ahmed-tarek22752/RCE-CVE-2017-0199-detection-analysis
GitHub: ahmed-tarek22752/RCE-CVE-2017-0199-detection-analysis
一个针对 CVE-2017-0199 恶意 DOCX 样本的蓝队恶意软件分析项目，提供从沙箱引爆到 IOC 提取和检测规则生成的完整端到端报告。
Stars: 1 | Forks: 0
🛡️ BankPaymAdviceVend.Report.docx CVE-2017-0199 – 完整蓝队沙箱分析
高级恶意软件引爆 • 漏洞利用行为 • IOC • 检测工程
# 🎯 1. 执行摘要
本仓库记录了一个利用 **CVE-2017-0199** Microsoft Office RCE 漏洞的**真实恶意 DOCX** 文件。 该样本在 **Windows 10 ANY.RUN 沙箱**中被引爆，暴露出以下信息：
✔ 完整漏洞利用链 ✔ 到恶意域名的网络回调 (**tt.vg**) ✔ 释放的文件与临时工件 ✔ JA3 指纹 ✔ 注册表活动 ✔ 来自 WINWORD.EXE 的 HTTP/HTTPS 信标 ✔ 完整的蓝队 IOC 与检测规则
🔍 10. 检测思路 (Sigma / Suricata / EDR)
本节将 BankPaymAdviceVend.Report.docx 的技术分析转化为实用的、可用于生产环境的检测工件，SOC 或 蓝队 可以立即部署它们。 它包括 Sigma 规则、Suricata IDS 特征码 和 EDR 狩猎查询。
🧾 10.1 Sigma 规则 — WINWORD → tt.vg
此 Sigma 规则用于检测 Windows 网络日志中由 WINWORD.EXE 向可疑短域名 tt.vg 发起的任何网络连接。
title: WINWORD Connecting To Suspicious Short Domain tt.vg
id: 0b2a5f3d-ttvg-word
status: experimental
logsource:
category: network_connection
product: windows
detection:
selection:
Image|endswith: '\WINWORD.EXE'
DestinationHostname: 'tt.vg'
condition: selection
level: high
tags:
- attack.command_and_control
- attack.t1071.001
- cve.2017.0199
💡 任何过时的 Office 系统通过 WINWORD.EXE 联系 tt.vg
都应触发立即调查。
🌐 10.2 Suricata 规则 — tt.vg 上的 HTTP GET /BVhaS
一条 Suricata IDS 规则，用于识别源自 Office 的、对恶意域名 tt.vg 的 GET /BVhaS 请求。
这可以捕获漏洞利用尝试获取 payload 的行为。
alert http $HOME_NET any -> $EXTERNAL_NET any (
msg:"C2 – Office WINWORD GET /BVhaS on tt.vg";
flow:established,to_server;
http.method; content:"GET";
http.uri; content:"/BVhaS"; nocase;
http.host; content:"tt.vg"; nocase;
http.user_agent; content:"MSOffice"; nocase;
reference:cve,2017-0199;
classtype:trojan-activity;
sid:4200010;
rev:1;
)
🔥 在使用 Suricata 或 Zeek 监控出站流量的环境中非常有效。
🛰️ 10.3 EDR 狩猎查询 — WINWORD + tt.vg 指标
一条 KQL (Microsoft Defender) 狩猎查询，用于识别环境中任何显示出类似向 tt.vg 或其关联 IP 地址进行恶意信标活动的机器。
DeviceNetworkEvents
| where InitiatingProcessFileName == "WINWORD.EXE"
| where RemoteUrl in ("tt.vg")
or RemoteIp in ("188.114.96.3","188.114.97.3","172.67.138.42")
🎯 目的：将单次沙箱引爆扩展为全企业范围的狩猎。
🧩 11. 本实验展示的内容
本实验展示了您端到端分析真实世界 钓鱼 DOCX 样本的能力，遵循完整的 SOC 级方法论：
- 了解 CVE-2017-0199 如何在 Microsoft Word 内部被触发。
- 追踪
WINWORD.EXE如何成为意料之外的 HTTP/S 客户端。 - 提取 网络 IOC（域名、URL、IP、JA3 TLS 哈希）。
- 分析 释放的文件、最近的快捷方式 和 注册表访问 以获取取证价值。
- 将所有发现转化为 Sigma、Suricata 和 EDR 狩猎查询。
换句话说——本实验并没有止步于引爆。 它像专业的 SOC 分析师一样，提取了、可操作的检测情报。
由 Ahmed Tarek 设计与编写 — 蓝队