過去幾年，使用社會(huì)工程的微軟office宏惡意軟件成為惡意軟件感染的一種新方式。惡意軟件作者還不斷發(fā)展其家屬以繞過檢測(cè)。這些技術(shù)使用宏混淆、DDE、以及使用支持老版本的xls格式。

　　McAfee實(shí)驗(yàn)室研究人員近日發(fā)現(xiàn)一種可以在垃圾郵件附件宏中沒有任何惡意代碼的情況下下載和執(zhí)行惡意DLL文件——Zloader。

感染圖

　　威脅總結(jié)

　　初始的攻擊向量是一個(gè)含有微軟word附件的釣魚郵件。

　　打開該word附件后，就會(huì)從遠(yuǎn)程服務(wù)器下載一個(gè)密碼保護(hù)的Excel文件。

　　Word文件的VBA會(huì)讀取下載的XLS文件的單元格內(nèi)容，并以宏的形式寫入XLS VBA。

　　宏寫入下載的XLS文件后，word文件就會(huì)在注冊(cè)表中設(shè)置策略來(lái)禁用Excel宏警告，并從Excel文件中動(dòng)態(tài)調(diào)用宏函數(shù)。

　　結(jié)果就是下載最終的zloader payload。然后，zloader payload通過rundll32.exe動(dòng)態(tài)執(zhí)行。

　　詳細(xì)技術(shù)分析

　　感染鏈

　　惡意軟件會(huì)通過含有word附件的釣魚郵件傳輸。Word文件打開且宏啟用時(shí)，word文件就會(huì)下載和打開另一個(gè)有密碼保護(hù)的Excel文件。

　　在下載XLS文件后，word VBA會(huì)從XLS中讀取單元格內(nèi)容，為該xls文件創(chuàng)建一個(gè)新的宏，并將單元格內(nèi)容寫入xls VBA宏。

　　宏寫入后，word文檔就會(huì)在注冊(cè)表中設(shè)置策略來(lái)禁用Excel宏警告，并從Excel文件中調(diào)用惡意宏函數(shù)。然后，Excel文件就會(huì)下載zloader payload。然后，Zloader payload就會(huì)用rundll32.eze執(zhí)行。

　　圖-1: 感染流圖

　　Word文件分析

　　圖2是打開word文件時(shí)的樣子。一般來(lái)說(shuō)，微軟office默認(rèn)是禁用宏的。惡意軟件作者意識(shí)到了這一點(diǎn)，所以在這里展示了一個(gè)誘餌圖像來(lái)誘使受害者按照指示去啟用宏。

圖-2: word文件的圖像

　　Word文件中的userform combo-box組件保存了連接到遠(yuǎn)程Excel文件的所需要的所有內(nèi)容，包括Excel對(duì)象、URL、打開Excel文件所需的密碼。URL以分開的字符串的形式保存在combobox中，這些字符串之后會(huì)連接在一起來(lái)組成一個(gè)完整的字符串。

　　圖-3: URL組件（右側(cè)）、打開Excel需要的密碼（“i5x0wbqe81s”）在user-form組件中

　　Word文檔VBA宏分析

　　圖-4: VBA編輯器圖像

　　如圖4所示，代碼會(huì)嘗試下載和打開惡意域名保存的Excel文件。首先，會(huì)使用CreateObject（） 函數(shù)和從combobox-1（如圖2）來(lái)讀取字符串來(lái)創(chuàng)建Excel應(yīng)用對(duì)象。在創(chuàng)建了對(duì)象后，使用相同的對(duì)象來(lái)打開Excel文件，會(huì)使用Workbooks.Open（）函數(shù)直接從惡意URL直接打開文件而不保存文件到硬盤上。

　　圖-5: 讀取Excel中隨機(jī)表格中字符串的Word宏代碼

　　圖5中的代碼是從Excel單元格讀取字符串部分宏代碼。比如：

　　Ixbq = ifk.sheets（3）。Cells（44,42）。Value

　　上面的代碼將sheet 3單元格（44，22）中字符串保存到變量ixbq中。Excel.Application對(duì)象會(huì)分配變量ifk用于訪問Excel文件中的表單和單元格。

　　圖6中可以看出，從單元格中讀取的保存在變量中的字符串。其中有與注冊(cè)表記錄HKEY_CURRENT_USER\Software\Microsoft\Office\12.0\Excel\Security\AccessVBOM 相關(guān)的字符串，該注冊(cè)表是用于禁用Excel中VBA的可信訪問的，字符串Auto_Open3是Excel宏執(zhí)行的入口點(diǎn)。

　　可以看到字符串“ThisWorkbook”， “REG_DWORD”， “Version”， “ActiveVBProject”以及“Function c4r40（） c4r40=1 End Function”這樣的隨機(jī)字符串。因?yàn)檫@些內(nèi)容是在運(yùn)行時(shí)在動(dòng)態(tài)構(gòu)造的，因此無(wú)法使用靜態(tài)檢測(cè)方法檢測(cè)。

圖-6: 讀取Excel單元中的變量值

　　從Excel單元格提取內(nèi)容后，word文件會(huì)通過寫入提取的內(nèi)容在下載的Excel文件中創(chuàng)建一個(gè)新的VBA模塊。

　　宏文件構(gòu)造后，會(huì)修改下面的注冊(cè)表來(lái)禁用受害者機(jī)器的VBA，在沒有office宏警告的情況下執(zhí)行函數(shù)。

　　HKEY_CURRENT_USER\Software\Microsoft\Office\12.0\Excel\Security\AccessVBOM

　　將宏內(nèi)容寫入Excel文件，并禁用信任訪問后，來(lái)自新寫入的Excel VBA函數(shù)Auto_Open3（）會(huì)被調(diào)用，從hxxp://heavenlygem.com/22.php?5PH8Z 下載zloader dll。

　　圖-7: Auto_Open3（）函數(shù)

　　下載的dll會(huì)保存在 %temp% 文件夾中，通過調(diào)用rundll32.exe來(lái)執(zhí)行。

圖-8: rundll32.exe調(diào)用zloader dll

　　命令行參數(shù)：

　　Rundll32.exe shell32.dll,Control_RunDLL  “<路徑下載的dll>”

　　Windows Rundll32命令會(huì)加載和運(yùn)行32位的DLL，該dll可以用來(lái)調(diào)用特定函數(shù)或用來(lái)創(chuàng)建快捷方式。在上面的命令行中，惡意軟件使用Rundll32.exe shell32.dll,Control_RunDLL 函數(shù)來(lái)調(diào)用control.exe，并傳遞DLL路徑作為參數(shù)，然后下載的DLL會(huì)由control.exe來(lái)執(zhí)行。

　　Excel 文檔分析

　　圖9是保存在服務(wù)器上的有密碼保護(hù)的Excel文件。可以看到保存了“RegDelete”， “ThisWorkbook”， “DeleteLines”這樣的隨機(jī)單元。

　　這些字符串會(huì)在下一階段形成VBA宏。

圖-9: 遠(yuǎn)程Excel文件圖像