Anche se Microsoft è riuscita a introdurre diversi meccanismi di protezione nel pacchetto Office, è vero che le infezioni attraverso i suoi componenti principali (con Word e Excel in testa) non hanno mai abbandonato completamente la scena. I team di McAfee e FireEye hanno segnalato questo fine settimana una nuova vulnerabilità zero-day che sembra colpire tutte le versioni di Word. L'unica cosa di cui un attaccante ha bisogno per sfruttare questo bug è un documento in formato RTF che costringe Word a scaricare un'applicazione HTML (.HTA), la quale a sua volta installa malware in background.
Il concetto del "Cavallo di Troia" è uno dei più antichi quando si tratta di infettare un computer. L'utente pensa che un file svolga una determinata funzione o abbia un formato specifico, e quando fa doppio clic... trova la sorpresa. Purtroppo, il senso comune ha limiti, perché esiste la possibilità che il file infetto arrivi tramite un contatto di fiducia, che non ha idea della sua partecipazione involontaria alla distribuzione di malware. Questo è molto frequente tra utenti che dipendono da strumenti come il pacchetto Office. Una buona parte delle infezioni tramite Word ed Excel richiede l'attivazione di macro o altri meccanismi, ma l'ultimo bug rilevato in circolazione si è dimostrato molto più robusto.
La vulnerabilità
McAfee e FireEye hanno segnalato durante il fine settimana una nuova serie di attacchi che coinvolgono un documento in formato RTF. Il documento contiene un oggetto OLE e, una volta aperto, Word procede a scaricare un'applicazione HTML (con estensione .hta) da un server remoto. Da lì, il file .hta esegue il suo script dannoso e, nel tentativo di nascondere le sue azioni, presenta all'utente un documento falso, come se non fosse successo nulla di strano. La cosa più notevole è che questo attacco riesce a superare tutte le protezioni esistenti (anche se l'utente lavora su Windows 10), funziona su tutte le versioni di Word e non richiede la già menzionata attivazione delle macro.
Raccomandazioni
Il team di FireEye è rimasto in contatto con Microsoft per diverse settimane e hanno concordato di non pubblicare dati sullo zero-day fino a quando la patch non sarà pronta, ma McAfee li ha battuti sul tempo, indicando che i primi attacchi sono stati registrati a fine gennaio. L'ideale sarebbe non aprire documenti che ci arrivano da fonti non attendibili, ma ciò che McAfee e FireEye raccomandano (almeno fino all'applicazione dell'hotfix) è di aprire il contenuto usando la funzione di Visualizzazione protetta.
McAfee
FireEye
