MSI Analyzer

Ce script Python pour Linux peut analyser les fichiers d'installation Microsoft Windows *.msi et signaler d'éventuelles vulnérabilités. Il a été développé par Michael Baer (@derbaer0) au SEC Consult Vulnerability Lab.

Actuellement, il est surtout adapté à une élévation de privilèges locale, également décrite dans notre article de blog : https://r.sec-consult.com/msi.

Microsoft a attribué CVE-2024-38014 et a également fourni un correctif pour cette vulnérabilité lors du Patch Tuesday de septembre 2024 : https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-38014.

Le script peut également être utilisé pour obtenir une vue d'ensemble d'un installateur et identifier d'éventuelles faiblesses.

À garder en tête

• Ce script est un travail en cours.
• Il n'est pas parfait, mais il couvre, espérons-le, de nombreux installateurs correctement. Veuillez ouvrir une issue GitHub si vous en rencontrez un avec un verdict incorrect.
  • faux négatifs (si l'application console n'est démarrée qu'indirectement à partir de l'installateur)
  • « faux positifs » (les mêmes actions sont exécutées conditionnellement. Le script affiche la condition mais ne l'évalue pas)
• Ce script n'est PAS sécurisé contre les installateurs malveillants.

Installation

Vous avez besoin de quelques paquets Python. sqlite3, termcolor, peut-être plus. Sinon, aucune installation n'est requise. Il suffit d'exécuter le script depuis le dossier principal.

Installez le paquet (apt) msitools. Il contient msiinfo et msiextract, également nécessaires.

sudo apt install msitools

Le binaire SetOpLock, utile pour exploiter la vulnérabilité, peut être trouvé ici : https://github.com/googleprojectzero/symboliclink-testing-tools/tree/main/SetOpLock

Comment utiliser

• python msiscan.py <Installer>
• Ou si vous voulez analyser tout un répertoire : ./runall.sh <directory>

Examinez maintenant le résultat à la recherche de couleurs inhabituelles (rouge) pour des victoires rapides. Conseil : s'il y a quelque chose en rouge, réparez-le avec ProcMon et adoptez l'approche manuelle.

Il y aura des erreurs. Ignorez-les simplement. L'analyse essaie de continuer si possible.

Si vous voyez une ligne rouge au début Repairmode disabled ..., vous ne pourrez pas déclencher la fonction de réparation.

Voici quelques explications pour comprendre la sortie si vous voulez investir du temps dans une analyse plus approfondie :

• Évaluation Mon estimation de la probabilité qu'il soit exploitable. Cela définit également la couleur.
• Difficulté Mon estimation de l'effort nécessaire pour trouver une vulnérabilité. Ex. : HARD = Rétro-ingénierie binaire.
• Ligne verte « Action only invoked upon » : cette action n'est invoquée que lorsque la condition est vraie. Par exemple, « Not Installed » n'est exécuté que lorsque le logiciel n'est pas encore installé, c'est-à-dire pendant l'installation, mais pas pendant la réparation. Vous n'avez aucune chance, à moins de pouvoir forcer l'installation à se dérouler. (Remarque : il semble que parfois ces conditions ne correspondent pas vraiment à la réalité. Mais je n'ai pas encore compris pourquoi).
• Orange : il y a du code de script. Si vous avez du temps, cherchez-y des actions suspectes. Ou l'invocation de binaires (CreateObject ("WScript.Shell")).
• Bleu : méthode de l'ensemble d'outils WiX. Probablement sûre (mais devrait être différenciée et examinée plus en profondeur).
• Cyan : couleur la plus courante. Normalement, ils invoquent des programmes GUI ou des fonctions DLL. Aucune victoire rapide n'est à espérer ici.

Et ensuite ?

Je crois qu'il y a encore beaucoup à extraire des paquets d'installation. Par exemple, les permissions des dossiers et des services installés pourraient rapidement identifier d'autres vecteurs LPE.