แจ้งเตือนการโจมตีผ่านไฟล์เอกสารรูปแบบใหม่ ไม่ต้องใช้มาโครสคริตป์

นักวิจัยด้านความปลอดภัย Etienne Stalmans และ Saif El-Sherei จาก Sensepost ได้เผยแพร่วิธีในการควบคุมการทำงานของไฟล์เอกสารเพื่อให้ดาวโหลดและติดตั้งมัลแวร์รูปแบบใหม่โดยใช้ฟีเจอร์ของ Microsoft Office เรียกว่า Dynamic Data Exchange (DDE)

Dynamic Data Exchange (DDE) นั้นเป็นฟีเจอร์ที่อนุญาตให้ Microsoft Office สามารถเรียกใช้แอปพลิเคชันอื่นได้เพื่อการรับส่งข้อมูลระหว่างกัน โดยในการใช้งาน DDE ในการโจมตีนั้นจะไม่มีการปรากฎถึงคำเตือนด้านความปลอดภัยที่มักจะปรากฎเมื่อใช้งานมาโครสคริปต์ แต่จะมีการปรากฎของการแจ้งเตือนถึงผู้ใช้งานว่าจะมีการเรียกใช้งานโปรแกรมอื่น ซึ่งอ้างอิงจาก Sensepost คำเตือนเหล่านี้ก็สามรถถูกแก้ไขได้ด้วย

วิธีการใช้งาน DDE ในการโจมตีนั้นมีการตรวจพบแล้วโดย Cisco Talos เพื่อการแพร่กระจายมัลแวร์ DNSMessenger

แนะนำให้ผู้ใช้งานเพิ่มความระมัดระวังในการเปิดไฟล์เอกสาร และหากต้องการวิธีในตรวจสอบ แจ้งเตือนและป้องกันการโจมตีในลักษณะนี้สามารถติดต่อไอ-ซีเคียวเพื่อรับคำปรึกษาได้ทันทีครับ

ที่มา : bleepingcomputer , thehackernews

พบช่องโหว่ 0day ใน Microsoft Office ทำให้เมื่อผู้ใช้ที่เปิดไฟล์ document ที่ฝังโค้ดอันตรายไว้อาจถูกยึดเครื่องได้ แม้เครื่องผู้ใช้จะเป็น Windows 10 ที่ patch ล่าสุดและไม่ได้ enable macro ใน Microsoft Office แล้วก็ตามที
ช่องโหว่ดังกล่าวถูกพบและเปิดเผยโดย McAfee เมื่อวันศุกร์(07/04/2017) ที่ผ่านมา และมีการ confirm ว่าใช้งานได้จริงโดยทางทีม Research ของ FireEye โดยช่องโหว่ดังกล่าวจะเป็นการโจมตีที่ไม่จำเป็นต้องหลอกให้ user เปิดไฟล์พร้อมกับใช้งาน Macro แต่อย่างใด เพียงแค่เปิดไฟล์ใน Microsoft Office ที่มีช่องโหว่ก็สามารถยึดเครื่องได้ทันที โดยช่องโหว่นี้เกี่ยวกับ Windows Object Linking and Embedding (OLE) ซึ่งเป็น feature สำคัญของ Microsoft Office อีกด้วย
สิ่งที่ Hacker ทำคือ Hacker สร้างไฟล์ RTF (Rich Text Format) ขึ้นมา โดยภายในไฟล์นั้นจะฝัง OLE2Link ไว้ เมื่อเปิดไฟล์ด้วยเวิร์ด ส่วนของ OLE จะทำงานทำให้เอกสารมีการติดต่อไปยัง C&C (Command & Control Server) เพื่อ download .hta ไฟล์ลงมา จากนั้นจึงรันไฟล์ .hta นั้นๆ อีกที
ซึ่งทาง McAfee ได้มีการนำเรื่องนี้ให้ Microsoft จัดการปิดช่องโหว่ดังกล่าว ซึ่งก็คงต้องรอต่อไปว่า Microsoft จะออก patch เมื่อไหร่ครับ ตอนนี้สิ่งที่ทำได้คือการป้องกันโดยการเปิดไฟล์ในลักษณะ Protected View ไปก่อน

ที่มา : HELPNETSECURITY