攻击者开启使用 XLL 文件进行攻击
发布时间：2022-02-10 09:45:18 所属栏目：安全 来源：互联网
导读：近期，研究人员发现使用恶意 Microsoft Excel 加载项(XLL)文件发起攻击的行动有所增加，这项技术的 MITRE ATTCK 技术项编号为 T1137.006。 这些加载项都是为了使用户能够利用高性能函数，为 Excel 工作表提供 API 调用接口。与 VBA 等其他接口相比，该方式能
|
近期，研究人员发现使用恶意 Microsoft Excel 加载项(XLL)文件发起攻击的行动有所增加，这项技术的 MITRE ATT&CK 技术项编号为 T1137.006。 这些加载项都是为了使用户能够利用高性能函数，为 Excel 工作表提供 API 调用接口。与 VBA 等其他接口相比，该方式能够更有效地扩展 Excel 的能力，使其支持更多功能，例如多线程。现在，攻击者也滥用这项技术来达成自己的恶意目标。 攻击者将带有恶意 XLL 附件或者恶意链接的电子邮件发送给用户，受害者点击附件打开 Microsoft Excel 后会提示其安装并激活加载项。攻击者通常将代码置于 xlAutoOpen函数中，该函数会在加载项被激活时立即触发执行。这意味着，与要求用户启用宏的 VBA 宏不同，受害者只要打开就会执行恶意代码。 由于 XLL 是可移植的可执行文件，许多电子邮件网关都会拦截该格式的文件或者仅允许受信任签名的加载项。因为 XLL 恶意文件的快速增长，我们在地下犯罪论坛上进行了相应的调查，评估使用这种文件格式的恶意工具和服务的流行程度。 在读个地下犯罪论坛中，反复看到来自同一个攻击者的广告，正在销售一个可以创建 XLL Dropper 的构建工具。用户指定一个可执行文件或下载诱饵文件的链接地址，生成 XLL 文件。 发现的 XLL 文件大部分都有相同的结构，本质上说，XLL 文件是包含 xlAutoOpen导出函数的 DLL 文件。这些 XLL 文件应该是使用 Excel-DNA工具生成的，包含多个大型的资源。 其中包含 Excel-DNA 项目组件以及加载项，可以通过查看资源名或者同样存储在资源中的 XML 定义文件来识别包含 Excel 加载项的 XLL 文件。包含恶意代码的加载项是使用 .NET 开发的，位于 MODDNA资源中。要分析该恶意代码，需要将资源保存到硬盘并使用 LZMA 算法进行解压缩。对 .NET 文件进行反编译后，可见 XLL 加载项的启动函数，该加载项为恶意软件 Downloader。 （编辑：宁德站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐