Chociaż Microsoft wprowadził wiele mechanizmów ochrony w pakiecie Office, infekcje za pośrednictwem jego głównych składników (głównie Worda i Excela) nigdy całkowicie nie zniknęły. Zespoły McAfee i FireEye poinformowały w ten weekend o nowej luce typu zero-day, która najwyraźniej dotyczy wszystkich wersji Worda. Do wykorzystania tej luki wystarczy dokument w formacie RTF, który zmusza Worda do pobrania aplikacji HTML (z rozszerzeniem .HTA), a ta z kolei instaluje złośliwe oprogramowanie w tle.
Nowy atak z wykorzystaniem dokumentów RTF
Koncepcja konia trojańskiego jest jedną z najstarszych przy infekowaniu komputera. Użytkownik myśli, że plik pełni określoną funkcję lub ma określony format, a gdy kliknie dwukrotnie... spotyka go niespodzianka. Niestety, zdrowy rozsądek ma ograniczenia, ponieważ istnieje możliwość, że zainfekowany plik dotrze od zaufanego kontaktu, który nie ma pojęcia o swoim mimowolnym udziale w dystrybucji złośliwego oprogramowania. Jest to bardzo częste wśród użytkowników korzystających z narzędzi takich jak pakiet Office. Znaczna część infekcji za pośrednictwem Worda i Excela wymaga aktywacji makr lub innego mechanizmu, ale najnowszy wykryty błąd okazał się znacznie bardziej odporny.
McAfee i FireEye poinformowały w ten weekend o nowej serii ataków wykorzystujących dokument w formacie RTF. Dokument zawiera obiekt OLE, a po otwarciu Word pobiera aplikację HTML (z rozszerzeniem .hta) z zdalnego serwera. Od tego momentu plik .hta wykonuje swój złośliwy skrypt i w próbie ukrycia swoich działań pokazuje użytkownikowi fałszywy dokument, jakby nic się nie stało. Najbardziej uderzające jest to, że ten atak jest w stanie ominąć wszystkie istniejące zabezpieczenia (nawet jeśli użytkownik pracuje w systemie Windows 10), działa we wszystkich wersjach Worda i nie wymaga wcześniejszej aktywacji makr.
Zespół FireEye utrzymywał kontakt z Microsoftem przez kilka tygodni i zgodził się nie publikować danych na temat luki zero-day, dopóki nie będzie gotowa poprawka, ale McAfee ich ubiegło, informując, że pierwsze ataki odnotowano pod koniec stycznia. Idealnie byłoby nie otwierać dokumentów pochodzących z niepewnych źródeł, ale to, co zalecają McAfee i FireEye (przynajmniej do czasu zastosowania poprawki), to otwieranie zawartości z użyciem funkcji widoku chronionego.
McAfee, FireEye.
