स्टैटिक मैलवेयर-विश्लेषण-फोलिना-CVE-2022-30190

फोलिना (CVE-2022-30190) का स्थैतिक मैलवेयर विश्लेषण - ब्लू टीम लैब्स ऑनलाइन

लैब: ब्लू टीम लैब्स ऑनलाइन – फोलिना चैलेंज

विश्लेषण प्रकार: स्थैतिक विश्लेषण

उपयोग किए गए उपकरण: VirusTotal, Windows File Explorer

परिचय

ब्लू टीम की यात्रा के रूप में, मैं वास्तविक दुनिया के दस्तावेज़-आधारित हमलों को गहराई से समझना चाहता था।
मुझे एक संदिग्ध माइक्रोसॉफ्ट वर्ड दस्तावेज़ मिला जिसका नाम sample.doc था और मैंने इसे स्थैतिक रूप से विश्लेषित करने का निर्णय लिया — फ़ाइल को कभी भी निष्पादित किए बिना।

यह राइट-अप मेरी पूरी स्थैतिक विश्लेषण प्रक्रिया, महत्वपूर्ण खोजों और प्रसिद्ध फोलिना शोषण (CVE-2022-30190) के बारे में मेरे द्वारा सीखे गए महत्वपूर्ण पाठों का दस्तावेजीकरण करता है।

Follina Attack Flow

चरण 1: प्रारंभिक फ़ाइल अवलोकन

मैंने अपने फ़ाइल एक्सप्लोरर में फ़ाइल की जांच करके शुरुआत की।

फ़ाइल नाम: sample.doc
आकार: लगभग 10 KB
दिखावट: एक पूरी तरह से सामान्य वर्ड दस्तावेज़ की तरह लग रहा था

Sample file in File Explorer

भले ही यह हानिरहित लग रहा था, मुझे पता था कि इसे खोलना सही नहीं है। मैं सीधे खतरा खुफिया जांच की ओर बढ़ गया।

चरण 2: VirusTotal विश्लेषण

मैंने इसकी प्रतिष्ठा का तुरंत अंदाजा लगाने के लिए फ़ाइल को VirusTotal पर अपलोड किया।

मुख्य परिणाम:

SHA-256: 4aa240481afbe9fb62e7a6a4a9adbd1faf41f266b5f9feecdeb567aec096784
पता लगाने की दर: 65 में से 46 सुरक्षा विक्रेताओं ने इसे दुर्भावनापूर्ण के रूप में चिह्नित किया
फ़ाइल प्रकार: Office Open XML Document
उल्लेखनीय टैग: cve-2022-30190, exploit, calls-wmi

VirusTotal Overview - Hash & File Type

VirusTotal Detections

उच्च पता लगाने की दर और CVE टैग ने मुझे तुरंत बताया कि यह कोई सामान्य मैक्रो वायरस नहीं है।

चरण 3: MITRE ATT&CK तकनीकें

मैंने इस नमूने द्वारा उपयोग की जाने वाली तकनीकों को समझने के लिए Behavior टैब का पता लगाया।

मुख्य देखी गई तकनीकें:

T1203 – क्लाइंट निष्पादन के लिए शोषण
T1559 – अंतर-प्रक्रिया संचार
T1059 – कमांड और स्क्रिप्टिंग इंटरप्रेटर

ये तकनीकें फोलिना हमला श्रृंखला के क्लासिक संकेत हैं।

MITRE ATT&CK Techniques

चरण 4: संपर्कित URL और बाहरी संबंध

सबसे दिलचस्प हिस्सा Relations → Contacted URLs अनुभाग में था।

दस्तावेज़ xmlformats.com (माइक्रोसॉफ्ट के वैध डोमेन का स्पष्ट स्पूफ) के तहत संदिग्ध डोमेन तक पहुंचने का प्रयास करता है और RDF842l.html नामक एक फ़ाइल का अनुरोध करता है।

यह फोलिना शोषण की पहचान है — बाहरी XML संबंधों का उपयोग करके ms-msdt: प्रोटोकॉल को ट्रिगर करना।

Contacted URLs

इस विश्लेषण से मुख्य निष्कर्ष

फोलिना एक खतरनाक शोषण है जो मैक्रो के बिना काम करता है।
हमलावर ऑफिस दस्तावेज़ संबंधों के अंदर दुर्भावनापूर्ण व्यवहार छिपा सकते हैं।
किसी भी संदिग्ध दस्तावेज़ को खोलने से पहले स्थैतिक विश्लेषण का उपयोग करके हमेशा सत्यापित करें।
.rels फ़ाइलों में बाहरी संदर्भ एक लाल झंडा है जिसे कभी भी अनदेखा नहीं किया जाना चाहिए।

मैंने क्या सीखा

यह मेरी पहली वास्तविक मैलवेयर विश्लेषण लैब थी, और इसने मुझे सिखाया कि आधुनिक दस्तावेज़ शोषण कितने परिष्कृत हो गए हैं।
अब मैं बेहतर ढंग से समझता हूं कि हमलावर सामान्य सुरक्षा नियंत्रणों को कैसे बायपास करते हैं और स्थैतिक विश्लेषण प्रत्येक ब्लू टीमर के लिए क्यों इतना महत्वपूर्ण कौशल है।

मैं इस यात्रा को जारी रखने और भविष्य में अधिक जटिल नमूनों का विश्लेषण करने के लिए उत्साहित हूं।

🛡️ विहंगा | महत्वाकांक्षी ब्लू टीमर

मेरे साथ पर जुड़ें प्रतिक्रिया, सुझाव और चर्चा के लिए तैयार हूं!

Static-Malware-Analysis-Follina-CVE-2022-30190

सबसे लोकप्रिय