Base64

Podría decirse que Base64 es el medio más sencillo de incrustar contenido de carga útil en un archivo HTML. Podemos ver un gran ejemplo de esto en el blog de Outflank. Outflank también proporciona un archivo de prueba que demuestra esta técnica.

Desde un punto de vista defensivo, es relativamente trivial identificar los tipos de archivos comunes que han sido codificados en Base64, en función de los primeros bytes codificados (es decir, el encabezado del archivo). Un par de ejemplos incluyen:

• TV... — Encabezado codificado 'MZ' de un archivo ejecutable.
• UE... — Encabezado 'PK' codificado de un archivo Zip (o del nuevo formato de documentos de Office).

Se puede encontrar una muestra de esto para probar por correo electrónico y entrega de enlace en la colección de delivr.to aquí.

Base64 invertido

Una forma sencilla de mejorar (ligeramente) la evasión anterior es invertir la cadena de carga útil codificada en Base64. Esto es algo que se ha visto en la entrega de Qakbot recientemente. El código es bastante similar al primer ejemplo de Outflank, solo que con una función adicional que invierte la cadena codificada antes de iniciar la descarga del archivo local.

Si bien esto oscurece un poco la carga útil, aún es trivial detectar de manera confiable estas cadenas cuando sabemos qué buscar. Aquí se puede encontrar una muestra de esto para probar por correo electrónico; y una demostración en vivo que pasa de contrabando un ISO.

Hexadecimal

Una forma alternativa de representar el contenido de carga útil, también observada en la naturaleza, es en una matriz de bytes hexadecimales, en lugar de las cadenas codificadas anteriores. Con la función JavaScript fromCharCode, se puede convertir los caracteres hexadecimales de la matriz en los bytes sin procesar del archivo original, antes de pasar a funciones posteriores para activar la descarga.

Desde un punto de vista ofensivo, claramente se ha eliminado el contenido de cadenas codificado en Base64. Pero, este enfoque sigue siendo solo otra representación del contenido de archivo predecible (es decir, encabezados de archivo), como podemos ver en los primeros bytes de la matriz, 0x50 y 0x4b, que cuando se convierten de hexadecimal producen el encabezado de archivo PK de un ZIP.

Aquí se puede encontrar una muestra de esto para probar por correo electrónico y entregar enlaces en la y una demostración en vivo que pasa de contrabando un ISO comprimido.

XOR

Al mejorar la estrategia de codificación, podemos recurrir al cifrado para proteger nuestra la útil y eliminar las cadenas reveladoras (¡o caracteres hexadecimales!) que indican el contenido del archivo. Uno de esos métodos de cifrado visto por los actores de amenazas es un cifrado XOR. Podemos ver un ejemplo de esto aquí (¡se usa Google Drive, del que se abusa comúnmente!).

En particular, el malware NOBELIUM emplea esta técnica XOR. Aquí se puede encontrar una muestra de esto para probar por correo electrónico y, aquí una demostración en vivo que pasa de contrabando un ISO comprimido aquí.

Entrega de carga útil

Suponiendo que un actor de amenazas pueda evadir un escáner estático con la ofuscación de la carga útil anterior, deberá concentrarse en cómo iniciar el desempaquetado y la entrega del payload, mientras toma medidas para asegurarse de que evade el análisis de la zona de pruebas.

Descarga en línea

Las muestras recientes (abril de 23) de Qakbot han aprovechado las descargas activadas por botones de archivos de secuencias de comandos de contrabando (por ejemplo, secuencias de comandos WSF). Un ejemplo de esto se puede ver aquí.

En lugar de aprovechar algunos de los mecanismos de entrega y ofuscación de carga útil más complicados observados anteriormente, esta técnica incorpora la carga útil codificada en Base64 en línea en un elemento de anclaje HTML (etiqueta <a>) que se puede usar junto con un botón o similar. La técnica es bastante concisa y se puede demostrar fácilmente.

Fuente: Delivr.to 

Vía:

https://blog.segu-info.com.ar/2023/06/metodos-de-html-smuggling-para.html