Embora a Microsoft tenha introduzido vários mecanismos de proteção no pacote Office, as infecções por meio de seus principais componentes (com Word e Excel à frente) nunca desapareceram completamente. As equipes da McAfee e da FireEye relataram neste fim de semana uma nova vulnerabilidade 0-day que aparentemente afeta todas as versões do Word. Tudo o que um invasor precisa para explorar esse bug é um documento em formato RTF que força o Word a baixar um aplicativo HTML (.HTA), que por sua vez instala malware em segundo plano.
O conceito do "Cavalo de Troia" é um dos mais antigos na hora de infectar um computador. O usuário pensa que um arquivo cumpre determinada função ou tem um formato específico e, ao dar dois cliques, encontra a surpresa. Infelizmente, o bom senso tem limites, pois existe a possibilidade de o arquivo infectado chegar por meio de um contato de confiança, que não faz ideia de sua participação involuntária na distribuição de malware. Isso é muito comum entre usuários que dependem de ferramentas como o pacote Office. Boa parte das infecções via Word e Excel exige a ativação de macros ou outro mecanismo, mas o último bug detectado em circulação se mostrou muito mais robusto.
McAfee e FireEye relataram durante o fim de semana uma nova série de ataques que envolvem um documento em formato RTF. O documento contém um objeto OLE e, uma vez aberto, o Word baixa um aplicativo HTML (com extensão .hta) de um servidor remoto. A partir daí, o arquivo .hta executa seu script malicioso e, na tentativa de ocultar suas ações, apresenta ao usuário um documento falso, como se nada de estranho tivesse acontecido. O mais chamativo é que esse ataque consegue atravessar todas as proteções existentes (mesmo se o usuário trabalhar no Windows 10), funciona em todas as versões do Word e não exige a mencionada ativação de macros.
A equipe da FireEye manteve contato com a Microsoft por várias semanas e eles concordaram em não publicar dados sobre o 0-day até o patch ficar pronto, mas a McAfee se adiantou, indicando que os primeiros ataques foram registrados no final de janeiro. O ideal seria não abrir documentos recebidos de fontes não confiáveis, mas o que McAfee e FireEye recomendam (pelo menos até a aplicação do hotfix) é abrir o conteúdo usando a função de Exibição Protegida.
