MSI Analyzer

Este script de Python para Linux puede analizar archivos instaladores de Microsoft Windows *.msi y señalar posibles vulnerabilidades. Fue desarrollado por Michael Baer (@derbaer0) en el SEC Consult Vulnerability Lab.

Actualmente, está orientado principalmente a una escalada local de privilegios también descrita en nuestro artículo del blog: https://r.sec-consult.com/msi.

Microsoft asignó el CVE-2024-38014 y también proporcionó un parche para esta vulnerabilidad en el día de parches de septiembre de 2024: https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-38014.

El script también se puede utilizar para obtener una visión general de un instalador e identificar posibles debilidades.

Ten en cuenta

• Este script está en desarrollo.
• No es perfecto, pero con suerte cubre muchos instaladores correctamente. Por favor, crea un issue en GitHub si encuentras uno con un veredicto incorrecto.
  • falsos negativos (si la aplicación de consola solo se inicia indirectamente desde el instalador)
• "falsos positivos" (las mismas acciones se ejecutan condicionalmente. El script muestra la condición pero no la evalúa)
• Este script NO está protegido contra instaladores maliciosos.

Instalación

Necesitas algunos paquetes de Python. sqlite3, termcolor, quizás más. Por lo demás, no se requiere instalación. Solo ejecuta el script desde la carpeta principal.

Instala el paquete (apt) msitools. Contiene msiinfo y msiextract, que también se necesitan.

sudo apt install msitools

El binario SetOpLock, útil para explotar la vulnerabilidad, se puede encontrar aquí: https://github.com/googleprojectzero/symboliclink-testing-tools/tree/main/SetOpLock

Cómo usar

• python msiscan.py <Instalador>
• O si quieres revisar un directorio completo: ./runall.sh <directorio>

Ahora escanea el resultado en busca de colores inusuales (rojo) para victorias rápidas. Consejo: si hay algo en rojo, repáralo con ProcMon y haz el enfoque manual.

Habrá errores. Solo ignóralos. El análisis intenta continuar si es posible.

Si ves una línea roja al principio Repairmode disabled ..., no podrás activar la función de reparación.

Ahora, algunas explicaciones para entender la salida si quieres invertir algo de tiempo en un análisis más profundo:

• Clasificación Mi estimación de lo probable que sea explotable. Esto también define el color.
• Dificultad Mi estimación de cuánto esfuerzo se necesita para encontrar una vulnerabilidad. P. ej., DIFÍCIL = Ingeniería inversa de binarios.
• Línea verde "Action only invoked upon": Esta acción solo se invoca cuando la condición es verdadera. P. ej., "Not Installed" solo se ejecuta cuando el software aún no está instalado = durante la instalación, pero no en la reparación. No tienes suerte a menos que puedas forzar que se realice la instalación. (Nota: parece que a veces estas condiciones no coinciden del todo con la realidad. Pero aún no he podido averiguarlo).
• Naranja: Hay código de script. Si tienes tiempo, busca ahí acciones sospechosas. O invocación de binarios (CreateObject ("WScript.Shell")).
• Azul: Método del conjunto de herramientas WiX. Probablemente seguro (pero debería diferenciarse e investigarse más a fondo).
• Cian: El color más común. Normalmente invocan programas GUI o funciones DLL. No se espera una victoria rápida aquí.

¿Qué sigue?

Creo que todavía hay mucho que extraer de los paquetes de instalación. Por ejemplo, los permisos de carpetas y servicios que se instalan podrían identificar rápidamente más vectores de LPE.