搜索

[11439] 2017-06-09_无需宏，PPT也能用来投递恶意程序

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-06-09_无需宏，PPT也能用来投递恶意程序 无 需 宏 ， P P T 也 能 用 来 投 递 恶 意 程 序 A k a n e   F r e e B u f   2 0 1 7 - 0 6 - 0 9 近 日 ， 网 络 犯 罪 者 开 发 出 了 一 种 新 型 攻 击 技 术 ， 它 可 以 利 用 发 送 近 日 ， 网 络 犯 罪 者 开 发 出 了 一 种 新 型 攻 击 技 术 ， 它 可 以 利 用 发 送 P P T 文 件 和 鼠 标 悬 停 来 让 用 户 执 行 任 意 代 码 ， 并 下 载 恶 意 文 件 和 鼠 标 悬 停 来 让 用 户 执 行 任 意 代 码 ， 并 下 载 恶 意 程 序 。 程 序 。     使 用 经 过 特 制 的 O f f i c e 文 件 — — 特 别 是 W o r d 文 档 来 传 播 恶 意 软 件 其 实 并 不 少 见 ， 此 类 攻 击 通 常 依 靠 社 会 工 程 学 （ 对 受 害 者 心 理 弱 点 、 本 能 反 应 、 好 奇 心 、 信 任 、 贪 婪 等 心 理 陷 阱 进 行 诸 如 欺 骗 、 伤 害 等 危 害 手 段 ） 来 欺 骗 受 害 者 ， 诱 使 其 启 用 文 档 中 嵌 入 的 V B A 宏 。     然 而 ， 研 究 人 员 最 近 发 现 ， 一 种 全 新 的 攻 击 手 段 开 始 以 恶 意 P P T 文 件 为 载 体 ， 通 过 鼠 标 悬 停 事 件 执 行 P o w e r S h e l l 代 码 。 这 些 名 为 “ o r d e r . p p s x ” 或 “ i n v o i c e . p p s x ” 的 文 件 通 过 垃 圾 邮 件 进 行 分 发 ， 其 主 题 多 为 “ 采 购 订 单 # 1 3 0 5 2 7 ” 或 “ 待 确 认 事 项 ” 等 ， 伪 装 成 商 务 邮 件 进 行 攻 击 。     安 全 专 家 R u b e n D a n i e l D o d g e 进 行 的 分 析 显 示 ， 当 恶 意 P P T 被 打 开 时 ， 它 将 显 示 为 一 个 可 以 点 击 的 超 链 接 ， 文 本 是 “ 正 在 加 载 … … 请 等 待 ” 。     有 趣 的 部 分 来 了 。 这 种 新 型 攻 击 方 式 的 可 怕 之 处 是 ， 只 要 用 户 将 鼠 标 悬 停 在 恶 意 链 接 上 ， 即 使 你 并 没 有 点 击 ， 也 会 触 发 执 行 这 种 新 型 攻 击 方 式 的 可 怕 之 处 是 ， 只 要 用 户 将 鼠 标 悬 停 在 恶 意 链 接 上 ， 即 使 你 并 没 有 点 击 ， 也 会 触 发 执 行 P o w e r S h e l l 代 码 。 代 码 。 一 般 来 说 ， 大 多 数 版 本 的 O f f i c e 都 会 默 认 启 用 安 全 防 护 功 能 ， 通 知 用 户 一 些 常 见 的 风 险 ， 提 示 用 户 启 用 或 禁 用 某 些 内 容 ， 但 此 类 保 护 对 悬 停 攻 击 却 成 效 甚 微 。 另 外 ， 这 种 攻 击 也 不 需 要 用 户 启 用 宏 来 执 行 代 码 ， 而 是 使 用 外 部 程 序 功 能 。     如 果 受 害 者 中 招 ， P o w e r S h e l l 代 码 将 被 执 行 并 连 接 到 网 站 “ c c c n . n l ” 。 接 下 来 就 是 常 规 套 路 了 ， 随 后 会 从 该 域 名 下 载 文 件 并 执 行 ， 最 终 部 署 恶 意 程 序 d o w n l o a d e r 。     D o d g e   T h i s   S e c u r i t y 博 客 在 针 对 该 恶 意 程 序 的 分 析 中 提 到 < 点 击 原 文 查 看 链 接 > ， 首 张 P P T   S l i d e 1 的 “ r I D 2 ” 元 素 定 义 中 可 见 其 P o w e r S h e l l 命 令 ， 如 上 图 所 示 。 而 下 面 这 张 图 中 标 注 的 红 色 部 分 ， 就 是 悬 停 动 作 的 具 体 定 义 了 。
R u b e n D a n i e l D o d g e 已 经 在 文 中 公 布 了 其 I o C 。 很 不 幸 的 是 ， 他 们 发 现 这 种 攻 击 方 式 在 此 之 前 就 已 经 有 人 在 用 了 — — 被 用 来 传 播 一 种 网 银 木 马 的 变 种 ， 没 错 ， 就 是 大 名 鼎 鼎 的 “ Z u s y ” 、 “ T i n b a ” 或 被 称 为 “ T i n y B a n k e r ” 。     关 于 P P T 投 递 恶 意 软 件 为 何 会 有 这 么 多 人 中 招 ， S e n t i n e l   O n e 是 这 样 分 析 的 ：     用 户 仍 然 习 惯 于 允 许 外 部 程 序 运 行 ， 因 为 他 们 总 是 既 懒 又 忙 ， 要 不 就 是 屏 蔽 了 宏 就 以 为 高 枕 无 忧 了 。 而 且 ， 一 些 配 置 可 能 在 外 部 程 序 中 执 行 起 来 比 用 宏 更 方 便 。 当 然 ， 这 种 攻 击 也 并 非 无 往 不 利 。 有 安 全 公 司 指 出 ， 如 果 使 用 P o w e r   P o i n t   V i e w e r 打 开 恶 意 P P T 文 件 即 可 使 攻 击 失 效 。 另 外 ， 大 多 数 版 本 的 O f f i c e 在 执 行 代 码 之 前 都 会 警 告 用 户 ， 虽 然 效 果 有 限 ， 但 在 某 些 情 况 下 也 可 以 挽 回 部 分 损 失 。     * 参 考 来 源 ： s e c u r i t y w e e k ， s e c u r i t y a f f a i r s ， F B 小 编 A k a n e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理