cve-2021-40444

cve-2021-40444를 악용하는 'A Letter Before Court 4.docx' 악성 파일 리버스 엔지니어링

악성 워드 파일과 cab 파일을 포함한 파일들은 any.run에서 다운로드할 수 있습니다: https://app.any.run/tasks/36c14029-9df8-439c-bba0-45f2643b0c70/#

참고! 원본 악성 코드의 도메인 이름은 악성 코드 실행 시 실수를 방지하기 위해 127.0.0.1:8000으로 대체되었습니다. 따라서 자신의 championship.inf 파일(실제로는 PE 파일)을 제공하려면 다음을 사용하세요:

python3 -m http.server

단계 3 파일 이 단계에서 코드는 cve-2021-40444 버그가 악성 워드 문서에 의해 어떻게 사용되는지 확인할 수 있을 정도로 가독성이 좋습니다.

championship.inf 이것은 성공적인 공격 시 로드되는 PE 파일입니다.

단계

1. 워드 파일이 웹 주소(인터넷 주소)를 OLE 객체로 로드합니다(이 경우 side.html).
2. Side.html이 ActiveX 로딩을 사용하여 인터넷에서 .cab 파일을 다운로드합니다.
3. Side.html 자바스크립트가 .cab 파일에 포함된 championship.inf를 로드 가능한 ActiveX 객체로 참조합니다.
4. 그 후... ActiveX에 의한 코드 실행