搜索

[15822] 2020-09-07_Excel文档暗藏危机？黑客利用.NET库生成恶意文件可绕过安全检测

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-18
2020-09-07_Excel文档暗藏危机？黑客利用.NET库生成恶意文件可绕过安全检测 E x c e l 文 档 暗 藏 危 机 ？ 黑 客 利 用 . N E T 库 生 成 恶 意 文 件 可 绕 过 安 全 检 测 原 创   S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 9 - 0 7 E x c e l 文 档 是 十 分 常 见 的 办 公 软 件 ， 一 旦 被 黑 客 盯 上 ， 足 以 让 大 批 量 的 用 户 中 招 。 用 相 同 的 E x c e l 文 档 混 淆 用 户 视 线 ， 表 面 “ 波 澜 不 惊 ” ， 实 则 “ 暗 藏 危 机 ” 。 近 期 ， N V I S O   L a b s 的 安 全 研 究 人 员 发 现 一 个 新 型 恶 意 软 件 团 伙 利 用 一 个 新 技 术 生 成 E x c e l 文 件 ， 无 需 使 用 M i c r o s o f t O f f i c e 即 可 创 建 包 含 大 量 宏 的 E x c e l 工 作 簿 ， 这 些 恶 意 E x c e l 文 件 比 较 难 被 检 测 到 ， 可 绕 过 系 统 的 安 全 检 测 。 该 恶 意 组 织 团 伙 名 为 “ E p i c   M a n c h e g o ” ， 自 6 月 起 ， 一 直 有 所 动 作 ， 主 要 活 动 是 在 世 界 范 围 内 ， 向 企 业 发 送 带 有 恶 意 E x c e l 的 网 络 钓 鱼 邮 件 。 这 些 E x c e l 文 件 暗 藏 “ 猫 腻 ” ， 不 是 人 们 使 用 的 常 规 的 表 格 文 件 ， 它 们 可 绕 过 安 全 扫 描 程 序 ， 检 测 率 较 低 。 恶 意 表 格 文 件 由 恶 意 表 格 文 件 由 E P P l u s 编 译 编 译 这 些 恶 意 E x c e l 文 件 也 是 “ 出 身 不 凡 ” ， 它 们 并 不 是 在 常 规 的 M i c r o s o f t   O f f i c e 软 件 中 编 译 的 ， 而 是 在 带 有 E P P l u s 的 . N E T 库 中 编 译 的 。 开 发 人 员 会 使 用 该 库 来 添 加 “ 导 出 为 E x c e l ” 或 “ 另 存 为 电 子 表 格 ” 的 功 能 ， 简 单 来 说 ， 可 用 来 生 成 多 种 电 子 表 格 格 式 的 文 件 ， 甚 至 支 持 E x c e l   2 0 1 9 。 “ 当 我 们 注 意 到 恶 意 文 件 没 有 经 过 编 译 的 代 码 ， 并 且 也 缺 少 O f f i c e 元 数 据 时 ， 我 们 很 快 想 到 了 E P P l u s 。 该 库 还 将 创 建 O O X M L 文 件 ， 而 无 需 编 译 V B A 代 码 和 O f f i c e 元 数 据 。 ” 安 全 研 究 团 队 在 报 告 中 写 到 。 E p i c   M a n c h e g o 利 用 该 库 中 的 E P P l u s 来 生 成 O f f i c e   O p e n   X M L （ O O X M L ） 格 式 的 电 子 表 格 文 件 。 E p i c   M a n c h e g o 生 成 的 O O X M L 电 子 表 格 文 件 缺 少 一 部 分 已 编 译 的 V B A 代 码 ， 该 代 码 专 门 用 于 在 M i c r o s o f t 专 有 O f f i c e 软 件 中 编 译 的 E x c e l 文 档 。 O O X M L 文 件 格 式 是 一 种 开 放 包 装 约 定 （ O P C ） 格 式 ： 一 种 Z I P 容 器 ， 主 要 包 含 X M L 文 件 ， 可 能 还 包 含 二 进 制 文 件 。 它 最 初 是 由 M i c r o s o f t 在 O f f i c e   2 0 0 7 发 行 版 中 引 入 的 。 O O X M L 电 子 表 格 使 用 扩 展 名 . x l s x 和 . x l s m （ 用 于 带 有 宏 的 电 子 表 格 ） 。 使 用 E P P l u s 创 建 V B A 项 目 时 ， 它 不 包 含 已 编 译 的 V B A 代 码 。 E P P l u s 没 有 创 建 编 译 代 码 的 方 法 ： 创 建 编 译 V B A 代 码 的 算 法 是 M i c r o s o f t 专 有 的 。 杀 毒 软 件 则 是 通 过 查 找 V B A 代 码 这 一 部 分 来 实 现 恶 意 E x c e l 文 件 检 测 功 能 ， 由 此 可 以 解 释 为 什 么 E p i c   M a n c h e g o 生 成 的 恶 意 E x c e l 文 件 检 测 率 低 于 其 他 恶 意 E x c e l 文 件 了 。 已 编 译 的 V B A 代 码 可 以 存 储 攻 击 者 的 恶 意 代 码 。 比 如 E p i c   M a n c h e g o 以 自 定 义 V B A 代 码 格 式 存 储 了 他 们 的 恶 意 代 码 ，
该 格 式 也 受 到 密 码 保 护 ， 以 防 止 安 全 系 统 和 研 究 人 员 分 析 其 内 容 。 尽 管 生 成 恶 意 E x c e l 的 文 件 的 方 式 不 同 ， 但 是 由 E P P l u s 生 成 的 电 子 表 格 仍 然 可 以 像 正 常 E x c e l 文 档 那 样 工 作 。 这 让 用 户 很 难 辨 别 和 发 现 E x c e l 表 格 的 异 样 了 。 自 6 月 起 ， 该 恶 意 文 档 的 运 营 商 开 始 活 跃 ， 其 中 包 含 恶 意 宏 脚 本 。 如 果 打 开 E x c e l 文 件 的 用 户 允 许 执 行 脚 本 （ 通 过 单 击 “ 启 用 编 辑 ” 按 钮 ） ， 那 么 宏 将 在 目 标 用 户 的 系 统 中 下 载 并 安 装 恶 意 软 件 。 下 载 的 恶 意 程 序 大 多 是 那 些 经 典 的 窃 密 木 马 ， 比 如 A z o r u l t 、 A g e n t T e s l a 、 F o r m b o o k 、 M a t i e x 、 和 n j R a t ， 这 些 木 马 程 序 可 以 将 用 户 浏 览 器 、 电 子 邮 件 和 F T P 客 户 端 的 密 码 转 储 ， 并 将 这 些 发 送 到 E p i c   M a n c h e g o 的 服 务 器 中 。 安 全 研 究 团 队 N V I S O 表 示 ， 他 们 发 现 了 2 0 0 多 个 链 接 到 E p i c   M a n c h e g o 的 恶 意 E x c e l 文 件 ， 第 一 个 可 追 溯 到 今 年 6 月 2 2 日 。 修 复 建 议 修 复 建 议 过 滤 电 子 邮 件 附 件 和 从 组 织 外 部 发 送 的 电 子 邮 件 ； 实 施 功 能 强 大 的 端 点 检 测 和 响 应 防 御 ； 增 强 网 络 钓 鱼 意 识 培 训 并 执 行 网 络 钓 鱼 练 习 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理