Office मैलवेयर फॉरेंसिक्स लैब — REMnux स्टैटिक विश्लेषण

दो दुर्भावनापूर्ण Office फ़ाइलों का स्टैटिक विश्लेषण, पूरी तरह से एक पृथक REMnux VM के अंदर किया गया। कुछ भी कभी निष्पादित नहीं किया गया — केवल निरीक्षण किया गया।

सेटअप

• REMnux VM, होस्ट के साथ कोई साझा फ़ोल्डर नहीं
• टूल्स: sha256sum, file, unzip, और oletools सूट (oleid, olevba, oledump, mraptor)
• दोनों सैंपल MalwareBazaar (abuse.ch) से लिए गए

सैंपल 1: दुर्भावनापूर्ण Word दस्तावेज़ (.docx)

SHA-256: 68e82279bff55cf3b9f1f22ec4a165b1b1245a359f7e8d86664b2541d8f8d3fe

मुझे क्या मिला:

• docx के अंदर एक फ़ाइल (nste.xml) वास्तव में Rich Text Format डेटा थी जो खुद को XML बता रही थी — यह असंगति अपने आप में एक चेतावनी संकेत है
• एक एम्बेडेड ऑब्जेक्ट एक 196 KB का VBS निष्पादन योग्य (419876.vbs) था
• एक अन्य एम्बेडेड ऑब्जेक्ट CVE-2017-11882 से मेल खाता था — एक ज्ञात Equation Editor एक्सप्लॉइट जो केवल फ़ाइल खोलने से चलता है, मैक्रो की आवश्यकता नहीं

निर्णय: दुर्भावनापूर्ण। यह एक वास्तविक हथियारीकृत दस्तावेज़ है जो एक निष्पादन योग्य फ़ाइल गिराने के लिए ज्ञात RCE का उपयोग करता है।

सैंपल 2: दुर्भावनापूर्ण Excel फ़ाइल (.xlsx)

SHA-256: dc65419ba5d83b980d7018198a14209fa2f5ebf6f99d47bfe9f586852087befe

मुझे क्या मिला:

• फ़ाइल एन्क्रिप्टेड थी (पासवर्ड-सुरक्षित), जो सामान्यतः AV स्कैनर से मैक्रो सामग्री छिपाती है
• इसमें 4 VBA मॉड्यूल थे, लेकिन सभी 4 खाली निकले — mraptor ने बिना किसी AutoExec/Write/Execute फ़्लैग के "Macro OK" लौटाया
• एक वर्कशीट छिपी हुई थी
• पुरानी शैली की XLM मैक्रो स्ट्रीम में हेक्स-एन्कोडेड स्ट्रिंग्स थीं, जो VBA परत से अलग थीं
• उन स्ट्रिंग्स को डिकोड करने पर शेलकोड या डाउनलोड URL नहीं मिला — बस कुछ टाइप-लाइब्रेरी पहचानकर्ता

निर्णय: संदिग्ध, लेकिन अनिर्णायक। एन्क्रिप्शन, छिपी शीट, और अस्पष्ट स्ट्रिंग्स सभी बचाव रणनीतियों जैसे दिखते हैं, लेकिन मैं VBA परत में किसी वास्तविक सक्रिय पेलोड की पुष्टि नहीं कर सका। वास्तविक पेलोड लीगेसी XLM मैक्रो परत में हो सकता है (जिसे मैंने पूरी तरह रिवर्स नहीं किया), या यह एक अपूर्ण/स्टेजिंग सैंपल हो सकता है।

मेरे द्वारा अपनाए गए चरण

1. चेन ऑफ कस्टडी के लिए प्रत्येक फ़ाइल का हैश (SHA-256) बनाएं
2. file से वास्तविक फ़ाइल प्रकार जांचें, एक्सटेंशन से तुलना करें
3. एन्क्रिप्शन/मैक्रो/बाहरी लिंक पर त्वरित जानकारी के लिए oleid चलाएं
4. प्रत्येक एम्बेडेड ऑब्जेक्ट की सूची बनाने के लिए oledump चलाएं
5. किसी भी VBA स्रोत को निकालने और डिकोड करने के लिए olevba चलाएं
6. ऑटो-रनिंग मैक्रो व्यवहार की जांच के लिए mraptor चलाएं

यह क्या दर्शाता है

• पहचान से बचने के लिए उपयोग की गई फ़ाइल प्रकार असंगति को कैसे पहचानें
• CVE-2017-11882 बिना मैक्रो की आवश्यकता के कैसे काम करता है
• सतही संकेतकों से अनुमान लगाने के बजाय मैक्रो व्यवहार को वास्तव में कैसे सत्यापित करें
• एन्क्रिप्शन + छिपी शीट + अस्पष्ट स्ट्रिंग्स का स्वचालित रूप से "पुष्टि दुर्भावनापूर्ण" नहीं होना — कभी-कभी साक्ष्य अनिर्णायक होते हैं, और यह स्पष्ट रूप से कहना उचित है

स्रोत

• CVE-2017-11882: Microsoft Equation Editor RCE
• oletools: https://github.com/decalage2/oletools
• MalwareBazaar: https://bazaar.abuse.ch
• REMnux docs: https://docs.remnux.org

लेखक

Mofolorunsho Adeleke GitHub: https://github.com/Mo200909