{"id":3452,"date":"2017-10-20T09:21:08","date_gmt":"2017-10-20T07:21:08","guid":{"rendered":"http:\/\/securite.intrinsec.com\/?p=3452"},"modified":"2017-10-20T09:21:08","modified_gmt":"2017-10-20T07:21:08","slug":"malware-infections-dde-office","status":"publish","type":"post","link":"https:\/\/www.intrinsec.com\/en\/malware-infections-dde-office\/","title":{"rendered":"Malware: infections via Microsoft Office Dynamic Data Exchange (DDE)"},"content":{"rendered":"

Contexte<\/h1>\n

Les cybercriminels sont toujours \u00e0 la recherche de nouvelles m\u00e9thodes pour parvenir \u00e0 d\u00e9ployer du code malveillant chez leurs victimes.\u00a0Si les groupes sophistiqu\u00e9s se permettent d’utiliser des failles 0-day<\/em> du lecteur Flash pour des attaques cibl\u00e9es, il n’est pas rare de voir certains acteurs adopter des m\u00e9thodes moins avanc\u00e9es mais facilement applicables dans le cadre de campagnes de diffusion massives de malware<\/em>.<\/p>\n

C’est le cas de DDE (pour Dynamic Data Exchange<\/em>), une fonctionnalit\u00e9 Windows utilis\u00e9e dans Word et les autres produits Office pour int\u00e9grer du contenu externe dynamique au sein d’un document. Depuis quelques semaines, des articles fleurissent sur le Web d\u00e9crivant comment ex\u00e9cuter des commandes arbitraires sur un syst\u00e8me en exploitant DDE. Aujourd’hui, nous avons pu constater que l’opportunit\u00e9 n’a pas \u00e9chapp\u00e9 aux acteurs de la criminalit\u00e9 num\u00e9rique.<\/p>\n

Retour sur un cas concret que nous avons pu observer et les contre-mesures envisageables.<\/p>\n

En pratique<\/h1>\n

Nous avons obtenu un \u00e9chantillon d’e-mails issus d’une campagne de diffusion du ransomware Locky<\/em>\u00a0suivant un format classique : une pi\u00e8ce jointe au format .doc, accompagn\u00e9 d’un message succinct laissant penser qu’il s’agit d’une facture.
\"\"<\/p>\n

Par d\u00e9faut, lors de l’ouverture d’un document int\u00e9grant des champs DDE, Word (par exemple) cherchera \u00e0 mettre \u00e0 jour automatiquement le contenu associ\u00e9 \u00e0 ces ressources. Ouvrir le document fait donc appara\u00eetre une bo\u00eete de dialogue :
\"\"<\/p>\n

Choisir \u00ab\u00a0Oui\u00a0\u00bb affiche une nouvelle bo\u00eete de dialogue, qui contient des \u00e9l\u00e9ments du code qui sera ex\u00e9cut\u00e9 et peut indiquer \u00e0 l’utilisateur averti que quelque chose de louche est en train de se tramer :
\"\"<\/p>\n

S\u00e9lectionner \u00ab\u00a0Oui\u00a0\u00bb \u00e0 ce moment d\u00e9clenche l’ex\u00e9cution du code. Un \u00ab\u00a0Non\u00a0\u00bb \u00e0 l’une ou l’autre des propositions suffit \u00e0 d\u00e9samorcer le pi\u00e8ge.<\/p>\n

Afficher les champs du document permet de visualiser le code associ\u00e9 \u00e0 la fonctionnalit\u00e9 DDE. Dans notre cas, il s’agit d’une simple ligne de commande PowerShell allant t\u00e9l\u00e9charger un script avant de l’ex\u00e9cuter :
\"\"<\/p>\n

Apr\u00e8s plusieurs charges interm\u00e9diaires, le malware<\/em>\u00a0final est d\u00e9ploy\u00e9. Il s’agissait ici d’une variante de\u00a0Locky<\/em> :
\"\"<\/p>\n

Pr\u00e9vention<\/h1>\n

Cette analyse montre que le vecteur d’infection DDE est en pratique tr\u00e8s simple \u00e0 mettre en oeuvre. Heureusement pour les victimes potentielles, il est n\u00e9cessaire de valider deux bo\u00eetes de dialogue avant d’arriver \u00e0 l’ex\u00e9cution de la charge, et une partie du texte de ces fen\u00eatres peut alerter l’utilisateur sur l’aspect malveillant de la situation. Ces aspects peuvent limiter l’efficacit\u00e9 de la technique, mais l’analyse montre \u00e9galement que les cybercriminels ne s’arr\u00eatent pas \u00e0 ce genre de consid\u00e9rations et sont pr\u00eats \u00e0 tout essayer pour surprendre leurs cibles.<\/p>\n

Il reste possible d’\u00e9liminer compl\u00e8tement l’apparition des bo\u00eetes de dialogue en d\u00e9sactivant la fonctionnalit\u00e9 de mise \u00e0 jour des liaisons DDE \u00e0 l’ouverture d’un document.<\/p>\n

Les particuliers peuvent se prot\u00e9ger en d\u00e9cochant la case Mettre \u00e0 jour les liaisons \u00e0 l’ouverture<\/strong> des options avanc\u00e9es des programmes Office :
\"\"<\/p>\n

Ce param\u00e8tre est contr\u00f4lable par strat\u00e9gie de groupe (GPO) pour les d\u00e9ploiements \u00e0 plus grande \u00e9chelle. Il est dans un premier temps n\u00e9cessaire d’installer les mod\u00e8les d’administration Office. Il faut ensuite cr\u00e9er un objet strat\u00e9gie de groupe, et suivre l’arborescence Configuration utilisateur > Mod\u00e8les d’administration<\/strong>. A partir de l\u00e0, s\u00e9lectionner les produits \u00e0 configurer et param\u00e9trer l’option de mise \u00e0 jour des liaisons sur\u00a0D\u00e9sactiver<\/strong>.
\"\"<\/p>\n

Cas d’Outlook<\/h3>\n

Ce n’\u00e9tait pas le cas dans la campagne observ\u00e9e, mais un champ DDE peut \u00e9galement \u00eatre inclus directement dans le corps d’un e-mail, sans passer par une pi\u00e8ce jointe. Un nouveau facteur limitant appara\u00eet alors pour l’exploitation : la mise \u00e0 jour des liaisons s’effectue uniquement lorsque l’e-mail est ouvert en mode \u00e9ditable, c’est-\u00e0-dire pour y r\u00e9pondre ou le transf\u00e9rer.<\/p>\n

Il n’existe pas d’option directement int\u00e9gr\u00e9e dans Outlook ou au niveau des mod\u00e8les d’administration pour bloquer ce comportement, il est n\u00e9cessaire de passer par une modification de la base de registre. Il reste possible de d\u00e9ployer ce changement par strat\u00e9gie de groupe, en passant par l’arborescence Configuration utilisateur > Pr\u00e9f\u00e9rences > Param\u00e8tres Windows > Registre<\/strong> de l’\u00e9diteur d’objets GPO. Il faut ensuite cr\u00e9er un nouvel \u00e9l\u00e9ment Registre avec les param\u00e8tres suivants :<\/p>\n