lunes, 27 de febrero de 2017

La nueva pasarela de malware - Parte 2

Continuando con el desfile se presentan los ...

ARCHIVOS .JSE


Los archivos con extensión ".jse", son archivos JScript Encoded, desarrollados por Microsoft.

Estos archivos están relacionados con los archivos con extensión ".vbe". Se comentaron en la entrada: http://4null0.blogspot.com.es/2016/02/analizando-el-archivo-updatedat.html

Son fácilmente ejecutados mediante WScript.exe o  CScript.exe, como cualquier archivo JavaScript o VisualBasic Script.

Tal y como se puede ver en la siguiente imagen el contenido del mismo es totalmente ilegible.

Contenido de archivo: Multa_N_Expediente_19-002-923.jse

Se ha encontrado que últimamente se distribuyen muchos archivos ofimáticos que contienen contenido ilegible, pero que si analizamos la macro que poseen, se puede ver que el contenido ilegible se corresponde con el contenido de un archivo con extensión ".jse" que es extraído del documento ofimático para su ejecución.


Contenido ilegible del archivo ofimático: Multa_N_Expediente_19-002-923.doc

Macro del archivo


Función que se ejecuta tras cerrar el documento, y en donde se puede ver la creación del archivo con extensión ".jse" con el contenido del documento, así como su posterior ejecución.

Estos archivos con extensión ".jse" pueden ser decodificamos mediante el código comentado en la entrada del blog referenciada anteriormente.


Ejecución de la script ".vbs" que permite descifrar tanto los archivos con extensión ".vbe" como ".jse"


Codigo del archivo con extensión ".jse" tras descifrarlo


Lo que hagas con la información es cosa tuya, no mía ... pero ten conciencia


martes, 21 de febrero de 2017

La nueva pasarela de malware - Parte 1

En estos últimos días/semanas he estado viendo/leyendo nuevos métodos utilizados por el malware para infectar máquinas.

Me gustaría recopilar  estos métodos, que, por supuesto, no son todos los que sufriremos.

DATA URI

El "data URI" es un esquema definido en las normas IETF RFC 2397. Dicho esquema permite la inclusión de pequeños elementos de datos en línea para referenciar una fuente externa de datos. Suelen ser mucho más simples que otros métodos de inclusión alternativos, como MIME con "cid:" o "mid:".

De acuerdo a la denominación en el RFC, los data: URI son, de hecho, URLs.

Se tienen noticias de su uso desde el año pasado, sobre todo porque son utilizados en anuncios publicitarios de multitud de sitios web. Aunque ahora se "han empezado" a utilizar como método de infección.

La estructura data URI utilizada es:

data:[<tipo de medio>][;base64],<data>

de manera más específica:

data:[<tipo/subtipo>][;<atributos=valores>][;base64],<datos>

 
Ejemplos:
               
                ARCHIVOS HTML
        
                       <href a="data:text/html;charset=utf-8,www.google.es">
               
                       <img src="data:image/png,base64,<imagen codificada en base64>" />
        
                JAVASCRIPT
        
                           window.open('data:text/plain;Hola Mundo;-)')

                CSS
 
   ul.checklist > li.complete { margin-left: 20px, background: url(data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAABAAAAAQAQMAAAAlPW0iAAAABlBMVEUAAAD///+l2Z/dAAAAM0lEQVR4nGP4/5/h/1+G/58ZDrAz3D/McH8yw83NDDeNGe4Ug9C9zwz3gVLMDA/A6P9/AFGGFyjOXZtQAAAAAElFTkSuQmCC) top left no-repeat; }
 
NOTAS:
                1. - Los datos como se puede imaginar pueden ser codificados en base64.

        2.- Si el tipo de datos es obviado, por defecto se entenderá que los datos son de tipo: text/plain;charset=US-ASCII


PoC

1.- Código de nuestra página web que dejaremos en Internet


Código de la web habilitada en Internet

2.- Página web codificada en base 64 a la que re-direccionaremos la comunicación de todo aquel que accede a nuestra web.


Web que realmente se ejecutará

3.- Al ejecutar el archivo ".html" ... parece que no tenemos el efecto demo.


Ejecución del data URI

Lo que hagas con la información es cosa tuya, no mía ... pero ten conciencia

Más información:
https://www.securityartwork.es/2017/02/07/tendencias-malware-enero-2017/
https://es.wikipedia.org/wiki/Esquema_de_URI_de_datos
https://tools.ietf.org/html/rfc2397

martes, 7 de febrero de 2017

Una nueva clave de registro en Windows para persistir

Se quiere hacer eco de la siguiente entrada en el blog: Securityartwork.es (30/01/2017), así como de la entrada original del blog Enigma0x3.net (15/08/2016)

En dichas entradas se habla sobre la posibilidad de saltarse (bypass) la UAC (User Account Control), implementada por los sistemas Microsoft Windows para evitar la escalada de privilegios dentro del sistema.

El bypass se consigue mediante la creación/modificación de la siguiente clave de registro usada por la aplicación: eventvwr.exe (Microsoft Management Console)

HKEY_CURRENT_USER\Software\Classes\mscfile\shell\open\command

Y sobre la que el usuario tiene permisos de escritura.

Prueba de concepto

Se ha procedido a crear la estructura de claves de registros en el hive: HKEY_Current_User, y sobre el valor por defecto se ha introducido la ubicación de la aplicación: "powershell".

Tras lo cual se ha procedido a  llamar a: eventvwr.exe. 

El resultado ha sido este:

Claves de registro creadas para la ejecución en este caso de la aplicación: powershell.exe

Tras la modificación del registro de Windows se procede a realizar la prueba con los efectos que se pueden apreciar en la foto.


Resultado final de la prueba de concepto.

Conclusión

Con lo que me quedo de dicho uso no es tanto la escala de privilegios como su posible uso para obtener persistencia de cualquier tipo de malware dentro de nuestro sistema, tal y como se comenta en el blog: Securityatwork.es

Por dicho motivo se debería considerar:

1.- Monitorización de la clave de registro comentada frente a la creación y/o modificación
2.- Configurar el nivel de la UAC a: "Notificar siempre". Para ello en la siguiente clave de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

Las variables:  ConsentPromptBehaviorAdmin y PromptOnSecureDesktop, deben de tener respectivamente los valores 2 y 1.

Lo que hagas con la información es cosa tuya, no mía ... pero ten conciencia.

PD: Gracias por contactar DT