cve-2021-40444

Ingeniería inversa de los archivos maliciosos "A Letter Before Court 4.docx" que explotan cve-2021-40444

Los archivos (incluyendo el documento de Word malicioso y el archivo .cab) pueden descargarse en any.run: https://app.any.run/tasks/36c14029-9df8-439c-bba0-45f2643b0c70/#

¡Nota! El nombre de dominio en el código malicioso original está reemplazado con 127.0.0.1:8000 para evitar cualquier error al ejecutar código malicioso. Por lo tanto, si desea servir su propio archivo championship.inf (que en realidad es un archivo PE), simplemente use:

python3 -m http.server

El archivo del paso 3 En este paso, el código es lo suficientemente legible para ver cómo el error cve-2021-40444 es utilizado por el documento malicioso de Word.

championship.inf Este es el archivo PE que se carga en un ataque exitoso.

Etapas

1. El archivo de Word carga la dirección web (dirección de internet) como un objeto OLE (side.html en este caso)
2. side.html utiliza la carga de ActiveX para descargar un archivo .cab de internet
3. El JavaScript de side.html referencia el championship.inf contenido en el archivo .cab como un objeto activex cargable
4. A continuación... ejecución de código por parte del activex