Introdução/Objetivos

No início de 2023, comecei a ouvir sobre um novo (pelo menos para mim) tipo de distribuição de malware — arquivos .one abertos usando o Microsoft OneNote:

À medida que tweets como o acima se infiltraram gradualmente em minha consciência, decidi aprender mais, pois estou sempre curioso para saber sobre as novas técnicas que os invasores estão usando (ou as antigas que estão removendo) para obter acesso às redes das vítimas. Gostei muito da pesquisa de contrabando de QakBot/IcedID/HTML que fiz no final de 2022 e queria ver se poderia repetir esse processo para malware fornecido pelo OneNote, para benefício educacional e [suave] diversão de todos. Meus objetivos eram:

1. Entenda como o OneNote é usado para distribuir malware.
2. Observe a distribuição de malware do OneNote em meu laboratório.
3. Revise as detecções baseadas em log existentes para esta atividade e identifique possíveis maneiras de aumentá-las ou fortalecê-las.
4. ✍️ Escreva e compartilhe regras novas ou aprimoradas para detectar a entrega de malware do OneNote.
5. Comemore com uma guloseima saborosa.

Isenção de responsabilidade

Antes de prosseguirmos, quero enfatizar que sei que o malware do OneNote já foi coberto por pessoas com mais experiência do que eu. Embora eu ache que descobri algumas novas detecções baseadas em log para a última onda de distribuição de malware acionada pelo OneNote, não estou afirmando isso como uma pesquisa original inovadora. Então, não tem vaca, cara!

Uma observação sobre o OneNote

Antes de começar, tive que reconhecer que não sabia muito sobre o OneNote. Ok, eu sei que é o aplicativo de anotações integrado da Microsoft. Eu o explorei brevemente durante meu último trabalho como analista de segurança, mas desisti em favor do bom e velho papel e caneta (sério). Então, no interesse de formar uma familiaridade básica com a ferramenta, ativei-a em meu laboratório e criei um Notebook muito simples, conforme mostrado abaixo:

Mas e quanto a um arquivo .one?

Com meu Notebook de exemplo na bolsa, eu queria entender o que é um arquivo .one, como criá-lo, como usá-lo e como ele está sendo abusado por agentes de ameaças. Depois de pesquisar um pouco online, descobri que você pode exportar um bloco de anotações do OneNote para um arquivo .one que, por sua vez, pode ser importado para a coleção do OneNote de outro usuário para que ele tenha sua própria cópia do bloco de anotações. Isso é um pouco estranho, pois os blocos de anotações do OneNote definitivamente devem ser compartilhados diretamente pela Web, mas suponho que seja concebível que alguém que queira usar ou compartilhar blocos de anotações em um ambiente desconectado/offline queira usar um arquivo .one.

Um arquivo .one também é uma boa maneira de distribuir um bloco de anotações modelo pela web. Isso ficará aparente momentaneamente.

Foi surpreendentemente difícil criar meu próprio arquivo .one. Tanto quanto eu poderia dizer, você não pode fazer isso usando o aplicativo de desktop do OneNote, mas depois de pesquisar alguns menus na versão on-line do OneNote, descobri (as capturas de tela abaixo são apenas para quem está curioso para saber o que é um arquivo .one legítimo experiência de criação é como - não há nada para escrever).

Noções básicas do ataque

Tendo obtido algum conhecimento rudimentar dos arquivos OneNote .one e seu uso legítimo, tentei construir uma compreensão mais completa do ataque, que eventualmente me ajudaria a detectá-lo. O fluxo básico é o seguinte:

1. Um invasor envia um e-mail de phishing contendo um anexo de arquivo .one.
2. A vítima, esperando acessar um documento importante ou útil, abre o arquivo .one no OneNote.
3. A vítima é induzida a clicar duas vezes em um ícone de arquivo anexado, que executa um arquivo HTA, VBS ou similar anexado usando o utilitário interno correspondente do Windows (wscript.exe, mshta.exe ou o que você tem).
4. O arquivo HTA ou VBS malicioso chama o host do provedor WMI (WmiPrvSE.exe), que executa o powershell via CMD para baixar um arquivo em lote malicioso de transfer.sh ou de um site comprometido.
5. Simultaneamente à etapa acima, CDM/PowerShell são usados ​​para recuperar e abrir um modelo de arquivo .one legítimo de onenotegem.com, um site com modelos úteis do OneNote ou um site comprometido. Isso leva a vítima a pensar que tem o que precisa, diminuindo a probabilidade de relatar a infecção ao departamento de TI/Segurança.
6. O arquivo de lote malicioso da etapa 4 copia o executável do PowerShell e o usa para executar uma carga criptografada, que é o trojan AsyncRAT ou malware semelhante para roubo de informações.

Coletando amostras

Para reunir minhas amostras, recorri ao Malware Bazaar, um excelente recurso que mencionei em meu último post sobre contrabando de HTML. Descobri que poderia encontrar e baixar com eficiência essas amostras usando as tags “one” e “OneNote:”

https://bazaar.abuse.ch/browse/tag/OneNote/

https://bazaar.abuse.ch/browse/tag/one/

Como antes, baixei e extraí algumas dessas amostras, nomeando-as de acordo com a propriedade “humanhash” de cada amostra:

Com essas amostras alinhadas e meus dedos de clicar em links e abrir anexos aquecidos com o treino mostrado abaixo, eu estava pronto para começar!

Testando e observando a entrega de malware do OneNote

Todos os notebooks de amostra que testei continham alguma variação dessa aparência:

Depois de reposicionar o gráfico do “botão”, você pode ver os anexos ofensivos:

Eu obedientemente clico duas vezes no ícone do arquivo anexado, descartando o aviso de que isso pode danificar meu computador. Após alguns segundos, uma fatura do Excel Business Systems aparece no OneNote e uma janela de prompt de comando aparece por uma fração de segundo. Abaixo, incluí uma captura de tela anotada dos logs de criação do processo, que acredito ser útil para entender a cronologia dos eventos:

E aqui, podemos ver detalhes de log adicionais da etapa final no processo de entrega de malware, mostrando-nos com base na propriedade OriginalFileName que system32.bat.exe é de fato uma versão copiada do Microsoft PowerShell.exe:

Observações e Análises

Das cerca de uma dúzia de amostras de .one que analisei, a maioria baixou um modelo de notebook isca de onenotegem.com e o arquivo de lote malicioso de transfer.sh. Para seu crédito, o transfer.sh removeu quase todos os arquivos em lote maliciosos de seu site, portanto, a infecção não continuaria em meu laboratório, pois a carga maliciosa não pôde ser encontrada.

Em um caso particularmente chocante, um script powershell malicioso (rr.ps1) levou à injeção de processo usando RegAsm.exe, um utilitário legítimo do Windows usado para registro de montagem .NET. Observei o RegAsm.exe sendo executado sem nenhum parâmetro de linha de comando (um indicador comum de injeção de processo) e realizando pesquisas DNS de domínios suspeitos:

Significativamente, este script powershell malicioso ainda está disponível em transfer.sh!

Outra observação estranha e possivelmente relevante foi que, na captura de tela acima do bloco de anotações do OneNote com a linha de anexos maliciosos do WSF, os nomes dos arquivos continham algum tipo de caractere não imprimível no nome do arquivo que faz com que o nome do arquivo apareça parcialmente invertido no Histórico:

Depois de pesquisar um pouco mais sobre isso, percebi que o caractere especial é na verdade um caractere unicode chamado “RIGHT-TO-LEFT-OVERRIDE”:

Esse caractere é representado pelo valor unicode U+202E. Tente pesquisar esse código no Google (é uma viagem). Aparentemente, existe até uma subtécnica Mitre ATT&CK para isso - coisa fascinante!

Detecções existentes

Das regras existentes de detecção baseadas em log que encontrei, a melhor é “Suspicious OneNote Child Process”:

Esta regra é realmente eficaz por conta própria! Ele procura por processos suspeitos gerados pelo OneNote.exe, incluindo todos os que observei durante a execução de minhas amostras do OneNote.

Novas ideias de detecção

Eu me perguntei, no entanto, se eu poderia criar algumas regras adicionais que combinassem com a atividade que observei, incluindo as variações sutis. Afinal, aumentar a detecção “em profundidade” pode resultar em vários alertas, que podem apontar de maneira mais confiável um SOC para o caminho investigativo correto. Minhas ideias incluíam:

• Imagem de extensão dupla (nome do processo). Isso pode se aplicar à criação de processos, conexões de rede, consultas de DNS e outros.
• Injeção do processo RegAsm.exe.
• Substituição da direita para a esquerda no processo CommandLine (minha favorita!)

C:\Windows\SysWOW64\wscript.exe "C:\Users\vagrant\AppData\Local\Temp\OneNote\16.0\Exported\{CD943C96-FC1A-417A-A5B5-83A1844A2E58}\NT\1\file‮Pdf.wsf"

Podem ver a receita aqui:https://regex101.com/r/zLgqzk/1. Coloquei-o na seguinte regra Sigma, que foi convertida com sucesso em uma consulta Splunk que detectou todos os anexos maliciosos do OneNote em meus logs de criação de processo. Observação: o Regex abaixo parece errado, mas isso ocorre apenas porque o caractere unicode invisível inverteu a ordem dos caracteres. Essa regra realmente funciona!

title: Suspicious Command Line Containing Right-to-Left Override
id: ad691d92-15f2-4181-9aa4-723c74f9ddc3
status: experimental
description: Detects the presence of the u202+E character, which causes a terminal, browser, or operating system to render text in a right-to-left sequence. This is used in obfuscation and masquerading techniques.
references:
    - https://redcanary.com/blog/right-to-left-override/
    - https://unicode-explorer.com/c/202E
author: Micah Babinski, @micahbabinski
date: 2023/01/30
tags:
    - attack.defense_evasion
    - attack.t1036
    - attack.t1036.002
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        # you can't see it, but trust me, there's a right-to-left override character in the regex below! :P
        CommandLine|re: ^.*‮.*$
    condition: selection
falsepositives:
    - Unknown
level: high

Quando comecei a escrever este artigo, esperava que fosse uma abordagem direta e bastante derivada de um método temporariamente popular de distribuição de malware. Mas acabei aprendendo muito sobre como o OneNote pode ser abusado e observei algumas técnicas e comportamentos de invasores que eram completamente novos para mim. Além disso, acredito que as regras de extensão de arquivo duplo e as regras de substituição da direita para a esquerda são maneiras novas e úteis de detectar essas técnicas em seu ambiente. Eu os compartilhei em meu estoque pessoal de regras Sigma no meu GitHub, disponível aqui:

E agora, com meu quinto objetivo em mente, vou comer um biscoito, ou deveria ser uma barra de limão?

É tudo por agora! Como sempre, feliz análise!