Bien que Microsoft ait intégré plusieurs mécanismes de protection dans la suite Office, les infections via ses composants principaux (Word et Excel en tête) n'ont jamais complètement disparu. Les équipes de McAfee et de FireEye ont signalé ce week-end une nouvelle vulnérabilité 0-day qui affecte apparemment toutes les versions de Word. Pour exploiter ce bug, un attaquant n'a besoin que d'un document au format RTF qui force Word à télécharger une application HTML (.HTA), laquelle installe ensuite un malware en arrière-plan.
Le concept du « cheval de Troie » est l'un des plus anciens en matière d'infection d'un ordinateur. L'utilisateur pense qu'un fichier remplit une certaine fonction ou possède un format spécifique, et lorsqu'il double-clique... il découvre la surprise. Malheureusement, le bon sens a ses limites, car il est possible que le fichier infecté provienne d'un contact de confiance, qui n'a aucune idée de sa participation involontaire à la distribution de malware. Cela est très fréquent chez les utilisateurs qui dépendent d'outils comme la suite Office. Une bonne partie des infections via Word et Excel nécessitent l'activation de macros ou un autre mécanisme, mais le dernier bug détecté en circulation s'est révélé bien plus robuste.
McAfee et FireEye ont signalé ce week-end une nouvelle série d'attaques impliquant un document au format RTF. Le document contient un objet OLE, et une fois ouvert, Word télécharge une application HTML (avec l'extension .hta) depuis un serveur distant. À partir de là, le fichier .hta exécute son script malveillant et, dans une tentative de masquer ses actions, présente à l'utilisateur un faux document, comme si rien d'anormal ne s'était produit. Le plus frappant est que cette attaque parvient à contourner toutes les protections existantes (même si l'utilisateur travaille sous Windows 10), fonctionne sur toutes les versions de Word et ne nécessite pas l'activation des macros mentionnée précédemment.
L'équipe de FireEye est restée en contact avec Microsoft pendant plusieurs semaines et a convenu de ne pas publier de données sur le 0-day avant que le correctif ne soit prêt, mais McAfee les a devancés, indiquant que les premières attaques ont été enregistrées fin janvier. L'idéal serait de ne pas ouvrir de documents provenant de sources non fiables, mais ce que McAfee et FireEye recommandent (au moins jusqu'à l'application du correctif) est d'ouvrir le contenu en utilisant la fonction de Vue protégée.
