MSDT_CVE-2022-30190

यह रिपॉज़िटरी डिफ़ेंडर के परिप्रेक्ष्य से फ़ोलिना MSDT के बारे में बताता है

अनुक्रमणिका

• परिचय
• समयरेखा
• एक्सप्लॉइट को समझना
• IOC की सूची
• डिटेक्शन रणनीति
• परीक्षण और शोध
• शमन योजनाएँ
• संदर्भ

परिचय

यह बग Microsoft Windows सपोर्ट डायग्नोस्टिक टूल (MSDT) की एक रिमोट कोड एक्ज़ीक्यूशन भेद्यता है, जिसे Shadow Chaser Group के crazyman ने रिपोर्ट किया। Microsoft अब इसे CVE-2022-30190 के रूप में ट्रैक कर रहा है। यह दोष उन सभी Windows संस्करणों को प्रभावित करता है जिन्हें अभी भी सुरक्षा अपडेट मिल रहे हैं (Windows 7+ और Server 2008+)।

जैसा कि सुरक्षा शोधकर्ता nao_sec ने पाया, इसका उपयोग खतरे वाले अभिनेताओं (threat actors) द्वारा MSDT के माध्यम से दुर्भावनापूर्ण PowerShell कमांड निष्पादित करने के लिए किया जाता है, जिसे Redmond Word दस्तावेज़ों को खोलने या प्रीव्यू करने पर Arbitrary Code Execution (ACE) हमलों के रूप में वर्णित करता है।

Microsoft बताता है, "जो हमलावर इस भेद्यता का सफलतापूर्वक शोषण करता है, वह कॉलिंग एप्लिकेशन के विशेषाधिकारों के साथ मनमाना कोड चला सकता है।"

समयरेखा

• 12 अप्रैल 2022 — Microsoft MSRC को पहली रिपोर्ट, Shadowchasing1 (एक APT हंटिंग समूह) के नेता द्वारा। यह दस्तावेज़ रूस को लक्षित करने वाला एक वास्तविक दुनिया (in the wild) का एक्सप्लॉइट है, जिसे रूसी नौकरी साक्षात्कार के रूप में प्रच्छन्न किया गया है।
• 21 अप्रैल 2022 — Microsoft MSRC ने टिकट बंद कर दिया और कहा कि यह सुरक्षा से संबंधित मुद्दा नहीं है (रिकॉर्ड के लिए, मैक्रोज़ अक्षम होने पर msdt का निष्पादित होना एक मुद्दा है)।
• मई ?? 2022 — Microsoft ने शायद इसे ठीक करने का प्रयास किया या Office 365 Insider चैनल में गलती से ठीक कर दिया, बिना किसी CVE का दस्तावेज़ीकरण किए या इसे कहीं लिखे। अन्य उत्पाद असुरक्षित बने हुए हैं।
• 27 मई 2022 — सुरक्षा विक्रेता Nao ने बेलारूस से अपलोड किए गए एक दस्तावेज़ के बारे में ट्वीट किया, जो एक in the wild हमला भी है।
• 27 मई 2022 — MSRC को फिर से रिपोर्ट किया गया।
• 29 मई 2022 — Andy Ful ने सार्वजनिक रूप से पहचाना कि यह एक ज़ीरो-डे है, क्योंकि यह अभी भी Office 365 Semi Annual चैनल के विरुद्ध काम करता है, और 'on prem' Office संस्करण और EDR उत्पाद इसे डिटेक्ट करने में विफल हो रहे हैं।

एक्सप्लॉइट को समझना

• इस एक्सप्लॉइट के कार्य सिद्धांत का पूरा विवरण समझने के लिए आप Huntress ब्लॉग यहाँ देख सकते हैं।
• एक्सप्लॉइट और इसके निवारण को समझने के लिए यह वीडियो देखें।

IOC की सूची

• मुख्य ऑब्जेक्ट - 05-2022-0438.doc
  • sha256 4a24048f81afbe9fb62e7a6a49adbd1faf41f266b5f9feecdceb567aec096784
  • sha1 06727ffda60359236a8029e0b3e8a0fd11c23313
  • md5 52945af1def85b171870b31fa4782e52
• ड्रॉप की गई एक्ज़ीक्यूटेबल फ़ाइल
  • sha256 C:\Users\admin\AppData\Local\Temp\SDIAG_ecb8c0a2-7a1e-4b6c-8ae0-2245f03bcc15\DiagPackage.dll 3218488d62cb0858101d2ec63ec73a032bc9787f5f87cb46abbea4477c97b16f
  • sha256 C:\Users\admin\AppData\Local\Temp\SDIAG_ecb8c0a2-7a1e-4b6c-8ae0-2245f03bcc15\en-US\DiagPackage.dll.mui c6d837ec0850e22c83b400fcded1791a2f4f99f0c56d6fc7d93e92a8b72c098d
  • sha256 C:\Users\admin\AppData\Local\Temp\r5qxr4ie.dll aa967ae9f6d80bdbd0f315defa17aaee0e756e7e2ad0e5261d8254bc0af1cc02
  • sha256 C:\Users\admin\AppData\Local\Temp\t52wyhbe.dll daf716cbe8810085251e6ef1e39869a9e61d929fac12ea5684c3b2caf993666b
  • sha256 C:\Users\admin\AppData\Local\Temp\qtwoghs1.dll f5361b6c9db8ac25433ae21f9a7b6490cc372ce2b1f802e2b06d5b904ce97109
• DNS अनुरोध
  • domain www[.]xmlformats[.]com
• कनेक्शन
  • ip 141.105.65.149
  • ip 20.42.65.85
  • ip 13.107.42.16
• HTTP/HTTPS अनुरोध
  • url hxxps://www[.]xmlformats[.]com/office/word/2022/wordprocessingDrawing/
  • url hxxps://www[.]xmlformats[.]com/office/word/2022/
  • url hxxps://www[.]xmlformats[.]com/office/word/2022/wordprocessingDrawing/RDF842l[.]html

डिटेक्शन रणनीति

• थ्रेट हंट करने के लिए आप Sigma Rule यहाँ पा सकते हैं।

• नीचे डिटेक्शन नियम दिए गए हैं जिन्हें और अधिक ट्यून किया जा सकता है। Bala Ganesh को श्रेय। पूरा लेख यहाँ पाया जा सकता है।

• MS Defender:

DeviceProcessEvents | where ((ProcessCommandLine contains "WINWORD.EXE") and (ProcessCommandLine contains "msdt.exe") and (ProcessCommandLine contains "sdiagnhost.exe" or ProcessCommandLine contains "csc.exe" or ProcessCommandLine contains "PCWDiagnostic" or ProcessCommandLine contains "IT_ReBrowserForFile" or ProcessCommandLine contains "IT_BrowserForFile" or ProcessCommandLine contains "conhost.exe"))

• Splunk:

[Doc Malware]
alert.severity = 2
description = Detection (Rule ID: 74566a6a66aaasdq2ed)
cron_schedule = 0 * * * *
disabled = 1
is_scheduled = 1
is_visible = 1
dispatch.earliest_time = -60m@m
dispatch.latest_time = now
search = (source="WinEventLog:*" AND (CommandLine="*WINWORD.EXE*") AND (CommandLine="*msdt.exe*") AND (CommandLine="*sdiagnhost.exe*" OR CommandLine="*csc.exe*" OR CommandLine="*PCWDiagnostic*" OR CommandLine="*IT_ReBrowserForFile*" OR CommandLine="*IT_BrowserForFile*" OR CommandLine="*conhost.exe*"))
alert.suppress = 0
alert.track = 1

• Qradar:

SELECT UTF8(payload) from events where LOGSOURCETYPENAME(devicetype)='Microsoft Windows Security Event Log' and ("Process CommandLine" ilike '%WINWORD.EXE%') and ("Process CommandLine" ilike '%msdt.exe%') and ("Process CommandLine" ilike '%sdiagnhost.exe%' or "Process CommandLine" ilike '%csc.exe%' or "Process CommandLine" ilike '%PCWDiagnostic%' or "Process CommandLine" ilike '%IT_ReBrowserForFile%' or "Process CommandLine" ilike '%IT_BrowserForFile%' or "Process CommandLine" ilike '%conhost.exe%')

• GrayLog

(CommandLine.keyword:*WINWORD.EXE* AND CommandLine.keyword:*msdt.exe* AND CommandLine.keyword:(*sdiagnhost.exe* *csc.exe* *PCWDiagnostic* *IT_ReBrowserForFile* *IT_BrowserForFile* *conhost.exe*))
Sumologic
(_sourceCategory=*windows* AND (CommandLine = "*WINWORD.EXE*") AND (CommandLine = "*msdt.exe*") AND (CommandLine = "*sdiagnhost.exe*" OR CommandLine = "*csc.exe*" OR CommandLine = "*PCWDiagnostic*" OR CommandLine = "*IT_ReBrowserForFile*" OR CommandLine = "*IT_BrowserForFile*" OR CommandLine = "*conhost.exe*"))

• Elastic KQL:

(process.command_line:*WINWORD.EXE* AND process.command_line:*msdt.exe* AND process.command_line:(*sdiagnhost.exe* OR *csc.exe* OR *PCWDiagnostic* OR *IT_ReBrowserForFile* OR *IT_BrowserForFile* OR *conhost.exe*))

Brent Murphy द्वारा वर्णित नीचे दी गई क्वेरी यहाँ भी लागू की जा सकती है।

process where event.type in ("start" , "process_created") and (process.pe.original_file_name : "msdt.exe" or process.name : "msdt.exe") and (process.parent.pe.original_file_name : ("winword.exe", "excel.exe", "outlook.exe", "powerpnt.exe") or process.parent.name : ("winword.exe", "excel.exe", "outlook.exe", "powerpnt.exe"))

• आप Cortex XDR में XQL खोज का उपयोग करके इस हमले की खोज कर सकते हैं: अधिक जानकारी यहाँ पाएँ।

# office processes spawning msdt.exe

config case_sensitive = false timeframe = 30d
| dataset = xdr_data
| filter event_type = ENUM.PROCESS and action_process_image_command_line contains "msdt.exe" and actor_process_image_name in ("winword.exe", "powerpnt.exe", "excel.exe", "msaccess.exe","visio.exe","onenote.exe","powershell.exe")
| fields agent_hostname , action_process_image_command_line , action_process_image_path , actor_process_command_line , actor_process_image_path , causality_actor_process_image_path