Detecci%C3%B3n_APT

0
1
2
3
frtHeader
...
...
4
5
6
7
8
9
1
0
1
2
3
4
isf reserved cbHdrData
5
6
... rgbHdrData (variable)
...
Esta estructura está formada por:
frtHeader: tamaño de 12 bytes y debe estar en 0x0867.
isf: tamaño de 2 bytes. Campo que indica el tipo de SharedTypeEnum
debe ser ISFPROTECTION, ISFFEC2 or ISFFACTOID.
reserved: tamaño de 1 byte. Debe ser 1.
cbHdrData: Tamaño de 4 bytes. Nos indica si rgbHdrData existe
(valores 0x00000000 ó 0xFFFFFFFF).
rgbHdrData: De tamaño variable. El valor de este campo viene marcado
por isf y por el campo dt del BOF anterior (El campo dt (2 bytes):
An unsigned integer that specifies the document type of the
substream of records following this record)
La vulnerabilidad reportada se aprovecha si el fichero Excel contiene un tamaño
inválido en la estructura cbHdrData.
Un ejemplo de contenido de esta cabecera en un fichero malicioso se puede ver a
continuación:
7
8
9
2
0
1
2
3
4
5
6
7
8
9
3
0
34
1