cve-2021-40444

「A Letter Before Court 4.docx」という悪意のあるファイルをリバースエンジニアリングし、cve-2021-40444 を悪用する

悪意のある Word ファイルおよび cab ファイルを含むファイルは、any.run からダウンロードできます: https://app.any.run/tasks/36c14029-9df8-439c-bba0-45f2643b0c70/#

注意！ 元の悪意のあるコード内のドメイン名は、悪意のあるコードの実行ミスを防ぐため 127.0.0.1:8000 に置き換えられています。 独自の championship.inf ファイル（実際には PE ファイル）を配信したい場合は、次を使用します:

python3 -m http.server

ステップ3のファイル このステップでは、コードは、悪意のある Word 文書が cve-2021-40444 のバグをどのように利用しているかを確認できるほど、人間が読みやすい形になっています。

championship.inf これは、攻撃が成功したときに読み込まれる PE ファイルです。

段階

1. Word ファイルが OLE オブジェクトとしてウェブアドレス（インターネットアドレス）を読み込む（この場合は side.html）
2. side.html は ActiveX 読み込みを使用して、インターネットから .cab ファイルをダウンロードする
3. side.html の javascript は、.cab ファイルに含まれる championship.inf を読み込み可能な activex オブジェクトとして参照する
4. その後... activex によるコード実行