Nouă vulnerabilitate exploatată pentru a ataca prin intermediul documentelor Microsoft Office

Experții Microsoft au emis un avertisment cu privire la o nouă vulnerabilitate  în Microsoft MHTML (cunoscut și ca Trident), motorul proprietar al browserului Internet Explorer. Problema este deja exploatată în atacuri reale împotriva utilizatorilor Office 365 și Office 2019 pe Windows 10. Nu există încă niciun patch.

Vulnerabilitatea a fost identificată ca CVE-2021-40444 și afectează Windows Server 2008-2019 și Windows 8.1-10 (8,8 din 10 pe scara CVSS). Deși MHTML a fost utilizat în principal pentru browserul Internet Explorer, este utilizat și în aplicațiile Office pentru a reda conținut bazat pe web în documente Word, Excel și PowerPoint.

„Microsoft este conștient de atacurile direcționate care încearcă să exploateze această vulnerabilitate folosind documente Microsoft Office special create”, avertizează compania.

După cum explică reprezentanții Microsoft, folosind această eroare, un atacator poate crea o componentă ActiveX dăunătoare care va fi utilizată de un document Microsoft Office și procesată de MHTML. Un atacator trebuie doar să convingă utilizatorul să deschidă un astfel de fișier rău intenționat, după care atacul poate fi considerat un succes.

Trebuie remarcat faptul că atacul nu va funcționa dacă Microsoft Office rulează cu configurația implicită și documentele sunt deschise prin Protected View sau Application Guard pentru Office 365. De exemplu, Protected View este un mod numai în citire, în care majoritatea funcțiilor de editare sunt dezactivate, iar Application Guard izolează documentele care nu au încredere, împiedicându-le să acceseze resursele corporative, rețeaua internă și alte fișiere din sistem. Astfel, sistemele cu Microsof Defender Antivirus și Defender for Endpoint active (versiunea 1.349.22.0 și mai recentă) trebuie protejate împotriva vulnerabilității.

0-day a fost descoperit de cercetătorii de la Mandiant și EXPMON. Mai mult, experții EXPMON care monitorizează exploatările scriu pe Twitter că au descoperit vulnerabilitatea atunci când au analizat un „atac foarte complex de 0 zile” destinat utilizatorilor Microsoft Office.

Specialistul EXPMON, Haifei Li, a declarat pentru Bleeping Computer că atacatorii au folosit fișierul .DOCX pentru a ataca. Când a fost deschis, acest document a încărcat motorul Internet Explorer pentru a reda pagina web la distanță a atacatorului. Apoi malware-ul a fost încărcat folosind controlul ActiveX aflat pe această pagină. Acest lucru a fost realizat folosind funcția „Execuție fișier Cpl” menționată în postarea Microsoft.

Cercetătorul a subliniat că această metodă de atac este 100% fiabilă, ceea ce o face foarte periculoasă.

Deoarece în prezent nu există încă patch-uri, Microsoft a sugerat următoarea soluție la problemă: dezactivați instalarea tuturor componentelor ActiveX în Internet Explorer. Instrucțiuni detaliate pot fi găsite în postarea Microsoft.