Исследователи Elastic Security обнаружили новую методику выполнения кода, названную GrimResource, которая использует специально созданные MSC-файлы. Эта техника позволяет злоумышленникам выполнить произвольный код в Microsoft Management Console (mmc.exe) с минимальными предупреждениями безопасности. Исследователи предоставили анализ этой техники и руководство по обнаружению для защиты от нее.
Описание
Техника GrimResource использует старый XSS-дефект в библиотеке apds.dll. Злоумышленники добавляют ссылку на уязвимый ресурс APDS в фальшивый MSC-файл, что позволяет им выполнить произвольный JavaScript в контексте mmc.exe. Также могут быть использованы техники обфускации, чтобы обойти предупреждения безопасности ActiveX.
Далее, злоумышленники используют DotNetToJs для выполнения встроенного .NET-загрузчика, названного PASTALOADER. PASTALOADER извлекает полезную нагрузку из переменных окружения, которые были заданы ранее в VBScript. Затем, PASTALOADER запускает новый экземпляр dllhost.exe и внедряет полезную нагрузку, такую как Cobalt Strike.
Этот новый метод GrimResource обладает низким уровнем обнаружения среди антивирусных программ и представляет угрозу безопасности.
Индикаторы компрометации
