CVE-2022-30190

이 저장소는 Defender 관점에서 Follina MSDT에 대해 다룹니다.

색인

• 소개
• 타임라인
• 익스플로잇 이해하기
• IOC 목록
• 탐지 전략
• 테스트 및 연구
• 완화 계획
• 참고 자료

소개

이 버그는 Shadow Chaser Group의 crazyman이 보고한 Microsoft Windows 지원 진단 도구(MSDT) 원격 코드 실행 취약점입니다. Microsoft는 현재 이를 CVE-2022-30190로 추적하고 있습니다. 이 결함은 여전히 보안 업데이트를 받는 모든 Windows 버전(Windows 7 이상 및 Server 2008 이상)에 영향을 미칩니다.

보안 연구원 nao_sec이 발견한 바와 같이, 이 취약점은 위협 행위자가 Word 문서를 열거나 미리 보기할 때 MSDT를 통해 악성 PowerShell 명령을 실행하는 데 사용되며, Microsoft는 이를 임의 코드 실행(ACE) 공격으로 설명합니다.

Microsoft는 "이 취약점을 성공적으로 악용한 공격자는 호출 애플리케이션의 권한으로 임의 코드를 실행할 수 있습니다"라고 설명합니다.

타임라인

• 2022년 4월 12일 — APT 헌팅 그룹인 Shadowchasing1의 리더가 Microsoft MSRC에 최초 보고했습니다. 이 문서는 러시아를 표적으로 한 실제 환경(in the wild)의 실전 악용으로, 러시아 구인 면접을 가장한 것입니다.
• 2022년 4월 21일 — Microsoft MSRC가 보안 관련 문제가 아니라며 티켓을 종료했습니다 (참고로, 매크로가 비활성화된 상태에서 msdt가 실행되는 것은 문제입니다).
• 2022년 5월 ??일 — Microsoft가 Office 365 Insider 채널에서 이 문제를 수정하려 했거나 우연히 수정했을 수 있지만, CVE를 문서화하거나 어디에도 기록하지 않았습니다. 다른 제품은 여전히 취약합니다.
• 2022년 5월 27일 — 보안 업체 Nao가 벨라루스에서 업로드된 문서를 트윗했으며, 이 역시 실제 환경(in the wild) 공격입니다.
• 2022년 5월 27일 — MSRC에 다시 보고되었습니다.
• 2022년 5월 29일 — Andy Ful이 이를 공개적으로 제로데이로 확인했습니다. Office 365 Semi-Annual 채널과 '온프레미스(on-prem)' Office 버전에서 여전히 동작하며, EDR 제품도 탐지하지 못하고 있습니다.

익스플로잇 이해하기

• 이 익스플로잇의 작동 원리에 대한 전체 세부 사항을 이해하려면 Huntress 블로그 여기를 참조하세요.
• 익스플로잇과 그 대응 방법을 이해하려면 이 비디오를 시청하세요.

IOC 목록

• 주요 오브젝트 - 05-2022-0438.doc
  • sha256 4a24048f81afbe9fb62e7a6a49adbd1faf41f266b5f9feecdceb567aec096784
  • sha1 06727ffda60359236a8029e0b3e8a0fd11c23313
  • md5 52945af1def85b171870b31fa4782e52
• 드롭된 실행 파일
  • sha256 C:\Users\admin\AppData\Local\Temp\SDIAG_ecb8c0a2-7a1e-4b6c-8ae0-2245f03bcc15\DiagPackage.dll 3218488d62cb0858101d2ec63ec73a032bc9787f5f87cb46abbea4477c97b16f
  • sha256 C:\Users\admin\AppData\Local\Temp\SDIAG_ecb8c0a2-7a1e-4b6c-8ae0-2245f03bcc15\en-US\DiagPackage.dll.mui c6d837ec0850e22c83b400fcded1791a2f4f99f0c56d6fc7d93e92a8b72c098d
  • sha256 C:\Users\admin\AppData\Local\Temp\r5qxr4ie.dll aa967ae9f6d80bdbd0f315defa17aaee0e756e7e2ad0e5261d8254bc0af1cc02
  • sha256 C:\Users\admin\AppData\Local\Temp\t52wyhbe.dll daf716cbe8810085251e6ef1e39869a9e61d929fac12ea5684c3b2caf993666b
  • sha256 C:\Users\admin\AppData\Local\Temp\qtwoghs1.dll f5361b6c9db8ac25433ae21f9a7b6490cc372ce2b1f802e2b06d5b904ce97109
• DNS 요청
  • domain www[.]xmlformats[.]com
• 연결
  • ip 141.105.65.149
  • ip 20.42.65.85
  • ip 13.107.42.16
• HTTP/HTTPS 요청
  • url hxxps://www[.]xmlformats[.]com/office/word/2022/wordprocessingDrawing/
  • url hxxps://www[.]xmlformats[.]com/office/word/2022/
  • url hxxps://www[.]xmlformats[.]com/office/word/2022/wordprocessingDrawing/RDF842l[.]html

탐지 전략

• 위협 헌팅을 수행하려면 Sigma 규칙을 여기에서 찾을 수 있습니다.

• 아래는 추가로 튜닝할 수 있는 탐지 규칙입니다. Bala Ganesh에게 감사를 표합니다. 전체 문서는 여기에서 확인할 수 있습니다.

• MS Defender:

DeviceProcessEvents | where ((ProcessCommandLine contains "WINWORD.EXE") and (ProcessCommandLine contains "msdt.exe") and (ProcessCommandLine contains "sdiagnhost.exe" or ProcessCommandLine contains "csc.exe" or ProcessCommandLine contains "PCWDiagnostic" or ProcessCommandLine contains "IT_ReBrowserForFile" or ProcessCommandLine contains "IT_BrowserForFile" or ProcessCommandLine contains "conhost.exe"))

• Splunk:

[Doc Malware]
alert.severity = 2
description = Detection (Rule ID: 74566a6a66aaasdq2ed)
cron_schedule = 0 * * * *
disabled = 1
is_scheduled = 1
is_visible = 1
dispatch.earliest_time = -60m@m
dispatch.latest_time = now
search = (source="WinEventLog:*" AND (CommandLine="*WINWORD.EXE*") AND (CommandLine="*msdt.exe*") AND (CommandLine="*sdiagnhost.exe*" OR CommandLine="*csc.exe*" OR CommandLine="*PCWDiagnostic*" OR CommandLine="*IT_ReBrowserForFile*" OR CommandLine="*IT_BrowserForFile*" OR CommandLine="*conhost.exe*"))
alert.suppress = 0
alert.track = 1

• Qradar:

SELECT UTF8(payload) from events where LOGSOURCETYPENAME(devicetype)='Microsoft Windows Security Event Log' and ("Process CommandLine" ilike '%WINWORD.EXE%') and ("Process CommandLine" ilike '%msdt.exe%') and ("Process CommandLine" ilike '%sdiagnhost.exe%' or "Process CommandLine" ilike '%csc.exe%' or "Process CommandLine" ilike '%PCWDiagnostic%' or "Process CommandLine" ilike '%IT_ReBrowserForFile%' or "Process CommandLine" ilike '%IT_BrowserForFile%' or "Process CommandLine" ilike '%conhost.exe%')

• GrayLog

(CommandLine.keyword:*WINWORD.EXE* AND CommandLine.keyword:*msdt.exe* AND CommandLine.keyword:(*sdiagnhost.exe* *csc.exe* *PCWDiagnostic* *IT_ReBrowserForFile* *IT_BrowserForFile* *conhost.exe*))
Sumologic
(_sourceCategory=*windows* AND (CommandLine = "*WINWORD.EXE*") AND (CommandLine = "*msdt.exe*") AND (CommandLine = "*sdiagnhost.exe*" OR CommandLine = "*csc.exe*" OR CommandLine = "*PCWDiagnostic*" OR CommandLine = "*IT_ReBrowserForFile*" OR CommandLine = "*IT_BrowserForFile*" OR CommandLine = "*conhost.exe*"))

• Elastic KQL:

(process.command_line:*WINWORD.EXE* AND process.command_line:*msdt.exe* AND process.command_line:(*sdiagnhost.exe* OR *csc.exe* OR *PCWDiagnostic* OR *IT_ReBrowserForFile* OR *IT_BrowserForFile* OR *conhost.exe*))

Brent Murphy가 여기에서 설명한 아래 쿼리도 적용할 수 있습니다

process where event.type in ("start" , "process_created") and (process.pe.original_file_name : "msdt.exe" or process.name : "msdt.exe") and (process.parent.pe.original_file_name : ("winword.exe", "excel.exe", "outlook.exe", "powerpnt.exe") or process.parent.name : ("winword.exe", "excel.exe", "outlook.exe", "powerpnt.exe"))

• Cortex XDR에서 XQL 검색을 사용하여 이 공격을 헌팅할 수 있습니다: 자세한 내용은 여기에서 확인하세요.

# office processes spawning msdt.exe

config case_sensitive = false timeframe = 30d
| dataset = xdr_data
| filter event_type = ENUM.PROCESS and action_process_image_command_line contains "msdt.exe" and actor_process_image_name in ("winword.exe", "powerpnt.exe", "excel.exe", "msaccess.exe","visio.exe","onenote.exe","powershell.exe")
| fields agent_hostname , action_process_image_command_line , action_process_image_path , actor_process_command_line , actor_process_image_path , causality_actor_process_image_path

# msdt.exe execution with suspicious argument

config case_sensitive = false timeframe = 30d
| dataset = xdr_data
| filter event_type = ENUM.PROCESS and action_process_image_command_line contains "msdt.exe" and
action_process_image_command_line contains "it_browseforfile"
| fields agent_hostname , action_process_image_command_line , action_process_image_path , actor_process_command_line , actor_process_image_path , causality_actor_process_image_path