cve-2021-40444

"ए लेटर बिफोर कोर्ट 4.docx" दुर्भावनापूर्ण फाइलों का रिवर्स इंजीनियरिंग जो cve-2021-40444 का शोषण करती हैं

फाइलें (दुर्भावनापूर्ण वर्ड और कैब-फाइल सहित) any.run पर डाउनलोड की जा सकती हैं: https://app.any.run/tasks/36c14029-9df8-439c-bba0-45f2643b0c70/#

ध्यान दें! मूल दुर्भावनापूर्ण कोड में डोमेन नाम को 127.0.0.1:8000 से बदल दिया गया है ताकि दुर्भावनापूर्ण कोड निष्पादित करने में कोई गलती से बचा जा सके। इसलिए, यदि आप अपनी खुद की championship.inf फ़ाइल (जो वास्तव में एक PE-फ़ाइल है) सर्व करना चाहते हैं, तो बस उपयोग करें:

python3 -m http.server

चरण 3 फ़ाइल इस चरण में, कोड मानव-पठनीय रूप से यह दिखाने के लिए पर्याप्त है कि दुर्भावनापूर्ण वर्ड डॉक्यूमेंट द्वारा cve-2021-40444 बग का उपयोग कैसे किया जाता है।

championship.inf यह वह PE-फ़ाइल है जो सफल हमले पर लोड होती है।

चरण

1. वर्ड फ़ाइल वेब-एड्रेस (इंटरनेट एड्रेस) को OLE-ऑब्जेक्ट के रूप में लोड करती है (इस मामले में side.html)
2. side.html एक .cab फ़ाइल को इंटरनेट से डाउनलोड करने के लिए ActiveX लोडिंग का उपयोग करता है
3. side.html जावास्क्रिप्ट एक लोडेबल activex-ऑब्जेक्ट के रूप में .cab फ़ाइल में निहित championship.inf को संदर्भित करता है
4. उसके बाद... activex द्वारा कोड निष्पादन