{"id":4339,"date":"2023-02-05T14:31:04","date_gmt":"2023-02-05T13:31:04","guid":{"rendered":"https:\/\/sajberinfo.com\/?p=4339"},"modified":"2023-02-05T14:59:26","modified_gmt":"2023-02-05T13:59:26","slug":"zloupotreba-microsoft-visual-studio-dodataka-za-ms-office","status":"publish","type":"post","link":"https:\/\/sajberinfo.com\/en\/2023\/02\/05\/zloupotreba-microsoft-visual-studio-dodataka-za-ms-office\/","title":{"rendered":"Zloupotreba Microsoft Visual Studio dodataka za MS Office"},"content":{"rendered":"

Sigurnosni istra\u017eiva\u010di su primijetili zloupotrebu Microsoft Visual Studio<\/em> dodataka za Microsoft Office<\/em> programski paket, kao sredstva za dobijanja upori\u0161ta i pokretanja proizvoljnog k\u00f4da.<\/span><\/p>\n

\"Zloupotreba

Zloupotreba Microsoft Visual Studio dodataka za MS Office, Source: <\/em>Clipartkey<\/em><\/a><\/p><\/div>\n

Od kako je kompanija Microsoft<\/em>, pro\u0161le godine u julu, onemogu\u0107ila podrazumijevano kori\u0161tenje macro<\/em> skripti u Office<\/em> dokumentima, distribucija zlonamjernog softvera kori\u0161tenjem ovih dokumenta postala nepouzdana za napada\u010de. Oni su ubrzo pre\u0161li na nove formate datoteka, kao \u0161to su ISO<\/em> datoteke, ZIP<\/em> arhive za\u0161ti\u0107ene lozinkama i LNK<\/em> pre\u010dice za \u0161irenje zlonamjernog softvera.<\/span><\/p>\n

Sada su sigurnosni istra\u017eiva\u010di kompanije Deep Instinct<\/em><\/a> otkrili da napada\u010di koriste .NET<\/em> kao bazu za zlonamjerni softver i ubacuju ga u Microsoft Visual Studio Tools for Office (VSTO)<\/em> dodatke za Office<\/em> programski paket.<\/span><\/p>\n

 <\/p>\n

\u0160ta je Microsoft Visual Studio Tools for Office (VSTO) <\/em>?<\/strong><\/span><\/h2>\n

To je alat za programski razvoj i nalazi se u Microsoft Visual Studio IDE<\/em>. On omogu\u0107ava dodatke za Office<\/em> programski paket razvijene u programskom okru\u017eenju .NET<\/em> i dozvoljava pravljenje Office<\/em> dokumenta koji \u0107e isporu\u010diti ove dodatke. Ovi dodaci mogu biti biti povezani sa odre\u0111enom aplikacijom iz Office paketa sa kojom \u0107e se zajedno pokretati, dodaju\u0107i aplikaciji dodatne mogu\u0107nosti. VSTO<\/em> dodaci mogu biti u\u010ditani lokalno iz Office<\/em> dokumenata ili sa udaljene lokacije kada se Office<\/em> dokument otvori, \u0161to ipak zahtjeva ga\u0161enje nekih sigurnosnih mehanizama.<\/span><\/p>\n

 <\/p>\n

Napad kori\u0161tenjem VSTO<\/em><\/strong><\/span><\/h3>\n

Napada\u010di za sada koriste lokalni VSTO<\/em> pristup, koji ne zahtjeva zaobila\u017eenje sigurnosnih mehanizma da bi se dodatak u\u010ditao. Me\u0111utim, primije\u0107eno je odre\u0111eni broj napada kori\u0161tenjem VSTO<\/em> u\u010ditavanja sa udaljene lokacije. Kada se pokrene dokument predvi\u0111en da dostavi VSTO<\/em> dodatak, pojavljuje se prozor sa upitom za instalaciju dodatka. Da bi prevarili korisnika, napada\u010di koriste sli\u010dan metod kao i kod VBA<\/em> napada, obavje\u0161tenje korisniku da dozvoli instalaciju.<\/span><\/p>\n

\"Message

Message for Spanish users to trick them into installing a malicious add-in: Source: <\/em>Deep Instinct<\/em><\/a><\/p><\/div>\n

 <\/p>\n

\"install

Installation dialog served to the victim; Source: <\/em>Deep Instinct<\/em><\/a><\/p><\/div>\n

U jednom napadu koji su istra\u017eiva\u010di posmatrali, nakon pokretanja instalacije, do\u0161lo je do pokretanja proizvoljnog PowerShell<\/em> k\u00f4da na ure\u0111aju. U drugom napadu, koji je podrazumijevano udaljeni VSTO<\/em> dodatak, instalacija je preko posebno pripremljene DLL<\/em> datoteke pokrenula preuzimanje lozinkom za\u0161ti\u0107ene ZIP<\/em> arhive. Sigurnosni istra\u017eiva\u010di nisu uspeli do\u0107i u posjed \u010ditavog procesa instalacije da bi shvatili u potpunosti kako funkcioni\u0161e.<\/span><\/p>\n

Da bi istra\u017eili ovo do kraja, sigurnosni istra\u017eiva\u010di su napravili koncept zloupotrebe (eng. proof-of-concept \u2013 PoC<\/em>). U ovom konceptu<\/a> su poku\u0161ali pokazati kako napada\u010di koriste VSTO<\/em> za dostavljanje zlonamjernog softvera i kako dobiju upori\u0161te na zara\u017eenom ure\u0111aju. Oni su namjerno omogu\u0107ili da na\u010din dostave bude lako otkriti, ali je dalje istra\u017eivanje pokazalo da sve ostale komponente ovog koncepta zloupotrebe Windows Defender<\/em> ne mo\u017ee otkriti.<\/span><\/p>\n

 <\/p>\n

Zaklju\u010dak<\/strong><\/span><\/h4>\n

Sigurnosni istra\u017eiva\u010di smatraju da \u0107e sve vi\u0161e zlonamjernih aktera po\u010deti da koristi VSTO<\/em> kao vektor napada. Smatraju da bi se u ovo mogli uklju\u010diti i APT<\/em> grupe<\/a> i drugi \u201cnapredniji<\/em>\u201d napada\u010di, zbog njihovog nivoa znanja i mogu\u0107nosti da zaobi\u0111u Windows<\/em> sigurnosne mehanizme kori\u0161tenjem validnih digitalnih certifikata.<\/span><\/p>","protected":false},"excerpt":{"rendered":"

Sigurnosni istra\u017eiva\u010di su primijetili zloupotrebu Microsoft Visual Studio dodataka za Microsoft Office programski paket, kao sredstva za dobijanja upori\u0161ta i pokretanja proizvoljnog k\u00f4da. Od kako je kompanija Microsoft, pro\u0161le godine u julu, onemogu\u0107ila podrazumijevano...<\/p>","protected":false},"author":1,"featured_media":4342,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[130,268,269,126,270],"class_list":["post-4339","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hronike","tag-microsoft","tag-visual-studio","tag-vsto","tag-vulnerability","tag-windows-defender"],"_links":{"self":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/4339","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/comments?post=4339"}],"version-history":[{"count":0,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/4339\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media\/4342"}],"wp:attachment":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media?parent=4339"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/categories?post=4339"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/tags?post=4339"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}