Security By Default View RSS

Microsoft Anti Ransomware bypass (not a vulnerability for Microsoft) 31 Jan 2018 12:53 AM (7 years ago)

Since Windows 10 Fall Creators Update, Microsoft added protection for Ransomware in their product ‘Windows Defender’.

This new feature uses a granular access control to several folders with the purpose to block changes made from untrusted software.

In the same way than firewalls do with programs that want to make connections (allow/block) Windows Defender uses the same approach to allow/block access to the folders, giving (theoretically) a very good protection to Ransomware attacks.

By default Microsoft has a pre-defined list with the software that is allowed to make changes in protected folders. Users could add new programs that could made changes.

More info about Microsoft Anti Ransomware here

Vulnerability

By default, Office executables are included in the whitelist so these programs could make changes in protected folders without restrictions.

This access level is granted even if a malicious user uses OLE/COM objects to drive Office executables programmatically.

So a Ransomware developer could adapt their software to use OLE objects to change / delete / encrypt files invisibly for the files owner.

Consider this python code:

file = open('C:/Users/YJ/Documents/test.docx','w')
file.write('Random text.')
file.close() 

It tries to open a file located in a protected folder (Documents) to write it

If you try to use it with Defender ransomware protection activated they raise an error and access is denied because Python.exe is not allowed to make changes in the protected folder


But this python code:

import win32com.client
filetoberansom = r'C:/Users/YJ/Documents/test.docx'
word = win32com.client.Dispatch("Word.Application")
word.visible = 0
doc = word.Documents.Open(filetoberansom)
word.Documents.Item(1).Password= '12345678'
word.Documents.Item(1).Save()
word.Documents.Item(1).Close()
word.Application.Quit()

Do the magic !

1. open the file
2. encrypt it with password 12345678 (using native Office Document protection)  
3. save it

Why ? Because this code uses OLE Word Object to do the work, so in fact is Word who is doing the job :)

Using this technique an attacker could perform a Ransomware attack bypassing Windows Defender protection activating the native encryption feature of Microsoft Office.

In a environment with Office+Windows (the most common) Microsoft Anti Ransom is totally useless

Another possibility is:

• Using  Selection.Copy method to copy the content of a protected file
• Using Selection.Paste to put the content in another file outside protected folders
• Then delete content of the original file or put a Ransomware note  
• Encrypt the new file as ransomware does

Notice that Office could be used to edit PDF files, Image files and others type of files not strictly related to Office documents

Microsoft answer

I have notified to Microsoft on 23 January and on 31 I got this response


The most relevant part is:

We aren't classifying this as a security vulnerability because Defender Exploit Guard isn't meant to be a security boundary

But if you read this Microsoft defines Exploit guard as 'Windows system and application exploit mitigations using Windows Defender Exploit Guard (WDEG)'

Also relevant

'Instead, we will address this through an improvement to the Controlled Folder Access functionality' 

That really means Microsoft will fix the vulnerability that should be clasified as Mitigation bypass without acknowledgment

Reflexiones personales sobre #cazadoresdetrolls 29 Mar 2017 3:34 AM (8 years ago)

• Por una parte, la actuación ante el caso de Luisa, en el que si quieres ceñirte a la legalidad de lo que puedes y lo que no puedes emitir en público, y sobre todo sin herramientas que puedan tener las FCSE (cuando tienen una orden judicial que así lo autorice) a la hora de solicitar a Twitter direcciones IP de la actividad de un perfil, a las páginas web desde las que se crean los anuncios falsos, etc,... lo que hizo Enrique no es una mala forma de enfocarlo. Realmente, es que no se me ocurren muchas más. Obviamente, es ilegal comprometer el ordenador del troll en base a que abra un enlace o descargue un fichero con algún veneno, por lo que, si el objetivo es publicarlo en TV, esas acciones quedan descartadas de antemano. En este punto, me parece que las acciones de Enrique, y que lo mostrado haya sido o no real, no son un mal camino.

• Sobre la puesta en escena, pues está claro: Es televisión. No "mola" lo mismo que todo esto se haga desde una casa o una oficina, que montar un atrezzo en una furgoneta con papeles por los cristales en los que parezca que estás haciendo algo fraudulento/ilegal/oscuro/oculto... y por qué no decirlo "de hackers". En varias ocasiones han venido periodistas de diferentes cadenas a las oficinas de Securízame, a grabar para algún reportaje, un telediario u otros programas, y una de las cosas que te piden es que tengas algún fondo con algo relacionado. En mi caso suelo poner un top en un sistema Linux o la GUI de Snort y que se vean alertas de colores saliendo, y así todos contentos.  

• El montaje: Este sin duda es el mayor de los miedos que tienes cuando te han grabado durante media hora hablando (o dos horas como me pasó el otro día), y el producto final mostrado al televidente, que durará 10 segundos si estamos hablando de un noticiero, o como mucho dos minutos en el caso de un reportaje, en los que quienes llevan a cabo este trabajo, generalmente buscan una frase, una afirmación o algo que hayas dicho que resuma todo lo anterior. El problema es que generalmente, si no se ha visto lo anterior, lo que se emite está fuera de contexto, y quien no se ha pegado todo el tiempo grabando contigo, puede llegar a decir: ¿En serio Lorenzo ha dicho esto?  Pero ojo que esto también te puede pasar cuando te llegan preguntas para una entrevista en un medio escrito o de radio. De hecho, en más de una ocasión he aprovechado el blog para publicar la entrevista completa o lo que realmente quise haber podido decir en un programa, y que generalmente por limitaciones de tiempo no se ha podido, sobre todo con la finalidad de que quien haya visto un programa o leído una entrevista, no se queden con unas declaraciones que se puedan calificar de poco técnicas o rigurosas, puesto que al estar destinadas a un público generalista y no-técnico, te tienes que esmerar en explicarlo de forma muy sencilla, pero sin perder el rigor de lo que dices. Y creedme: NO es fácil hacerlo. 

• Sobre la legalidad de lo que te piden: En general, las peticiones de apariciones en medios que me llegan son para dar una opinión técnica (dentro de lo que se puede) sobre alguna noticia que afecte a la seguridad o privacidad de las personas, como pueden ser filtraciones de credenciales, de datos personales, o que supongan algún riesgo como el IoT, o algo explicativo como puede ser la utilización de TOR. 

Casos reales

Conclusiones

Próximos eventos de formación presencial de seguridad en Securízame 16 Feb 2017 8:32 PM (8 years ago)