jueves, 26 de octubre de 2017

¡¡¡DDE localizado y errádicado!!!

Mucho se ha leído y comentado sobre el uso de la tecnología DDE en archivos ofimáticos de Microsoft para su uso en los procesos de infección.

1. https://sensepost.com/blog/2017/macro-less-code-exec-in-msword/ (original)
2. https://www.securitysift.com/abusing-microsoft-office-dde/
3. http://www.hackplayers.com/2017/10/RCE-en-ms-word-sin-macros-con-DDE.html
4.http://blog.segu-info.com.ar/2017/10/macro-less-ejecucion-de-codigo-en.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+NoticiasSeguridadInformatica+%28Noticias+de+Seguridad+de+la+Informaci%C3%B3n%29

La última noticia (de hoy): 5. https://isc.sans.edu/diary/rss/22970.

Al igual que está última noticia, se lleva varios días realizando una pequeña investigación sobre donde se almacena dentro de un documento ofimático la referencia a: DDEAUTO, que sería el indicativo del uso de la tecnología DDE, y como poder detectarla al realizar un análisis estático de un documento ofimático.

Y como se menciona en esta última notica, al abrir un documento  ofimático como si fuera un archivo comprimido, se puede ver que el archivo: Document.xlm, es donde se ubica la referencia a DDEAUTO

Estructura interna del archivo: RFQ-Modificado.doc

Contenido de la carpeta: word, del archivo: RFQ-Modificado.doc


Contenido del archivo: document.xml

Y al igual que los chic@s del sans.edu, otra vez, se ha desarrollado el siguiente código para la detección de tecnología DDE dentro de un archivo ofimático.

Código desarrollado

Ejemplo de detección de la cadena: DDEAUTO

Esta herramienta permitiría detectar de manera estática, si un archivo trabaja con la tecnología DDE o no.

En cualquier caso ...

Lo que hagas con la información es cosa tuya, no mía ... pero ten conciencia.


lunes, 23 de octubre de 2017

¡¡¡El proceso de ese ejecutable espía mi intento de infección!!!

Simplemente quiero hacerme eco de la noticias encontradas en los blogs: hackplayers.com (en castellano) y blog.rootshell.be (en inglés y origen del hilo).

En ambas, y para resumir, se comenta que entre los métodos que utilizan muchos de los actuales "malwares" que implementan técnicas anti-debugging y anti-MV, se encuentra la búsqueda de archivos ejecutables relacionados con procesos que podrían indicar al "malware" que están siendo monitorizados y/o debugeados.

El listado de ejecutables que todo "malware" que se precie debería eliminar antes de continuar con la infección, es:

AVK.exe
AVKProxy.exe
AVKService.exe
AVKTray.exe
AVKWCtlx64.exe
AgentSvc.exe
BDSSVC.EXE
Bav.exe
BavSvc.exe
BavTray.exe
BavUpdater.exe
BavWebClient.exe
CertReg.exe
EMLPROXY.EXE
FCDBlog.exe
FCHelper64.exe
FPAVServer.exe
FPWin.exe
FProtTray.exe
FSHDLL64.exe
FSM32.EXE
FSMA32.EXE
FilMsg.exe
FilUp.exe
FortiClient.exe
FortiClient_Diagnostic_Tool.exe
FortiESNAC.exe
FortiFW.exe
FortiProxy.exe
FortiSSLVPNdaemon.exe
FortiTray.exe
GDKBFltExe32.exe
GDSC.exe
GDScan.exe
GdBgInx64.exe
K7AVScan.exe
K7CrvSvc.exe
K7EmlPxy.EXE
K7FWSrvc.exe
K7PSSrvc.exe
K7RTScan.exe
K7SysMon.Exe
K7TSMain.exe
K7TSMngr.exe
K7TSecurity.exe
MCS-Uninstall.exe
MCShieldCCC.exe
MCShieldDS.exe
MCShieldRTM.exe
NS.exe
ONLINENT.EXE
OPSSVC.EXE
PSANHost.exe
PSUAMain.exe
PSUAService.exe
PtSessionAgent.exe
PtSvcHost.exe
PtWatchDog.exe
QUHLPSVC.EXE
SAPISSVC.EXE
SASCore64.exe
SASTask.exe
SBAMSvc.exe
SBAMTray.exe
SBPIMSvc.exe
SCANNER.EXE
SCANWSCS.EXE
SDFSSvc.exe
SDScan.exe
SDTray.exe
SDWelcome.exe
SSUpdate64.exe
SUPERAntiSpyware.exe
SUPERDelete.exe
ScSecSvc.exe
TRAYICOS.EXE
TRAYSSER.EXE
UnThreat.exe
UserReg.exee
VIEWTCP.EXE
VIPREUI.exe
Zanda.exe
Zlh.exe
acs.exe
av_task.exe
avpmapp.exe
bavhm.exe
cmd.exetaskkill/IMnwscmon.exe
coreFrameworkHost.exe
coreServiceShell.exe
econceal.exe
econser.exe
escanmon.exe
escanpro.exe
fcappdb.exe
filwscc.exe
fmon.exe
freshclam.exe
freshclamwrap.exe
fsgk32.exe
fshoster32.exe
fsorsp.exe
fssm32.exe
guardxkickoff_x64.exe
guardxservice.exe
iptray.exe
nanoav.exe
nanosvc.exe
nbrowser.exe
nfservice.exe
njeeves2.exe
nnf.exe
nprosec.exe
nseupdatesvc.exe
nvcod.exe
nvcsvc.exe
nvoy.exe
op_mon.exe
psview.exe
quamgr.exe
schmgr.exe
scproxysrv.exe
trigger.exe
twsscan.exe
twssrv.exe
uiSeAgnt.exe
uiUpdateTray.exe
uiWatchDog.exe
uiWinMgr.exe
utsvc.exe
virusutilities.exe
zlhh.exe

A partir de aquí, se podría elaborar una política en el AV personal/corporativo de cada uno para detectar procesos que intenten eliminar la ejecución vinculada con cada uno de los ejecutables anteriores.
                                                                                                                                                    

Lo que hagas con la información es cosa tuya, no mía ... pero ten conciencia.