[十万火急]Microsoft Office Excel 的旧用户正成为恶意软件活动的目标
2021-07-14 19:24:06 Author: www.freebuf.com(查看原文) 阅读量:51 收藏

freeBuf

主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

事件报道

根据安全专家的最新发现,Microsoft Excel的旧用户正成为恶意软件的攻击目标。这种恶意软件攻击活动使用了一种新的恶意软件混淆技术来禁用Microsoft Office的安全防御机制,然后传播和感染Zloader木马病毒。

根据McAfee周四发表的研究报告,这次攻击结合了Microsoft Office Word和Excel中的功能,以共同下载Zloader Payload,而且不会在终端触发恶意攻击警报。

Zloader是一种针对银行的特洛伊木马,旨在窃取目标金融机构用户的凭据和其他私人信息。

Zloader的初始攻击向量是基于收件箱的网络钓鱼消息,其中会附带Word文档附件,并包含非恶意的代码。因此,它通常不会触发电子邮件网关或客户端防病毒软件来阻止攻击。

同时,Zloader的宏混淆技术利用Microsoft Office的Excel动态数据交换(DDE)字段和基于Windows的Visual Basic for Applications(VBA)对支持传统XLS格式的系统发起攻击。

初始感染链

研究人员通过分析后发现,恶意软件首先通过包含Microsoft Word文档作为附件的网络钓鱼电子邮件抵达目标用户的主机系统。当用户打开文档并启用宏功能时,Word文档就会下载并打开另一个受密码保护的Microsoft Excel文档。

接下来,嵌入Word文档中的基于VBA的指令会读取精心构建的Excel电子表格单元以创建宏。这个宏将使用附加的VBA宏填充同一XLS文档中的附加单元格,从而禁用Office的安全防御功能。

一旦宏被写入并准备就绪,Word文档就会将注册表中的策略设置为“禁用Excel宏警告”,并从Excel文件中调用恶意宏函数。此时,Excel文件将会下载Zloader Payload,并通过rundll32.exe执行Zloader Payload。

混淆机制分析

由于Microsoft Office会自动禁用宏功能,因此攻击者会试图用出现在Word文档中的消息欺骗目标用户以启用宏功能。

消息中会提醒用户:“此文档是在以前版本的Microsoft Office Word中创建的。若要查看或编辑此文档,请单击顶部栏上的“启用编辑”按钮,然后单击“启用内容”。”

攻击者可以利用DDE和VBA来实现这个目标,而这两个功能是标准的微软工具随Windows系统提供。

DDE是一种在应用程序(如Excel和Word)之间传输数据的方法。对于Zloader,恶意软件会使用Word中的信息更新电子表格单元格的内容。Word文档可以读取下载的.XLS文件中特定Excel单元格的内容,然后使用基于Word的VBA指令填充Excel文档。

而VBA则是微软用于Excel、Word和其他Office程序的编程语言,VBA允许用户使用宏记录器工具创建命令字符串。在这种情况下,与VBA的其他滥用案例一样,Zloader也会利用这种功能来创建恶意宏脚本。

Excel将记录用户执行的所有步骤,并将其保存为一个名为“process”的宏。当用户停止操作之后,这个宏将会被保存下来,并且会被分配给一个按钮,当用户点击这个按钮时,它会再次运行完全相同的过程。

禁用Excel宏警告

恶意软件的开发人员通过在Word文档中嵌入指令,从Excel单元格中提取内容,实现了警告绕过。接下来,Word文件会通过写入检索到的内容,在下载的Excel文件中创建一个新的VBA模块。

一旦Excel宏被创建并准备好执行,脚本将修改Windows的注册表键以禁用受害者计算机上VBA的信任访问。这使得脚本能够无缝地执行功能,而不会弹出任何的警告。

在禁用信任访问后,恶意软件将创建并执行一个新的Excel VBA,然后触发Zloader的下载行为。

毫无疑问,恶意文档一直是大多数恶意软件家族的初始感染入口,这些攻击也在不断演变和升级其感染技术以及混淆技术。因此,我们建议广大用户,仅当接收到的文档来自可信来源时才启用宏功能,这样才是安全的。


文章来源: https://www.freebuf.com/articles/paper/280760.html
如有侵权请联系:admin#unsafe.sh