O niezwykle interesującym i dość wyrafinowanym rodzaju ataku, pozwalającym na eksfiltrację danych z maszyn potencjalnych ofiar, poinformował pod koniec sierpnia badacz bezpieczeństwa – Bobby Rauch. Technika użyta do ataku, nazwana została GIFShell i jest o tyle ciekawa i niebezpieczna, że jako „pośrednika” w samym ataku oraz następującej po nim fazie eksfiltracji danych, wykorzystuje infrastrukturę Microsoft, z której korzysta aplikacja MS Teams.
Sam atak możliwy jest dzięki wykorzystaniu kilku luk w zabezpieczeniach MS Teams. Jego pierwszą fazą jest dostarczenie na komputer ofiary tzw. stagera, czyli złośliwego kodu, który w kolejnych fazach ataku będzie służył jako reverse shell do wykonywania komend przekazanych przez atakującego. W kolejnym kroku atakujący wysyła do ofiary w wiadomości MS Teams złośliwy plik GIF, który został spreparowany za pomocą skryptu w Pythonie tak, aby zawierał komendę do wykonania na maszynie docelowej. Wiadomość ta jest następnie zapisywana w dziennikach MS Teams w lokalizacji dyskowej, która jest stale nasłuchiwana przez stagera. Ten odczytuje wiadomość, dekoduje zawartą w niej w base64 komendę do wykonania, wykonuje ją, a wynik konwertuje do base64. Powstały w ten sposób ciąg znaków, wykorzystywany jest jako nazwa dla kolejnego pliku GIF, który wysyłany jest do publicznego webhooka MS Teams atakującego. Informacja o pliku GIF (m.in. jego nazwa) przesyłana jest do serwera GIFShell atakującego, który dekoduje nazwę pliku będącą wynikiem polecenia, wykonanego na maszynie ofiary. Odkrywca opisanej techniki zgłosił ten fakt do Microsoftu jeszcze w pierwszej połowie roku, zwracając uwagę na luki w MS Teams, dzięki którym możliwy jest atak. Firma z Redmond jednak nie załatała jednak tych luk, zwracając uwagę że Teams wykorzystywany jest tutaj w fazie post-eksploitacyjnej na wcześniej skompromitowanej maszynie.
Źródło:
