搜索

[17043] 2021-07-19_Excel旧用户正成为恶意软件的目标

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-07-19_Excel旧用户正成为恶意软件的目标 E x c e l   旧 用 户 正 成 为 恶 意 软 件 的 目 标 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 7 - 1 9 事 件 报 道 事 件 报 道 根 据 安 全 专 家 的 最 新 发 现 ， M i c r o s o f t   E x c e l 的 旧 用 户 正 成 为 恶 意 软 件 的 攻 击 目 标 。 这 种 恶 意 软 件 攻 击 活 动 使 用 了 一 种 新 的 恶 意 软 件 混 淆 技 术 来 禁 用 M i c r o s o f t   O f f i c e 的 安 全 防 御 机 制 ， 然 后 传 播 和 感 染 Z l o a d e r 木 马 病 毒 。 根 据 M c A f e e 周 四 发 表 的 研 究 报 告 ， 这 次 攻 击 结 合 了 M i c r o s o f t   O f f i c e   W o r d 和 E x c e l 中 的 功 能 ， 以 共 同 下 载 Z l o a d e r P a y l o a d ， 而 且 不 会 在 终 端 触 发 恶 意 攻 击 警 报 。 Z l o a d e r 是 一 种 针 对 银 行 的 特 洛 伊 木 马 ， 旨 在 窃 取 目 标 金 融 机 构 用 户 的 凭 据 和 其 他 私 人 信 息 。 Z l o a d e r 的 初 始 攻 击 向 量 是 基 于 收 件 箱 的 网 络 钓 鱼 消 息 ， 其 中 会 附 带 W o r d 文 档 附 件 ， 并 包 含 非 恶 意 的 代 码 。 因 此 ， 它 通 常 不 会 触 发 电 子 邮 件 网 关 或 客 户 端 防 病 毒 软 件 来 阻 止 攻 击 。 同 时 ， Z l o a d e r 的 宏 混 淆 技 术 利 用 M i c r o s o f t   O f f i c e 的 E x c e l 动 态 数 据 交 换 （ D D E ） 字 段 和 基 于 W i n d o w s 的 V i s u a l   B a s i c f o r   A p p l i c a t i o n s （ V B A ） 对 支 持 传 统 X L S 格 式 的 系 统 发 起 攻 击 。 初 始 感 染 链 初 始 感 染 链 研 究 人 员 通 过 分 析 后 发 现 ， 恶 意 软 件 首 先 通 过 包 含 M i c r o s o f t   W o r d 文 档 作 为 附 件 的 网 络 钓 鱼 电 子 邮 件 抵 达 目 标 用 户 的 主 机 系 统 。 当 用 户 打 开 文 档 并 启 用 宏 功 能 时 ， W o r d 文 档 就 会 下 载 并 打 开 另 一 个 受 密 码 保 护 的 M i c r o s o f t   E x c e l 文 档 。 接 下 来 ， 嵌 入 W o r d 文 档 中 的 基 于 V B A 的 指 令 会 读 取 精 心 构 建 的 E x c e l 电 子 表 格 单 元 以 创 建 宏 。 这 个 宏 将 使 用 附 加 的 V B A 宏 填 充 同 一 X L S 文 档 中 的 附 加 单 元 格 ， 从 而 禁 用 O f f i c e 的 安 全 防 御 功 能 。 一 旦 宏 被 写 入 并 准 备 就 绪 ， W o r d 文 档 就 会 将 注 册 表 中 的 策 略 设 置 为 “ 禁 用 E x c e l 宏 警 告 ” ， 并 从 E x c e l 文 件 中 调 用 恶 意 宏 函 数 。 此 时 ， E x c e l 文 件 将 会 下 载 Z l o a d e r   P a y l o a d ， 并 通 过 r u n d l l 3 2 . e x e 执 行 Z l o a d e r   P a y l o a d 。
混 淆 机 制 分 析 混 淆 机 制 分 析 由 于 M i c r o s o f t   O f f i c e 会 自 动 禁 用 宏 功 能 ， 因 此 攻 击 者 会 试 图 用 出 现 在 W o r d 文 档 中 的 消 息 欺 骗 目 标 用 户 以 启 用 宏 功 能 。 消 息 中 会 提 醒 用 户 ： “ 此 文 档 是 在 以 前 版 本 的 M i c r o s o f t   O f f i c e   W o r d 中 创 建 的 。 若 要 查 看 或 编 辑 此 文 档 ， 请 单 击 顶 部 栏 上 的 “ 启 用 编 辑 ” 按 钮 ， 然 后 单 击 “ 启 用 内 容 ” 。 ” 攻 击 者 可 以 利 用 D D E 和 V B A 来 实 现 这 个 目 标 ， 而 这 两 个 功 能 是 标 准 的 微 软 工 具 随 W i n d o w s 系 统 提 供 。 D D E 是 一 种 在 应 用 程 序 （ 如 E x c e l 和 W o r d ） 之 间 传 输 数 据 的 方 法 。 对 于 Z l o a d e r ， 恶 意 软 件 会 使 用 W o r d 中 的 信 息 更 新 电 子 表 格 单 元 格 的 内 容 。 W o r d 文 档 可 以 读 取 下 载 的 . X L S 文 件 中 特 定 E x c e l 单 元 格 的 内 容 ， 然 后 使 用 基 于 W o r d 的 V B A 指 令 填 充 E x c e l 文 档 。 而 V B A 则 是 微 软 用 于 E x c e l 、 W o r d 和 其 他 O f f i c e 程 序 的 编 程 语 言 ， V B A 允 许 用 户 使 用 宏 记 录 器 工 具 创 建 命 令 字 符 串 。 在 这 种 情 况 下 ， 与 V B A 的 其 他 滥 用 案 例 一 样 ， Z l o a d e r 也 会 利 用 这 种 功 能 来 创 建 恶 意 宏 脚 本 。 E x c e l 将 记 录 用 户 执 行 的 所 有 步 骤 ， 并 将 其 保 存 为 一 个 名 为 “ p r o c e s s ” 的 宏 。 当 用 户 停 止 操 作 之 后 ， 这 个 宏 将 会 被 保 存 下 来 ， 并 且 会 被 分 配 给 一 个 按 钮 ， 当 用 户 点 击 这 个 按 钮 时 ， 它 会 再 次 运 行 完 全 相 同 的 过 程 。 禁 用 禁 用 E x c e l 宏 警 告 宏 警 告 恶 意 软 件 的 开 发 人 员 通 过 在 W o r d 文 档 中 嵌 入 指 令 ， 从 E x c e l 单 元 格 中 提 取 内 容 ， 实 现 了 警 告 绕 过 。 接 下 来 ， W o r d 文 件 会 通 过 写 入 检 索 到 的 内 容 ， 在 下 载 的 E x c e l 文 件 中 创 建 一 个 新 的 V B A 模 块 。 一 旦 E x c e l 宏 被 创 建 并 准 备 好 执 行 ， 脚 本 将 修 改 W i n d o w s 的 注 册 表 键 以 禁 用 受 害 者 计 算 机 上 V B A 的 信 任 访 问 。 这 使 得 脚 本 能 够 无 缝 地 执 行 功 能 ， 而 不 会 弹 出 任 何 的 警 告 。 在 禁 用 信 任 访 问 后 ， 恶 意 软 件 将 创 建 并 执 行 一 个 新 的 E x c e l   V B A ， 然 后 触 发 Z l o a d e r 的 下 载 行 为 。 毫 无 疑 问 ， 恶 意 文 档 一 直 是 大 多 数 恶 意 软 件 家 族 的 初 始 感 染 入 口 ， 这 些 攻 击 也 在 不 断 演 变 和 升 级 其 感 染 技 术 以 及 混 淆 技 术 。 因 此 ， 我 们 建 议 广 大 用 户 ， 仅 当 接 收 到 的 文 档 来 自 可 信 来 源 时 才 启 用 宏 功 能 ， 这 样 才 是 安 全 的 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理