Obwohl Microsoft in der Office-Suite verschiedene Schutzmechanismen eingebaut hat, sind Infektionen über ihre Hauptkomponenten (allen voran Word und Excel) nie ganz von der Bildfläche verschwunden. Die Teams von McAfee und FireEye haben am Wochenende eine neue Zero-Day-Verwundbarkeit gemeldet, die offenbar alle Versionen von Word betrifft. Um diese Sicherheitslücke auszunutzen, benötigt ein Angreifer nur ein RTF-Dokument, das Word dazu zwingt, eine HTML-Anwendung (.HTA) herunterzuladen, die wiederum Malware installiert im Hintergrund.
Das Konzept des „Trojanischen Pferdes“ gehört beim Infizieren eines Computers zu den ältesten. Der Benutzer glaubt, dass eine Datei einer bestimmten Funktion dient oder ein bestimmtes Format hat – und beim Doppelklick wartet die Überraschung. Leider sind dem gesunden Menschenverstand Grenzen gesetzt, denn die infizierte Datei kann über einen vertrauenswürdigen Kontakt ins Haus flattern, der keine Ahnung von seiner unbeabsichtigten Beteiligung an der Verteilung von Malware hat. Das ist bei Benutzern, die auf Werkzeuge wie die Office-Suite angewiesen sind, besonders häufig. Ein Großteil der Infektionen über Word und Excel erfordert die Aktivierung von Makros oder einen anderen Mechanismus, doch der zuletzt entdeckte Schädling hat sich als weitaus robuster erwiesen.
So funktioniert der Angriff
McAfee und FireEye meldeten am Wochenende eine neue Angriffsserie, die ein RTF-Dokument betrifft. Das Dokument enthält ein OLE-Objekt, und sobald es geöffnet wird, lädt Word eine HTML-Anwendung mit der Erweiterung .hta von einem entfernten Server herunter. Von dort führt die .hta-Datei ihr bösartiges Skript aus und präsentiert dem Benutzer, um ihre Aktionen zu verschleiern, ein gefälschtes Dokument, als wäre nichts geschehen. Besonders bemerkenswert: Der Angriff durchdringt alle vorhandenen Schutzmechanismen – selbst wenn der Benutzer unter Windows 10 arbeitet –, funktioniert in allen Word-Versionen und erfordert keine Aktivierung von Makros.
Das FireEye-Team stand mehrere Wochen in Kontakt mit Microsoft und vereinbarte, bis zur Fertigstellung des Patches keine Details über die Sicherheitslücke zu veröffentlichen. Doch McAfee kam ihnen zuvor und vermeldete, dass die ersten Angriffe bereits Ende Januar registriert wurden. Am besten ist es, keine Dokumente von unzuverlässigen Quellen zu öffnen. Was McAfee und FireEye empfehlen (zumindest bis der Hotfix angewendet wird), ist das Öffnen des Inhalts mithilfe der geschützten Ansicht.
Weitere Informationen: McAfee und FireEye.
