建站
咨詢
售后
建站咨詢
新聞中心
據(jù)Bleeping Computer消息，安全研究人員發(fā)現(xiàn)了一種新型的惡意軟件傳播活動(dòng)，攻擊者通過(guò)使用PDF附件夾帶惡意的Word文檔，從而使用戶感染惡意軟件。
網(wǎng)站建設(shè)哪家好，找創(chuàng)新互聯(lián)！專注于網(wǎng)頁(yè)設(shè)計(jì)、網(wǎng)站建設(shè)、微信開(kāi)發(fā)、小程序開(kāi)發(fā)、集團(tuán)企業(yè)網(wǎng)站建設(shè)等服務(wù)項(xiàng)目。為回饋新老客戶創(chuàng)新互聯(lián)還提供了洪雅免費(fèi)建站歡迎大家使用！
類似的惡意軟件傳播方式在以往可不多見(jiàn)。在大多數(shù)人的印象中，電子郵件是夾帶加載了惡意軟件宏代碼的DOCX或XLS附件的絕佳渠道，這也是釣魚(yú)郵件泛濫的原因所在。隨著人們對(duì)電子釣魚(yú)郵件的警惕性越來(lái)越高，以此對(duì)打開(kāi)惡意Microsoft Office附件的了解越來(lái)越多，攻擊者開(kāi)始轉(zhuǎn)向其他的方法來(lái)部署惡意軟件并逃避檢測(cè)。
其中，使用PDF來(lái)傳播惡意軟件就是攻擊者選擇的方向之一。在HP Wolf Security最新發(fā)布的報(bào)告中，詳細(xì)說(shuō)明了PDF是如何被用作帶有惡意宏的文檔的傳輸工具，這些宏在受害者的機(jī)器上下載和安裝信息竊取惡意軟件。
在 PDF 中嵌入 Word
在HP Wolf Security發(fā)布的報(bào)告中，攻擊者向受害人發(fā)送電子郵件，附件則是被命名為“匯款發(fā)票”的PDF文件，而電子郵件的正文則是向收件人付款的模糊話術(shù)。
當(dāng)用戶打開(kāi)PDF文件時(shí)，Adobe Reader會(huì)提示用戶打開(kāi)其中包含的DOCX文件。顯然，這樣的操作很不尋常，讓人感到迷之疑惑。因此攻擊者巧妙地將嵌入的Word文檔命名為“已驗(yàn)證”，那么彈出的“打開(kāi)文件”提示聲明就會(huì)變成文件是“已驗(yàn)證的”。
此時(shí)，出于對(duì)Adobe Reader或其他PDF閱讀器的信任，很多用戶就會(huì)被誘導(dǎo)下載并打開(kāi)該惡意文件，惡意軟件也就進(jìn)入了受害者的電腦中。
請(qǐng)求操作批準(zhǔn)的對(duì)話框 (HP)
雖然專業(yè)的網(wǎng)絡(luò)安全研究人員或惡意軟件分析師可以使用解析器和腳本檢查PDF中的嵌入文件，但是對(duì)于普通用戶來(lái)說(shuō)，收到此類PDF文件卻很難解決其中的問(wèn)題，往往是在不知情的情況下中招。
因此，許多人可能會(huì)在Microsoft Word中打開(kāi)DOCX文件，如果啟用了宏，將從遠(yuǎn)程資源下載RTF(富文本格式)文件并打開(kāi)它。
獲取 RTF 文件 (HP)的 GET 請(qǐng)求
值得一提的是，攻擊者通過(guò)編輯好的命令讓RTF自動(dòng)下載，嵌入在 Word 文件中以及硬編碼的URL“vtaurl[.]com/IHytw”，這是托管有效負(fù)載的位置。
利用舊的漏洞
RTF文檔名為“f_document_shp.doc”，包含格式錯(cuò)誤的OLE對(duì)象，很可能會(huì)逃避系統(tǒng)的檢測(cè)分析。經(jīng)過(guò)一些有針對(duì)性的重建后，HP的安全研究人員發(fā)現(xiàn)它試圖利用舊的Microsoft Equation Editor漏洞來(lái)運(yùn)行任意代碼。
呈現(xiàn)有效載荷的解密 shellcode (HP)
部署的shellcode是利用了CVE-2017-11882漏洞，這是方程式編輯器中的一個(gè)遠(yuǎn)程代碼執(zhí)行錯(cuò)誤，已于2017年11月修復(fù)，但是目前依舊還在被利用。此前，該漏洞披露后就引起黑客的廣泛關(guān)注，其緩慢的修補(bǔ)過(guò)程使其成為2018 年被利用最多的漏洞之一。
通過(guò)利用 CVE-2017-11882，RTF中的shellcode下載并運(yùn)行Snake Keylogger，這是一個(gè)模塊化的信息竊取程序，具有強(qiáng)大的持久性、防御規(guī)避、憑據(jù)訪問(wèn)、數(shù)據(jù)收集和數(shù)據(jù)泄露功能。
參考來(lái)源：https://www.bleepingcomputer.com/news/security/pdf-smuggles-microsoft-word-doc-to-drop-snake-keylogger-malware/
網(wǎng)頁(yè)標(biāo)題：請(qǐng)注意，PDF正在傳播惡意軟件
轉(zhuǎn)載注明：http://www.dlmjj.cn/article/djcdsec.html
