利用Office文件针对Windows Rgsvr32公用程序攻击大量增加

安全研究人员发现利用Office文件攻击Windows公用程序regsvr32.exe的案例,自去年第4季以来大量增加,用以传播恶意软件。

安全厂商Uptycs自去年11月到今年1月,已侦测到500多个恶意程序样本利用Regsvr32.exe执行.ocx档的攻击案例。这些恶意程序样本属于Qbot、Lokibot家族。

图片来源/Uptycs

Regsvr32是经过微软签章的指令行公用程序,可用于登录和取消登录DLL。登录DLL档后,就可将特定信息加入注册表(registry)而为Windows所用,之后其他程序即能使用DLL的功能。

攻击者可利用Regsvr32加载COM scriptlet后执行DLL,这类攻击不会变更注册表,因为COM对象虽有执行但并未登录,可使攻击者绕过应用程序的白名单过滤。这类手法通常称为Squiblydoo。

研究人员指出,使用这类攻击的样本在去年11月以前只有10件上下,去年11月起突然遽增,12月及今年1月侦测到的样本来到超过340及100件。97%样本来自恶意Office文件,其中又以Excel文件最多,特别是包含.xlsb或.xlsm扩展程序的Excel文件。

图片来源/Uptycs

研究人员指出,嵌入式宏的xlsb或.xlsm Excel档、或是嵌入宏的Word/RTF或复合文件,如.doc、.docx、.docm档是利用宏里的公式,从远程URL下载或执行恶意程序。Squiblydoo手法则会阻碍安全产品的侦测分析,使黑客意图得逞。

除了使用能识别Squiblydoo手法的安全产品外,研究人员建议安全管理员特别注意regsvr32g在Word或Excel环境下执行的parent/child行程,尤其是执行COM scriptlet时加载scrobj.dll有无异常情形。

发表评论