 。 D D E 协 议 是 一 套 消 息 和 指 示 的 集 合 。 通 过 发 送 消 息 以 及 共 享 内 存 实 现 应 用 程 序 的 数 据 共 享 和 交 换 。 应 用 程 序 可 以 使 用 D D E 协 议 实 现 一 次 性 数 据 传 输 以 及 持 续 的 数 据 交 换 （ 当 新 数 据 可 用 时 ， 应 用 程 序 发 送 更 新 通 知 给 另 一 个 应 用 程 序 ） 。 更 详 细 的 可 以 参 考 M S D N 的 介 绍 。 （ 点 击 阅 读 原 文 查 看 相 关 链 接 ） 构 造 的 方 法 如 下 ： 新 建 一 个 W o r d 文 档 ， 通 过 C t r l + F 9 添 加 一 个 域 ， 然 后 修 改 域 代 码 为 ： {   D D E A U T O   c : w i n d o w s s y s t e m 3 2 c m d . e x e   “ / k n o t e p a d . e x e ”   } D D E A U T O 表 明 是 一 个 自 动 更 新 的 D D E ， 后 面 跟 的 是 可 执 行 文 件 的 路 径 ， 然 后 ” ” 里 面 表 明 可 执 行 文 件 的 参 数 ， 保 存 文 档 。 也 可 以 修 改 D D E A U T O 为 D D E ， 然 后 需 要 用 W i n R A R 打 开 d o c 文 档 w o r d / s e t t i n g s . x m l ， 嵌 入 代 码 ：
执 行 样 本 后 弹 出 记 事 本 程 序 ： 0 x 3   样 本 分 析 样 本 分 析 样 本 名 ： D C 0 0 0 3 5 3 0 5 . d o c 样 本 M D 5 ： F D 5 D 0 8 0 1 D 9 4 7 0 9 0 8 0 9 0 D C D 3 6 A E 8 8 E 9 6 C 该 样 本 是 N e c u r s 僵 尸 网 络 发 送 的 恶 意 邮 件 里 的 附 件 ， 用 来 传 播 l o c k y 系 列 勒 索 病 毒 。 主 要 分 析 下 D D E 的 启 动 过 程 。 1 、 、   运 行 样 本 后 ， 首 先 会 弹 出 两 个 非 安 全 风 险 提 示 的 对 话 框 。 运 行 样 本 后 ， 首 先 会 弹 出 两 个 非 安 全 风 险 提 示 的 对 话 框 。
2 、 、   都 点 都 点 “ 是 是 ” 按 钮 后 ， 按 钮 后 ， w i n w o r d . e x e 会 启 动 会 启 动 c m d . e x e ， 一 次 来 执 行 ， 一 次 来 执 行 p o w e r s h e l l 命 令 ： 命 令 ： 3 、 、   执 行 命 令 ： 执 行 命 令 ： 该 命 令 以 - w   h i d d e n 隐 藏 窗 口 ， - n o p 强 行 绕 过 U A C 执 行 指 令 ， ( N e w - O b j e c t   S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g 下 载 远 程 可 执 行 文 件 ， 然 后 运 行 。 下 载 地 址 为 ： （ 点 击 阅 读 原 文 查 看 相 关 链 接 ） 4 、 、   下 载 回 来 的 文 件 为 下 载 回 来 的 文 件 为 l o c k y 系 列 敲 诈 者 病 毒 ， 运 行 后 会 加 密 文 档 文 件 ， 并 要 求 支 付 系 列 敲 诈 者 病 毒 ， 运 行 后 会 加 密 文 档 文 件 ， 并 要 求 支 付 0 . 2 5 比 特 币 以 进 行 解 密 。 比 特 币 以 进 行 解 密 。 5 、 、   查 看 该 样 本 ， 发 现 样 本 是 恶 意 利 用 了 查 看 该 样 本 ， 发 现 样 本 是 恶 意 利 用 了 D D E 协 议 协 议 在 D O C 文 件 中 发 现 一 段 文 字 ， 通 过 右 键 该 段 文 字 其 实 是 一 段 域 代 码 ， 并 且 从 代 码 中 发 现 了 p o w e r s h e l l . e x e 的 参 数 ， 证 明 该 D O C 是 利 用 了 D D E 协 议 传 播 恶 意 代 码 文 件   ：
0 x 4   D D E A U T O 原 理 分 析 原 理 分 析 下 面 重 点 分 析 下 D D E A U T O 启 动 的 原 理 ： 1 、 、   首 先 会 将 首 先 会 将 D D E A U T O 的 三 个 字 段 参 数 放 入 全 局 原 子 表 用 于 进 程 间 共 享 字 符 串 数 据 ， 这 意 味 着 的 三 个 字 段 参 数 放 入 全 局 原 子 表 用 于 进 程 间 共 享 字 符 串 数 据 ， 这 意 味 着 D D E A U T O 的 三 个 字 的 三 个 字 段 不 能 超 过 段 不 能 超 过 2 5 5 字 节 的 长 度 。 字 节 的 长 度 。 2 、 、   在 全 局 变 量 中 存 在 一 个 结 构 ， 该 结 构 （ 在 全 局 变 量 中 存 在 一 个 结 构 ， 该 结 构 （ 4 字 节 一 个 成 员 ） 第 一 个 成 员 存 储 了 字 节 一 个 成 员 ） 第 一 个 成 员 存 储 了 M S W o r d 窗 口 的 窗 口 的 H W N D ， 第 二 个 成 员 ， 第 二 个 成 员
用 于 储 存 用 于 储 存 D D E 交 互 的 窗 口 交 互 的 窗 口 H W N D ， 并 且 初 始 化 为 ， 并 且 初 始 化 为 0 ， 通 过 下 图 的 函 数 获 取 。 ， 通 过 下 图 的 函 数 获 取 。 3 、 、   接 着 程 序 会 调 用 接 着 程 序 会 调 用 S e n d M e s s a g e T i m e o u t W 发 送 广 播 消 息 发 送 广 播 消 息 W M _ D D E _ I N I T I A T E 到 电 脑 上 运 行 的 程 序 的 所 有 顶 级 窗 口 ， 到 电 脑 上 运 行 的 程 序 的 所 有 顶 级 窗 口 ， 每 个 窗 口 将 被 给 予 每 个 窗 口 将 被 给 予 1 0 0 0 m s 时 间 以 响 应 此 时 间 以 响 应 此 D D E 启 动 消 息 。 启 动 消 息 。 4 、 、   如 果 正 在 运 行 的 程 序 响 应 如 果 正 在 运 行 的 程 序 响 应 D D E 启 动 请 求 ， 则 会 发 送 启 动 请 求 ， 则 会 发 送 W M _ D D E _ A C K 应 答 应 答 M S W o r d 然 后 M S W o r d 更 新 储 存 D D E 信 息 结 构 的 第 二 个 成 员 的 数 据 为 应 答 窗 口 的 H W N D ， 后 续 W M _ D D E _ A C K 就 会 响 应 W M _ D D E _ T E R M I N A T E 消 息 ， 在 M S D N 中 描 述 D D E 请 求 的 目 标 进 程 应 该 已 经 运 行 ， 此 处 就 开 始 走 M S D N 描 述 的 流 程 。
5 、 、   假 设 目 标 进 程 没 有 运 行 ， 根 据 假 设 目 标 进 程 没 有 运 行 ， 根 据 M S D N 的 描 述 ， 此 处 应 该 提 示 用 户 目 标 进 程 未 执 行 的 描 述 ， 此 处 应 该 提 示 用 户 目 标 进 程 未 执 行 然 而 在 实 际 代 码 中 ， 如 果 D D E 没 有 收 到 目 标 进 程 应 答 ， 会 从 全 局 原 子 中 读 取 出 字 符 串 拼 接 ， 然 后 由 M S W o r d 创 建 一 个 新 进 程 。 6 、 、   然 后 函 数 通 过 调 用 然 后 函 数 通 过 调 用 C r e a t e P r o c e s s W 创 建 一 个 新 的 进 程 ： 创 建 一 个 新 的 进 程 ：
由 此 分 析 发 现 ， 这 是 一 个 D D E 上 的 W W L I B 实 现 错 误 ， 应 该 要 求 用 户 自 己 启 动 目 标 进 程 ， 而 不 是 自 动 启 动 目 标 进 程 。 0 x 5   安 全 建 议 安 全 建 议 通 过 上 面 的 分 析 发 现 ， 该 攻 击 方 法 需 要 用 户 交 互 。 但 是 我 们 也 注 意 到 ， 由 于 安 全 意 识 的 缺 乏 ， 无 论 是 企 业 里 还 是 个 人 用 户 ， 依 然 有 大 量 的 用 户 中 招 。 同 时 微 软 也 表 示 ， D D E A U T O 技 术 并 非 漏 洞 而 是 正 常 的 功 能 ， 因 此 并 不 打 算 修 复 该 问 题 。 因 此 我 们 推 测 ， 该 方 法 会 在 很 长 时 间 里 成 为 文 档 攻 击 的 主 流 。 因 此 ， 用 户 一 定 要 提 供 安 全 意 识 ， 不 要 随 意 打 开 来 历 不 明 的 邮 件 的 附 件 ， 使 用 腾 讯 电 脑 管 家 可 以 拦 截 该 方 式 的 攻 击 。 * 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理