情报背景

攻击者投递的样本为PPT文件，在PPT首页上覆盖了一张透明图片：

并且，给透明图片添加了相应的鼠标悬停事件：

当鼠标悬停于图片上时，将打开超链接指向的目标文件，执行后续攻击流程。鼠标悬停触发执行的部分代码如下：

代码中包含一个PowerShell脚本，该脚本通过系统中的LOLBAS白名单脚本SyncAppvPublishingServer.vbs来代理执行，有效提升了样本的防御规避效果：

在原本的Power Hover攻击方式中，可以通过修改.ppsx组成文件slide1.xml.rels中的hyperlink，将超链接修改为远端部署的恶意文件，实现无需宏代码的载荷下载执行：

随着漏洞CVE-2021-40444漏洞的修复，类似”file:///”的URL Scheml被禁用，即使可以利用文章中提及的方式触发执行本地文件，但也已经无法再通过URL超链接下载远端载荷。而通过文档中类似事件的触发，结合SyncAppvPublishingServer.vbs调用PowerShell，实现载荷的下载执行，再次将恶意文档防御撕开了口子。

在本次事件中，攻击者利用钓鱼文档另辟蹊径，以鼠标悬停事件作为触发点，结合本地脚本执行，完成载荷的投递与执行。在宏、URL Scheml等内置功能被一再限制的今天，攻击者在文档攻击场景中寻求新的攻击方式，利用鼠标悬停事件触发执行的新方式便是在这个背景下产生的。文档攻击依然是实现社工突破的重要手段，其衍生出的新恶意利用方式值得持续关注与防范。

绿盟科技天元实验室专注于新型实战化攻防对抗技术研究。

研究目标包括：漏洞利用技术、防御绕过技术、攻击隐匿技术、攻击持久化技术等蓝军技术，以及攻击技战术、攻击框架的研究。涵盖Web安全、终端安全、AD安全、云安全等多个技术领域的攻击技术研究，以及工业互联网、车联网等业务场景的攻击技术研究。通过研究攻击对抗技术，从攻击视角提供识别风险的方法和手段，为威胁对抗提供决策支撑。

M01N Team公众号

聚焦高级攻防对抗热点技术

绿盟科技蓝军技术研究战队

官方攻防交流群

网络安全一手资讯

攻防技术答疑解惑

扫码加好友即可拉群