A biztonsági kutató leírja az Office biztonsági rését, amely nem igényli a makró végrehajtását

PB Tech

Jerome Segura, a Malwarebytes-szel együttműködő vezető biztonsági kutató kitalálta, hogyan lehet megkerülni a Microsoft Office biztonsági védelmét egy makrót nem igénylő támadási vektor felhasználásával. Ez olyan kutatóknak a sarkán áll, akik nemrégiben olyan módszereket találtak, amelyek makroprogramokat használnak az Access adatbázisok visszaélésére.

Ha egy beállítási fájlt beágyaz egy Office-dokumentumba, a támadók a social engineering segítségével elérhetik, hogy a felhasználók veszélyes kódot futtassanak további értesítések nélkül. Amikor a technika működik, a Windows nem dob fel hibaüzeneteket. Még a rejtélyeseket is meg lehet kerülni, ami segít elrejteni azt a tényt, hogy bármi történik.

A Windows 10-re jellemző fájlformátum XML-kódot tartalmaz, amely parancsikonokat hozhat létre a kisalkalmazások számára a Vezérlőpulton. Ez a formátum .SettingContent.ms nem létezett a Windows korábbi verzióiban. Ennek eredményeként nem szabad kiszolgáltatnia őket ennek a kiaknázásnak, amennyire a kutatók tudják.

Azok sem, akik az Office-t a Wine alkalmazás kompatibilitási réteg használatával telepítették, nem tapasztalhatnak problémákat, függetlenül attól, hogy GNU / Linuxot vagy macOS-t használnak. A fájlban lévő XML elemek egyike azonban pusztítást okozhat a csupasz fémeken futó Windows 10 gépekkel.

A DeepLink, mivel az elem ismert, lehetővé teszi a bináris futtatható kötegek végrehajtását akkor is, ha kapcsolók és paraméterek vannak utánuk. A támadó felhívhatja a PowerShellt, majd adhat hozzá valamit, hogy tetszőleges kódot hajthasson végre. Ha jobban szeretnék, akkor akár felhívhatnák az eredeti parancsértelmezőt is, és ugyanazt a környezetet használhatják, amellyel a Windows parancssora az NT kernel legkorábbi verziói óta biztosítja a kódolókat.

Ennek eredményeként egy kreatív támadó elkészíthetett egy törvényesnek tűnő dokumentumot, és úgy tehetne, mintha valaki más lenne, annak érdekében, hogy az emberek rákattintsanak egy linkre. Ez például hozzászokhat a kriptomináló alkalmazások letöltéséhez az áldozat gépére.

Lehet, hogy egy fájlt is el akarnak küldeni egy nagy spam kampány útján. Segura azt javasolta, hogy ezzel biztosítani kell a klasszikus társadalmi mérnöki támadások hamarosan kiesését a divatból. Míg egy ilyen fájlt számtalan felhasználónak el kell terjesztenie annak biztosítása érdekében, hogy néhányan lehetővé tegyék a kódfuttatást, ezt valami másnak álcázva lehetővé kell tenni.