Schadsoftware-Infektion via Office-Dokumente Analyse eines Makro-freien Malware-Angriffs

Im Jahr 2022 hat Microsoft damit begonnen, VBA-Makros für Microsoft Office standardmäßig zu deaktivieren. Ziel war es zu verhindern, dass Angreifer Makros nutzen, um eine Malware-Payload zu platzieren. Aber wie so oft, ist es Angreifern gelungen, sich rasch an die Veränderungen anzupassen und neue Wege, sprich Angriffsvektoren zu finden.

Im ersten Quartal 2023 konnten die Sicherheitsforscher der Vipre Security Group einen abrupten Anstieg von Microsoft OneNote-Dateien beobachten, die als Angriffsvektor genutzt wurden – geeignet verschiedene Malware-Familien wie AsyncRAT, RedLine, Qakbot usw. zu verbreiten. Parallel dazu wurde verstärkt sogenanntes HTML Smuggling genutzt, um Schadsoftware unterzubringen. Diesmal stießen die Forscher noch auf eine andere Art der Verbreitung, bei der sich Angreifer die Schwachstelle CVE-2022-30190 zunutze machen konnten.

Bildergalerie

Bildergalerie mit 9 Bildern

Die Schwachstelle CVE-2022-30190, auch unter dem Namen Follina bekannt, wurde im Jahr 2022 entdeckt. Sie nutzt einen legitimen Microsoft-Dienst, Microsoft Support Diagnostic Tool (MSDT), der auf anfälligen Systemen eine Remotecodeausführung ermöglicht. Die Schwachstelle ist nicht neu, wird aber weiterhin ausgenutzt. Dabei kann ein Angreifer auf eine externe Ressource verweisen, die anschließend eine bösartige HTML-Seite aufruft. Diese Seite nutzt den MSDT-URI-Protokoll-Handler, um beliebigen Code oder Befehle auszuführen, z. B. PowerShell. Die Datei msdt.exe wird als untergeordneter Prozess gestartet, sobald das HTML-Dokument in WinWord referenziert wird.

Das Besondere daran ist, dass man kein Microsoft-Dokumentenmakro benötigt, um die Malware zu verteilen. Der Angreifer muss das Opfer nur dazu bringen, das speziell gestaltete Microsoft-Dokument zu öffnen, um die Schwachstelle ausnutzen zu können. Der Angriff lässt sich zudem unabhängig davon ausführen, ob die Datei schreibgeschützt oder im Protection Mode ist – und es ist bei allen Microsoft Office-Versionen möglich.

Erst kürzlich stieß Vipre Labs auf eine Malspam-E-Mail-Kampagne mit einem docx-Dateianhang. Beim Öffnen der Datei erhält das Opfer die Meldung „This document contains a link that may refer to another file. Do you want to update this document with the data from the link files? “ („Dieses Dokument enthält einen Link, der auf eine andere Datei verweisen kann. Möchten Sie dieses Dokument mit den Daten aus den Verknüpfungsdateien aktualisieren?“). Die Datei enthält auch eine willkürlich erstellte ID und Karteninformationen.

Das Opfer könnte fälschlich davon ausgehen, dass es sich um eine normale Microsoft-Dokument-Datei handelt. Das aber ist nicht der Fall, denn im Hintergrund laufen nun bösartige Aktivitäten ab. Eines der Beispiele ist eine verdächtige TCP-Verbindung zu 45[.]76[.]53[.]253, die verwendet wird, um bösartige Dateien zu hosten.

Für diese Art von Angriff hat Vipre Labs die im Word-Dokument gespeicherte Datei „document.xml.rel“ untersucht. Der Angreifer verändert diese Datei, und sie enthält zudem eine bösartige externe URL-Ressource, die aufgerufen wird, sobald das Opfer das Dokument anklickt. In „document.xml.rels“ steckt ein Relationship-Tag vom Typ „oleObject, targetMode external“, das auf eine verdächtige URL verweist. Am Ende der URL findet sich ein „!“-Zeichen, das eine wichtige Rolle beim Auslösen der HTML-Payload spielt.

Der gefundene referenzierte externe Ressourcenlink hxxp://45[.]76[.]53[.]253/24[.]html enthält ein Javascript, das MSDT und Invoke-Expression verwendet, um ein PowerShell-Skript auszuführen, das mit base64 kodiert wurde:

Analyse des Powershell-Skripts

Dieses Skript lädt eine auf „hxxp://65[.]21[.]76[.]157/0524×8612[.]exe“ gehostete, ausführbare Datei mit dem Namen „wstmp.exe“ in das Verzeichnis %temp% herunter. Die heruntergeladene Payload wird dann mit Hilfe von „pcwut.dll“ und ihrer Funktion LaunchApplication ausgeführt. Das PowerShell-Skript beendet auch den untergeordneten Prozess msdt.exe, der zum Aufrufen der bösartigen externen Ressource diente. Das Opfer bemerkt die Ausführung des PowerShell-Skripts nicht, da sie aufgrund des Arguments „windowstyle hidden“ im Hintergrund abläuft.

Analyse der bösartigen Datei „wstmp.exe“

Die Sicherheitsforscher der Vipre Labs haben herausgefunden, dass die endgültige Payload für diese Kampagne mit der XWorm-Malware in Verbindung steht. XWorm ist eine ausgefeilte Art von Malware und wurde zusammen mit anderen bösartigen Tools im Dark Web verkauft. Diese Malware wurde in.NET kompiliert und ist ein Beispiel für einen Remote Access-Trojaner. Das analysierte Beispiel hat sich anhand der Dateiinformationen als eine Datei ausgegeben, die mit dem Antivirusprogramm „AVG“ in Verbindung steht. Die für die Ausführung zu verwendenden Zeichenfolgen sind verschlüsselt und werden mit dem Rijndael-Algorithmus entschlüsselt.

Sobald die Malware mit dem C2-Server des Angreifers verbunden ist, verfügt sie über folgende Eigenschaften und Fähigkeiten:

• Ransomware-ähnliches Verhalten (Verschlüsselung und Entschlüsselung von Dateien)

• Stehlen vertraulicher Daten des Opfers, z. B. Passwörter

• Ausspionieren des Opfer-Rechners (Keylogging, Webcam- und Mikrofonüberwachung)

• Durchführen eines Denial-of-Service-Angriffs (DDoS)

• Herunterfahren oder Neustart des Computers

• Versteckte virtuelle Netzwerkberechnungen

• Versteckte Remote-Desktop-Protokollierung (RDP)

• Sich hartnäckig festsetzen

Wie kann man verhindern, Opfer solcher Angriffe zu werden?

• Die E-Mail-Adresse des Absenders immer überprüfen

• Den gesamten Inhalt der E-Mail analysieren

• Nach Rechtschreib- oder Grammatikfehlern suchen

• Keine verdächtigen oder unerwartet erhaltenen Links und Dateien anklicken

• Das Antivirusprogramm kontinuierlich aktualisieren

Indicators of Compromise

EML-Dateien:

• fbf6e780378c09182e08a438fba6a9e1b79a380c8e07648d0dca23406c4f7c7e

• 646b68376bedd1a326f2f81caa40fc3a06e10f4af4a6e0101a10ab9bc5ce9cb7

• f3e831e037ddb46a4cbad7e1d70e58d880f4defdba6c1bfa858ae697c04730ad

• c8368bf875cc4c23e1b23976c630a52798ed0e6d8754c21d93f9e9f5ddc133eb

• bda578349aaaa540eff7646d75f1c54e6e743e9f5295dd52a6d5690ccd0c5ef6

Docx-Dateien:

• 20c49ebbe8f13df1f845726faef7663b50db411a3fb72f0cb4538acaba2db26b

• 88d921f668be40db6db9aff2cc58544bc82d16a4c3a45a6306f3878daba83e0d

• 5af433a792c0c3d7995d2eb5fc3105b61344224c127f1b2c509721c3e9700806

• 61fdd0900f250f934c692ff323196ca78bb9f26524ec12c1b33b1d4fbae550a2

• f842f32869a80152d421ba78c61bc91a7655c6917dbd58bc0de7f25c1f1b8da4

URLs:

• hxxp://65[.]21[.]76[.]157/0524×8612[.]exe

• hxxp://45[.]76[.]53[.]253/24[.]html

XWorm Malware

• e88cb3502ff2535e7bc40dfb94fa85a7a334bd90054eb2ef01f07b348569bd90

Über den Autor: Paul Apostolescu ist Chief Architect bei Vipre Security.

(ID:49621193)