spam z DOC

Spam z DOC to niechciana wiadomość zawierająca szkodliwy załącznik w formacie dokumentu tekstowego.

Techniczna budowa dokumentów DOC i mechanika osadzania złośliwego kodu

Pliki z rozszerzeniem .doc opierają się na opracowanym przez firmę Microsoft formacie OLE (Object Linking and Embedding), określanym w specyfikacjach jako Compound File Binary Format (CFBF). Strukturę tę można zidentyfikować na poziomie analizy heksadecymalnej po charakterystycznym nagłówku pliku (magic number) o wartości D0 CF 11 E0 A1 B1 1A E1. Model ten działa jak zagnieżdżony system plików wewnątrz jednego archiwum, składając się ze strumieni (streams) oraz magazynów (storages). Pozwala to na osadzanie w dokumencie nie tylko niesformatowanego tekstu, ale również arkuszy kalkulacyjnych, grafiki rastrowej oraz bloków kodu binarnego. Głównym wektorem uruchamiania ładunków dystrybuowanych pocztą elektroniczną są skrypty napisane w języku Visual Basic for Applications (VBA). Kod źródłowy makr jest kompilowany w pamięci do postaci p-code (pseudokodu) i przetrzymywany w ukrytych strumieniach pliku CFBF. Wykonanie szkodliwego procesu rzadko następuje w momencie samego zdekodowania pliku przez edytor tekstu, ponieważ domyślne reguły bezpieczeństwa środowisk Windows izolują instrukcje VBA. Twórcy spamu wdrażają procedury inżynierii społecznej, wstawiając w główny obszar roboczy dokumentu obrazy symulujące zabezpieczenie kryptograficzne lub błąd wtyczki. Umieszczają tam komunikat wymuszający na użytkowniku kliknięcie przycisku aktywującego zawartość (Enable Content). Z chwilą zatwierdzenia tej akcji, interpreter wewnątrz procesu edytora tekstu kompiluje p-code, który inicjuje wywołania funkcji systemowych API Windows. Powszechnym schematem działania jest wykorzystanie wbudowanych narzędzi administracyjnych, takich jak PowerShell, certutil lub wscript, do nawiązania komunikacji z zewnętrznym serwerem Command and Control (C2) i pobrania docelowego modułu złośliwego oprogramowania na dysk twardy komputera.

Ewolucja metod dystrybucji ładunków oraz omijanie mechanizmów detekcji sieciowej

Choć standard DOC został oficjalnie zastąpiony przez format bazujący na języku znaczników XML (Office Open XML, rozszerzenie .docx), kampanie mailingowe wciąż wykorzystują starszą technologię. W plikach typu .docx obecność makr wymusza zmianę rozszerzenia na .docm, co stanowi jednoznaczny sygnał ostrzegawczy dla reguł filtrów pocztowych. Złożoność binarna formatu CFBF ułatwia implementację technik obfuskacji (zaciemniania kodu). Szkodliwy p-code poddawany jest logicznym operacjom XOR na zmiennych, a konstrukcja poleceń opiera się na dynamicznym adresowaniu ciągów znaków. Filtry serwerów pocztowych (MTA) wykazują mniejszą wydajność przy dekompozycji zagnieżdżonych strumieni OLE. Oprócz makr VBA, wektorem infekcji w formacie DOC bywają luki w starych komponentach pakietu biurowego, jak Equation Editor. Błędy związane z przepełnieniem bufora (np. CVE-2017-11882) pozwalają na wywołanie kodu maszynowego natychmiast po załadowaniu obiektu do pamięci RAM, bez klikania dodatkowych zezwoleń. Klasyczne zjawisko samopowielających się wirusów rezydujących wyłącznie w globalnych szablonach edytora (typowych dla infrastruktury z lat 90. XX wieku) na współczesnym sprzęcie stanowi rzadkość. Zastąpiły je wektory wielofazowe, w których stary plik tekstowy pełni jedynie funkcję programu instalującego (droppera), dostarczającego do środowiska operacyjnego pliki binarne typu ransomware, spyware lub oprogramowanie wyodrębniające pakiety autoryzacyjne sesji TLS.

Diagnostyka powłamaniowa i techniczne skutki uruchomienia skryptów zagnieżdżonych

Gdy ładunek przełamie bariery aplikacji biurowej, rozpoczyna etap zapewnienia ciągłości działania (persistence) w systemie operacyjnym Windows. Skrypty ładujące pobierają pliki wykonywalne (PE) lub moduły DLL, które wstrzykiwane są do przestrzeni adresowej zaufanych procesów systemowych (np. svchost.exe, explorer.exe) z użyciem technik Process Hollowing. Oprogramowanie antywirusowe wbudowane w system, w tym środowisko Windows Defender, jest dezaktywowane poprzez wpisywanie nowych reguł do kluczy rejestru HKLM\SOFTWARE\Policies\Microsoft\Windows Defender. Proces ten realizowany jest z wykorzystaniem uprawnień administratora wymuszonych przez moduł wstrzykujący. Aby przetrwać ponowne uruchomienie komputera, kod dopisuje parametry startowe w kluczach rejestru sekcji Run, RunOnce lub konfiguruje ukryte zadania w narzędziu Task Scheduler. Wykrycie infekcji polega na korelacji nietypowych zdarzeń sieciowych, takich jak wychodzące zapytania po protokole HTTP/HTTPS do niezidentyfikowanych adresów IP oraz zapytań DNS do domen losowych (DGA). Mierzalnym parametrem dla ransomware jest nagłe zwiększenie operacji Wejścia/Wyjścia (I/O) na magistrali dysku SSD lub HDD. Moduł szyfrujący tworzy kopie danych, zmienia ich strukturę kryptograficzną, a następnie kasuje zasoby Volume Shadow Copy (VSS), blokując mechanizm przywracania wersji plików Windows. Pliki DOC dystrybuowane w kampaniach wycelowanych w kradzież tożsamości instalują natomiast narzędzia typu keylogger oraz skrypty parsujące lokalne bazy danych przeglądarek internetowych w celu wyciągnięcia wygenerowanych ciasteczek sesyjnych.

Fizyczna izolacja układów i odzyskiwanie sprawności sprzętu obliczeniowego

W przypadku zdiagnozowania infekcji wynikającej z przetworzenia zainfekowanego pliku DOC, procedury sprzętowe nakazują odcięcie stacji roboczej od struktury sieciowej oraz zasilania. Działanie to wstrzymuje komunikację wychodzącą, limituje propagację złośliwego kodu w protokołach współdzielenia plików (SMB) i zatrzymuje proces modyfikacji struktur MFT na lokalnym nośniku. Kolejny etap wymaga demontażu dysku twardego ze slotów komputera i podłączenia go pod izolowany kontroler diagnostyczny (write-blocker). Wykonanie kopii binarnej sektorów umożliwia przeprowadzenie bezpiecznych procedur skanowania. Warszawskie Pogotowie Komputerowe obsługuje konsumenckie stacje robocze, diagnozując dyski z użyciem środowisk typu Live USB oraz usuwając wyodrębnione struktury złośliwego kodu z rejestrów startowych. Odzyskiwanie danych w takich wariantach obejmuje analizę tablicy alokacji i próbę odczytania dokumentów sprzed procesu modyfikacji kryptograficznej. W sytuacji, gdy oprogramowanie wymusiło szyfrowanie za pomocą silnego klucza asymetrycznego, pełna rekonstrukcja bez klucza prywatnego pozostaje fizycznie niemożliwa. Przywrócenie pierwotnej funkcjonalności sprzętu następuje poprzez wyzerowanie sektorów zapisu na nośniku NVMe lub SATA, usunięcie partycji odzyskiwania, czyszczenie parametrów bootowania układu UEFI w celu wyeliminowania ukrytych rootkitów, a na końcu zainstalowanie czystej kompilacji systemu operacyjnego. Środowisko pracy wzbogacane jest o fabryczne sterowniki płyty głównej i podzespołów, co oddaje sprzęt do bezpiecznej eksploatacji.