Атака GrimResource эксплуатирует файлы MSC и неисправленную XSS-уязвимость в Windows

Специалисты Elastic обнаружили новую методику выполнения команд, получившую название GrimResource, которая использует специально подготовленные файлы MSC (Microsoft Saved Console) и неисправленную XSS-уязвимость в Windows для выполнения кода через Microsoft Management Console.

Летом 2022 года компания Microsoft отключила по умолчанию макросы в Office, что заставило злоумышленников начать эксперименты с другими типами файлов для своих фишинговых атак. Сначала атакующие переключились на ISO-образы и защищенные паролем архивы ZIP, поскольку для извлеченных из них файлов не отображались предупреждения Mark of the Web (MoTW).


После того как Microsoft устранила проблему, связанную с ISO-файлами, в 7-Zip добавили возможность установки флагов MoTW, злоумышленники были вынуждены переключиться на новые вложения, например ярлыки Windows Shortcuts и файлы OneNote.

Как выяснилось теперь, в последнее время злоумышленники используют еще один тип файлов — Windows MSC (.msc), которые применяются в Microsoft Management Console (MMC).

Первой о злоупотреблении файлами MSC для развертывания вредоносных программ сообщила южнокорейская компания Genian. И под влиянием этого исследования специалисты Elastic обнаружили новую технику распространения MSC-файлов, связанную с эксплуатацией старой и до сих пор неисправленной XSS-уязвимости в Windows (в apds.dll) для развертывания Cobalt Strike. Исследователи подчеркивают, что баг работает даже в новейшей версии Windows 11.

Исходно Adobe и Microsoft уведомили об этой уязвимости еще октябре 2018 года, и хотя обе компании изучили проблему, Microsoft решила, что случай не требует немедленного выпуска патчей.

Специалисты Elastic обнаружили образец (sccm-updater.msc), загруженный на VirusTotal 6 июня 2024 года, который использовал технику GrimResource. То есть хакеры уже применяют такие атаки на практике, и ни один антивирус на VirusTotal не отметил этот файл как вредоносный.

Атака GrimResource начинается с вредоносного MSC-файла, который пытается использовать связанный с DOM XSS-баг в библиотеке apds.dll. Это позволяет выполнить произвольный JavaScript-код через специально подготовленный URL.

Вредоносный MSC-файл, распространяемый злоумышленниками, содержит ссылку на уязвимый ресурс APDS в секции StringTable, поэтому, когда жертва открывает его, MMC обрабатывает его и инициирует выполнение JS в контексте mmc.exe.

Специалисты объясняют, что эта XSS-уязвимость может использоваться вместе с техникой DotNetToJScript для выполнения произвольного .NET-кода через движок JavaScript в обход всех мер безопасности.

Так, в рассмотренном исследователи примере используется обфускация transformNode, чтобы обойти предупреждения ActiveX, а JS-код реконструирует VBScript, который применяет DotNetToJScript для загрузки компонента .NET под названием PASTALOADER

PASTALOADER извлекает полезную нагрузку Cobalt Strike из переменных окружения, заданных VBScript, порождает новый экземпляр dllhost.exe и осуществляет инжект с помощью техники DirtyCLR вместе с анхукингом функций и непрямыми системными вызовами.

Эксперты Elastic опубликовали на GitHub полный список индикаторов компрометации, связанных с GrimResource, а также приложили к своему отчету правила YARA.

Источник

 

[ScriptMakeR]

Не знаю, что там было 06.06.2024. Но, на данный момент, образец имеет 12 отрицательных отзывов на VT.

 

[ScriptMakeR]

От макросов к MSC: хакеры Kimsuky осваивают новую технику шпионажа​

Действия Microsoft вынудили Северную Корею использовать системные файлы для атак на Windows.

Специалисты DBAPPSecurity обнаружили, что северокорейская группировка Kimsuky использует в своих атаках MSC-файлы, чтобы избежать обнаружения и выполнить вредоносный код в целевой системе.

MSC-файлы (Microsoft Saved Console) используются в консоли MMC для управления различными аспектами операционной системы или создания пользовательских представлений часто используемых инструментов.

При первоначальной загрузке на платформу VirusTotal ни один антивирусный движок не распознал файлы как вредоносные. Техника заражения хакеров, позволяющая выполнять произвольный код, получила название GrimResource.

Специалисты обнаружили аналогичные атаки с использованием MSC-файлов, направленные на пользователей из Китая. MSC-файлы используют XSS-уязвимость в библиотеке apds.dll, что позволяет выполнять произвольный JavaScript-код в контексте mmc.exe

MSC-файл выполняет эти действия, маскируясь под установочный файл популярного китайского переводчика YoudaoDict, который запрашивает выполнение вредоносного кода с удаленного сервера и создаёт задачи для запуска дополнительных вредоносных программ при входе пользователя в систему. В конечном итоге атака приводит к доставке вредоносной нагрузки и удаленному управлению зараженным компьютером.

Анализ показал, что обнаруженные образцы MSC-файлов могут быть связаны с китайской группировкой FaCai, которая была замечена в апреле 2024 года, когда использовала модифицированные версии RAT-трояна Gh0st. Сейчас хакеры активно применяют MSC-файлы. В процессе дальнейшего анализа были обнаружены и другие файлы FaCai, например, поддельные установочные файлы Chrome и документы с данными об образовательной сфере. Все файлы использовали аналогичные техники и инфраструктуру для выполнения вредоносных действий.

DBAPPSecurity предупреждает пользователей не открывать вложения из неизвестных источников. Для проверки подозрительных файлов рекомендуется использовать облачную песочницу, которая позволяет безопасно анализировать файлы в виртуальной среде, предотвращая заражение основной системы. Кроме того, лаборатория рекомендует обновить соответствующие продукты для защиты от новых угроз.

Атака GrimResource появилась после того, как Microsoft по умолчанию отключила макросы в Office в июле 2022 года, из-за чего злоумышленники стали экспериментировать с новыми типами файлов в атаках. С тех пор возросло использование файлов ISO, RAR и LNK во вредоносных кампаниях, и сейчас к этому списку добавились MSC-файлы.

Источник