MSDT_CVE-2022-30190

이 저장소는 Follina MSDT를 Defender 관점에서 다루고 있습니다.

목차

• 개요
• 타임라인
• 익스플로잇 이해하기
• IOC 목록
• 탐지 전략
• 테스트 및 연구
• 완화 계획
• 참고 자료

개요

이 버그는 crazyman(Shadow Chaser Group 소속)이 보고한 Microsoft Windows 지원 진단 도구(MSDT) 원격 코드 실행 취약점입니다. Microsoft는 현재 이를 CVE-2022-30190로 추적하고 있습니다. 이 결함은 보안 업데이트를 계속 받는 모든 Windows 버전(Windows 7+ 및 Server 2008+)에 영향을 미칩니다.

보안 연구원 nao_sec이 발견한 바와 같이, 위협 행위자들이 Word 문서를 열거나 미리보기할 때 MSDT를 통해 악성 PowerShell 명령을 실행하는 데 사용되며, Microsoft는 이를 ACE(임의 코드 실행) 공격으로 설명합니다.

"이 취약점을 성공적으로 악용한 공격자는 호출 애플리케이션의 권한으로 임의 코드를 실행할 수 있습니다."라고 Microsoft는 설명합니다.

타임라인

• 2022년 4월 12일 — APT 헌팅 그룹 Shadowchasing1의 리더가 Microsoft MSRC에 첫 번째 신고. 이 문서는 러시아를 표적으로 한 실제 야생 익스플로잇으로, 러시아 구직 면접을 주제로 함.
• 2022년 4월 21일 — Microsoft MSRC가 보안 관련 문제가 아니라며 티켓을 종료(참고: 매크로가 비활성화된 상태에서 msdt 실행은 문제임).
• 2022년 5월 ??일 — Microsoft가 CVE를 문서화하거나 기록하지 않고 Office 365 Insider 채널에서 이 문제를 수정했거나 실수로 수정했을 수 있음. 다른 제품은 여전히 취약함.
• 2022년 5월 27일 — 보안 업체 Nao가 벨로루시에서 업로드된 문서를 트윗. 이 역시 야생 공격임.
• 2022년 5월 27일 — MSRC에 다시 신고.
• 2022년 5월 29일 — Andy Ful이 이 취약점이 Office 365 Semi Annual 채널 및 '온프레미스' Office 버전에서 여전히 작동하고 EDR 제품이 탐지에 실패하는 제로데이임을 공개적으로 확인.

익스플로잇 이해하기

• 이 익스플로잇의 작동 원리에 대한 전체 세부 사항은 Huntress 블로그 여기를 참조하세요.
• 익스플로잇 및 그 해결 방법을 이해하려면 이 동영상을 시청하세요.

IOC 목록

• 주요 개체 - 05-2022-0438.doc
  • sha256 4a24048f81afbe9fb62e7a6a49adbd1faf41f266b5f9feecdceb567aec096784
  • sha1 06727ffda60359236a8029e0b3e8a0fd11c23313
  • md5 52945af1def85b171870b31fa4782e52
• 드롭된 실행 파일
  • sha256 C:\Users\admin\AppData\Local\Temp\SDIAG_ecb8c0a2-7a1e-4b6c-8ae0-2245f03bcc15\DiagPackage.dll 3218488d62cb0858101d2ec63ec73a032bc9787f5f87cb46abbea4477c97b16f
  • sha256 C:\Users\admin\AppData\Local\Temp\SDIAG_ecb8c0a2-7a1e-4b6c-8ae0-2245f03bcc15\en-US\DiagPackage.dll.mui c6d837ec0850e22c83b400fcded1791a2f4f99f0c56d6fc7d93e92a8b72c098d
  • sha256 C:\Users\admin\AppData\Local\Temp\r5qxr4ie.dll aa967ae9f6d80bdbd0f315defa17aaee0e756e7e2ad0e5261d8254bc0af1cc02
  • sha256 C:\Users\admin\AppData\Local\Temp\t52wyhbe.dll daf716cbe8810085251e6ef1e39869a9e61d929fac12ea5684c3b2caf993666b
  • sha256 C:\Users\admin\AppData\Local\Temp\qtwoghs1.dll f5361b6c9db8ac25433ae21f9a7b6490cc372ce2b1f802e2b06d5b904ce97109
• DNS 요청
  • 도메인 www[.]xmlformats[.]com
• 연결
  • ip 141.105.65.149
  • ip 20.42.65.85
  • ip 13.107.42.16
• HTTP/HTTPS 요청
  • url hxxps://www[.]xmlformats[.]com/office/word/2022/wordprocessingDrawing/
  • url hxxps://www[.]xmlformats[.]com/office/word/2022/
  • url hxxps://www[.]xmlformats[.]com/office/word/2022/wordprocessingDrawing/RDF842l[.]html

탐지 전략

• 위협 헌팅을 위한 Sigma 규칙은 여기에서 찾을 수 있습니다.

• 아래는 추가로 튜닝할 수 있는 탐지 규칙입니다. Bala Ganesh에게 감사드립니다. 전체 기사는 여기에서 확인할 수 있습니다.

• MS Defender:

DeviceProcessEvents | where ((ProcessCommandLine contains "WINWORD.EXE") and (ProcessCommandLine contains "msdt.exe") and (ProcessCommandLine contains "sdiagnhost.exe" or ProcessCommandLine contains "csc.exe" or ProcessCommandLine contains "PCWDiagnostic" or ProcessCommandLine contains "IT_ReBrowserForFile" or ProcessCommandLine contains "IT_BrowserForFile" or ProcessCommandLine contains "conhost.exe"))

• Splunk:

[Doc Malware]
alert.severity = 2
description = Detection (Rule ID: 74566a6a66aaasdq2ed)
cron_schedule = 0 * * * *
disabled = 1
is_scheduled = 1
is_visible = 1
dispatch.earliest_time = -60m@m
dispatch.latest_time = now
search = (source="WinEventLog:*" AND (CommandLine="*WINWORD.EXE*") AND (CommandLine="*msdt.exe*") AND (CommandLine="*sdiagnhost.exe*" OR CommandLine="*csc.exe*" OR CommandLine="*PCWDiagnostic*" OR CommandLine="*IT_ReBrowserForFile*" OR CommandLine="*IT_BrowserForFile*" OR CommandLine="*conhost.exe*"))
alert.suppress = 0
alert.track = 1

• Qradar:

SELECT UTF8(payload) from events where LOGSOURCETYPENAME(devicetype)='Microsoft Windows Security Event Log' and ("Process CommandLine" ilike '%WINWORD.EXE%') and ("Process CommandLine" ilike '%msdt.exe%') and ("Process CommandLine" ilike '%sdiagnhost.exe%' or "Process CommandLine" ilike '%csc.exe%' or "Process CommandLine" ilike '%PCWDiagnostic%' or "Process CommandLine" ilike '%IT_ReBrowserForFile%' or "Process CommandLine" ilike '%IT_BrowserForFile%' or "Process CommandLine" ilike '%conhost.exe%')

• GrayLog

(CommandLine.keyword:*WINWORD.EXE* AND CommandLine.keyword:*msdt.exe* AND CommandLine.keyword:(*sdiagnhost.exe* *csc.exe* *PCWDiagnostic* *IT_ReBrowserForFile* *IT_BrowserForFile* *conhost.exe*))
Sumologic
(_sourceCategory=*windows* AND (CommandLine = "*WINWORD.EXE*") AND (CommandLine = "*msdt.exe*") AND (CommandLine = "*sdiagnhost.exe*" OR CommandLine = "*csc.exe*" OR CommandLine = "*PCWDiagnostic*" OR CommandLine = "*IT_ReBrowserForFile*" OR CommandLine = "*IT_BrowserForFile*" OR CommandLine = "*conhost.exe*"))

• Elastic KQL:

(process.command_line:*WINWORD.EXE* AND process.command_line:*msdt.exe* AND process.command_line:(*sdiagnhost.exe* OR *csc.exe* OR *PCWDiagnostic* OR *IT_ReBrowserForFile* OR *IT_BrowserForFile* OR *conhost.exe*))

아래는 Brent Murphy가 여기에서 설명한 쿼리로도 적용 가능합니다.

process where event.type in ("start" , "process_created") and (process.pe.original_file_name : "msdt.exe" or process.name : "msdt.exe") and (process.parent.pe.original_file_name : ("winword.exe", "excel.exe", "outlook.exe", "powerpnt.exe") or process.parent.name : ("winword.exe", "excel.exe", "outlook.exe", "powerpnt.exe"))

• Cortex XDR에서 XQL 검색을 사용하여 이 공격을 헌팅할 수 있습니다. 자세한 내용은 여기에서 확인하세요.

# office processes spawning msdt.exe

config case_sensitive = false timeframe = 30d
| dataset = xdr_data
| filter event_type = ENUM.PROCESS and action_process_image_command_line contains "msdt.exe" and actor_process_image_name in ("winword.exe", "powerpnt.exe", "excel.exe", "msaccess.exe","visio.exe","onenote.exe","powershell.exe")
| fields agent_hostname , action_process_image_command_line , action_process_image_path , actor_process_command_line , actor_process_image_path , causality_actor_process_image_path

# msdt.exe execution with suspicious argument

config case_sensitive = false timeframe = 30d
| dataset = xdr_data
| filter event_type = ENUM.PROCESS and action_process_image_command_line contains "msdt.exe" and
action_process_image_command_line contains "it_browseforfile"
| fields agent_hostname , action_process_image_command_line , action_process_image_path , actor_process_command_line , actor_process_image_path , causality_actor_process_image_path