Mal Doc Analisis

Infección por Macro

Hola a todos, hace mucho tiempo que no escribo en el blog y que mejor regresar escribiendo sobre documento de Office malicioso.

¿Que es una Macro?

Según nuestra amiga Wikipedia:

Una macro ―abreviatura de macroinstrucción― es una serie de instrucciones que se almacenan para que se puedan ejecutar de manera secuencial mediante una sola llamada u orden de ejecución.

Los archivos de offices como Word, Excel, powerpoint, pueden contener Macros en su interior para poder ayudar a que nuestras tareas sean mas fácil, sin embargo los atacantes no dudas en utilizar esta opción como un camino para infectar a las victimas.

¿Como me infectan?

Imaginemos que nos llega un correo con un documento del telefono, luz, agua, estado de cuenta, etc. Pero este es un documento con terminación .doc, ingenuamente nos preocupamos de este archivo y tenemos la fabulosa idea de abrirlo y nos sale la siguiente imagen.

Maldoc abierto

Nos dice que a acción no puede ser completada debido a que el documento fue abierto en vista protegida y que debemos dar click en el botón habilitar para que podamos ver el contenido.

Bien pues esta es la forma en la que nos infectan por un documento de offices, cuando damos click en el botón habilitar el código incrustado en el documento (macro) se ejecuta e infecta nuestra máquina, la mayoría de veces este solo a es la puerta de entrada para el .ps1, .exe, ect. de la infección real.

Bien pues basta de charlar y vamos a lo interesante.

Como cualquier otro día normal, encontré un archivo denominado Informe_SAT.doc, con el comando file de linux podemos obtener información sobre este documento, en la siguiente imagen se muestra la salida

Información de MalDoc

Este análisis lo realice desde una distribución de Linux llamada Remnux esta distro tiene múltiples herramientas para analizar malware.

Utilizando la herramienta Olevba, podemos observar que el documento cuenta con una Macro.

En la columna Description podemos observar información acerca de lo que realiza cada opción de la Macro detectada (ejecutar cuando es abierto el documento) esto no lo explique al principio, las "nuevas" versiones de office implementaron como "medida de seguridad" abrir los documentos en vista protegida, de esta forma la Macro no se ejecuta al abrir el documento, sino hasta que el usuario habilita la opción de edición.

Olevba output

Como se puede obervar en la imagen anterior, podemos ver información sobre el dominio a donde se va a conectar.

Para poder ver la macro completa usamos olevba con la opción -c para que nos muestre el código de la macro, en mi caso ejecute el siguiente comando:

# olevba -c Informe_SAT.doc >> macro.vbs

De esta forma el resultado que nos arroja el script de Olevba es almacenado en un archivo con terminación .vbs, de esta forma puedo abrirlo con un editor de texto (Visual Code) y de esta forma poder analizar el código de una mejor forma.

Contenido de la Macro

Todo el texto en color verde, son comentarios.

Macro sin comentarios

Como podemos observar, sin comentarios se puede leer un poco mejor el código,  vemos que trata de obtener información del equipo, descargar archivos desde una URL y ejecutar una shell.

Omito la URL de donde trata de descargar el ejecutable.

Se comunica a dominio-x y solicita el recurso logo.gif, este recurso no es un imagen .gif, si utilizamos el comando file nuevamente, podemos ver que es un archivo Portable Executable.

la verdad sobre archivo logo.gif

Amigos no se dejen engañar, la paranoia es buena ajajjaajaaj.

utilizando la herramienta manalizer podemos consultar con virustotal si logo.gif es malicioso.

Malicioso

Por ultimo usando la herramienta peframe podemos observar con que fue compilado logo.gif, el cual fue echo con C++.

C++

Un buen recursos para corroboarar si es malicioso el archivo, podemos subir el ejecutable a Hybrid Analysis (Sandbox) y nos mostrara el resultado.

Veredicto de Sandbox

Hay que esperar a que finalice el análisis completo para poder obtener mayor información sobre el artefacto malicioso.

Progreso del análisis en el Sandbox

Una ves finalizado el proceso, damos click en el recuadro rojo y obsavamos la información respecto al artefacto, donde se comunica (si es que lo hace), que usa o hace.

En la siguiente imagen podemos observar que abre y cierra registros del sistema, detecta si existe un debugger (tecnica antidebugger), posiblemente usa la linea de comandos y escribe archivos.

llamada a APIs

Bueno esto seria toda, espero haberles enseñado algo nuevo el día de hoy, y ojo no se confien con los correos que les llegan.

p4y104d