返回目录：office365
综述
2017年4月7日McAfee与FireEye的2名研究员爆出微软（Microsoft）Office Word的一个0-day漏洞（CVE-2017-0199）的相关细节。攻击者可以向受害人发送一个带有OLE2link对象附件的恶意邮件，诱骗用户打开。当用户打开附件时，恶意代码会连接到攻击者恶意构造的网站，下载并执行恶意HTML应用文件（HTA），之后攻击者可以获得远程执行任意代码权限，执行更多的控制功能。
大致历史如下：
◆ 2016年9月9日，CVE发布了漏洞编号。
◆ 2017年1月25日，MD5为c10d……f10e的样本在网络中出现。
◆ 2017年3月4日，MD5为5ebf……9e01的样本在网络中出现。
◆ 2017年4月7日，细节公布。
◆ 2017年4月10日，MD5为7753……0c9f的样本在网络中出现。
◆ 2017年4月11日，微软发布更新补丁修复了此漏洞。微软官方公告地址如下：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0199
漏洞概述
此漏洞利用的是Office Ole对象链接技术。攻击者将恶意的链接对象嵌入正常的RTF文件中，当用户打开恶意文档时，Office程序会下载并执行包含恶意脚本的HTA文件。
漏洞利用攻击流程
攻击者向用户发送自己精心构造的包含OLE2嵌入式链接对象的Office文档。
用户打开恶意文档时，winword.exe会访问文档中嵌入的恶意链接，下载对应的HTA文件。
服务端返回给用户一个嵌入恶意脚本RTF文件。
Winword.exe通过com对象找到HTA文件的处理程序（mshta.exe）加载HTA文件并执行其中的恶意脚本。
恶意脚本会下载并执行恶意程序。
防护方案
1、针对此漏洞，微软已经发布更新补丁。用户可以根据如下地址中的描述检查是否进行了对应的更新，如果没有，建议安装对应的补丁程序。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0199
2、安装金山V8+等终端防护类软件。
3、网络防护规则。
alert http $EXTERNAL_NET any -> $HOME_NET any (msg:"Possible Office 0-day, RTF content with HTA header"; flow:established,from_server;
content:"Content-Type|3a 20|application/hta|0d 0a|"; http_header; file_data;content:"|7b 5c 72 74|"; within: 128; classtype:trojan-activity; sid:1; rev:1;)
4、非必要的情况下将.hta文件类型的默认打开方式改为notepad.exe。
漏洞细节
利用此漏洞的样本有多个，在这里以MD5为c10d……f10e的样本为例进行分析。
通过file命令可以知道文件格式为RTF文档。
$ file f4a0.doc
f4a0.doc: Rich Text Formatdata, version 1, unknown character set
使用脚本工具解析此文件，可以看到此文件中嵌入的其他对象。
将objdata使用字符形式展现如下：
可以确定此对象是一个OLE对象，其结构如下：
从对象数据的16进制内容中可以搜索到Url Moniker ClSID和HTA File DownLoad Link的内容和偏移，如下图所示：
解析此对象中的数据如下:
Word在解析到这块数据时会访问对象中的链接。
由于目标网址已经失效，通过构造本地环境获取了下图所示的数据包，其中Content-Type表示内容的类型，Content-Range表示只读取指定字节的文件内容。
Word在解析到这块数据时会访问对象中的链接。
下载完之后，URL Moniker通过识别Http头中的content-type字段，调用mshta.exe来加载执行下载下来的HTA文件，在mshta.exe匹配到其中的VB脚本后就会执行其脚本程序。通过查看template.doc中的内容可以看到进行了混淆的VB脚本。
脚本功能如下：
启动taskkill.exe杀掉winword.exe进程.
从http://www.modani.com/media/wysiwyg/ww.vbs下载VBScript文件并保存到%appdata%\\Microsoft\\Windows\\maintenance.vbs中。
从http://www.modani.com/media/wysiwyg/questions.doc下载诱惑性文件保存在%temp%\\document.doc中。
清理15.0和16.0版本word对应的Resiliency子键和键值。以便word程序可以重新正常启动。
执行脚本%appdata%\\Microsoft\\Windows\\maintenance.vbs。
打开%temp%\\document.doc，隐藏攻击者的恶意行为。
绿盟科技针对此漏洞的攻击事件会持续关注！
攻击定位
绿盟科技针对此漏洞的攻击事件会持续关注！
总结
微软提供的COM/OLE技术犹如一把双刃剑，在为开发人员提供方便的同时，也为攻击者进行恶意攻击提供了机会。此次漏洞便是一个很好的说明。攻击者巧妙的利用了OLE link object、URL Moniker和Windows在执行HTA文件时会匹配搜索数据流的特性，构造了包含恶意链接的RTF文档，绕过大多数的防御措施，实现自己的恶意行为。
完整内容请点击文末“阅读原文”
声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。
由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。
如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于绿盟科技
北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市交易，股票简称：绿盟科技，股票代码：300369。
请点击屏幕右上方“…”
关注绿盟科技公众号
NSFOCUS-weixin
↑↑↑长按二维码，下载绿盟云APP