資安威脅趨勢 - 木馬程式Orcinius透過假造的VBA程式碼進行散布
木馬程式Orcinius透過假造的VBA程式碼進行散布
一、摘要
資安業者SonicWall揭露名為Orcinius的RAT木馬程式，駭客利用罕見的手法「VBA stomping」來迴避偵測，並濫用雲端檔案共用服務Dropbox、雲端文件服務Google Docs來下載第2階段的有效酬載，並保持程式的最新狀態。
註：VBA stomping指的是攻擊者利用假的VBA程式碼（p-code）取代原本執行VBA原始碼的流程，由於大部分的資安分析工具及防毒軟體通常會針對VBA原始碼進行檢查，使得這種手法有可能躲過相關檢測。
二、存在風險
資安業者SonicWall揭露名為Orcinius的RAT木馬程式，駭客利用罕見的手法「VBA stomping」來迴避偵測，並濫用雲端檔案共用服務Dropbox、雲端文件服務Google Docs來下載第2階段的有效酬載，並保持程式的最新狀態。
在初始感染階段，駭客會透過名為CALENDARIO AZZORTI.xls的Excel表單進行感染，該內容看起來像是義大利的日曆，其中包含了三個工作表，並討論不同城市的帳單週期。
一旦檔案開啟，將會開始運行巨集以及以下動作：
- 確認registry key和寫新的數值，其為了隱藏告警提示：
- “HKCU\Software\Microsoft\Office\Excel\Security\VBAWarnings”
- “HKCU\Software\Microsoft\Office\Word\Security\VBAWarnings”
- 使用 EnumThreadWindows 列舉目前正在運行的視窗
- 寫入 HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Excel\Resiliency\StartupItems來保持持久性
- 存取兩個編碼的 URL 並嘗試使用 WScript.Shell 下載
- 使用SetWindowsHookEx監控鍵盤輸入。
- 建立多個隨機計時器用於啟動和下載嘗試
IoC：
- 28dd92363338b539aeec00df283e20666ad1bdee90d78c6376f615a0b9481f97
- www-env.dropbox-dns[.]com
- hxxps://docs.google[.]com/uc?id=0BxsMXGfPIZfSVzUyaHFYVkQxeFk&export=download
- hxxps://www.dropbox.com/s/zhp1b06imehwylq/Synaptics.rar?dl=1
建議改善措施：
- 定期更新系統和軟體。
- 執行存取控制，最小化存取之權限。
- 定期執行安全評估。
- 對內部員工實施教育訓練(如：勒索病毒、社交工程、惡意郵件)，藉以提供員工資安意識。
- 鼓勵使用者向IT部門或資安部門說明發現可疑電子郵件和文件並使用工具阻止惡意電子郵件。
- 儘速導入雲智維服務，進行資安威脅情資偵測與聯防，降低企業資安風險。
