Каждый, кто пользуется компьютером, хоть раз сталкивался с Microsoft Word: многие компании до сих пор используют его в качестве основного инструмента для работы с текстами.
Но не все файлы безопасны. Повсеместное использование Microsoft Word в рабочей среде и на домашних компьютерах дает киберпреступникам широкие возможности для проведения атак. В статье рассказываем, как киберпреступники манипулируют данными в документах Word, чтобы нанести вред, и каким образом можно защититься от подобных угроз.
Метод с использованием макросов используется злоумышленниками в течение десятилетий и не теряет своей актуальности. Несмотря на все технические предосторожности, успех подобных атак возможен благодаря человеческому фактору.
В пример можно привести уязвимость в протоколе Dynamic Data Exchange (DDE), которую специалисты китайской компании Qihoo 360 Core Security в 2017 году. RCE-баг получил идентификатор CVE-2017-11826.
Злоумышленники узнали об уязвимости раньше, чем было выпущено обновление. В файл Word, Excel или RTF добавлялись целевые фишинговые подфайлы. После того как жертва открывала файл, загружался троян, и злоумышленник получал доступ к компьютеру жертвы. Подробно многоэтапный процесс заражения компьютера во время подобных атак с эксплуатацией уязвимости в протоколе DDE описали исследователи из и .
Позднее Microsoft выпустила обновление, закрывающее уязвимость. Однако в 2023 году «Лаборатория Касперского» , что уязвимость CVE-2017-11826 по-прежнему эксплуатируется, так как не все пользователи устанавливают обновления вовремя. Среди киберпреступников, которые использовали уязвимость в своих атаках — финансово мотивированные группы угроз .
Злоумышленники пошли дальше и нашли взломать компьютер жертвы, даже если та не открывает документ: достаточно предварительного просмотра. Для этого они используют критическую уязвимость Windows с идентификатором CVE-2023-21716, которую эксперты по безопасности оценили в 9,8 из 10 возможных баллов по шкале угроз.
Признаки того, что документ несет угрозу:
Для защиты не забывайте соблюдать правила информационной гигиены:
Интересно, что компания Microsoft, похоже, так и не определилась, как лучше защищать пользователь от файлов с макросами. Весной 2022 года компания выпустила обновление, в котором автоматическая загрузка макросов была отключена. Некоторые пользователи стали жаловаться, что не могут найти кнопку отключения этой функции. И уже летом 2022, вместо того, чтобы дать пользователям инструкцию, Microsoft откатила изменения, снизив безопасность. Позднее, поняв свою ошибку, компания все-таки вернула автоматическую блокировку и выпустила .
Обучение сотрудников, использование антивирусных программ и регулярное обновление системы безопасности — вот лишь несколько шагов, которые могут помочь защитить от подобных угроз в цифровом мире.
Но не все файлы безопасны. Повсеместное использование Microsoft Word в рабочей среде и на домашних компьютерах дает киберпреступникам широкие возможности для проведения атак. В статье рассказываем, как киберпреступники манипулируют данными в документах Word, чтобы нанести вред, и каким образом можно защититься от подобных угроз.
Какие угрозы несут файлы Word
Типовые атаки с использованием текстового редактора бывают двух видов: когда файл Word содержит макросы, и когда злоумышленники обнаруживают уязвимость нулевого дня в Microsoft Word и создают эксплойты.Макросы
Макросы — полезный инструмент, который позволяет автоматизировать некоторые операции при работе с документами. Но киберпреступники уже давно научились использовать макросы для атак: они встраивают свои скрипты в файлы Microsoft Office. При открытии документа на компьютер жертвы автоматически скачивается и устанавливается зловредное ПО, например, вирус-вымогатель. Если устройство подключено к внутренней сети, то может произойти заражение всей системы.Метод с использованием макросов используется злоумышленниками в течение десятилетий и не теряет своей актуальности. Несмотря на все технические предосторожности, успех подобных атак возможен благодаря человеческому фактору.
Уязвимости нулевого дня
Если в предыдущем случае защититься от атаки помогало отключение макросов, то позже злоумышленники нашли способ красть данные с использованием документов Word, но без макросов.В пример можно привести уязвимость в протоколе Dynamic Data Exchange (DDE), которую специалисты китайской компании Qihoo 360 Core Security в 2017 году. RCE-баг получил идентификатор CVE-2017-11826.
Злоумышленники узнали об уязвимости раньше, чем было выпущено обновление. В файл Word, Excel или RTF добавлялись целевые фишинговые подфайлы. После того как жертва открывала файл, загружался троян, и злоумышленник получал доступ к компьютеру жертвы. Подробно многоэтапный процесс заражения компьютера во время подобных атак с эксплуатацией уязвимости в протоколе DDE описали исследователи из и .
Позднее Microsoft выпустила обновление, закрывающее уязвимость. Однако в 2023 году «Лаборатория Касперского» , что уязвимость CVE-2017-11826 по-прежнему эксплуатируется, так как не все пользователи устанавливают обновления вовремя. Среди киберпреступников, которые использовали уязвимость в своих атаках — финансово мотивированные группы угроз .
Злоумышленники пошли дальше и нашли взломать компьютер жертвы, даже если та не открывает документ: достаточно предварительного просмотра. Для этого они используют критическую уязвимость Windows с идентификатором CVE-2023-21716, которую эксперты по безопасности оценили в 9,8 из 10 возможных баллов по шкале угроз.
Как защититься от атак через текстовые редакторы
Для доставки малварей на целевое устройство злоумышленники используют, как правило, обычный фишинг и рассылают письма на электронную почту. Но, с появлением и повсеместным распространением мессенджеров документ «с начинкой» могут отправить и в чате.Признаки того, что документ несет угрозу:
- файл прислан от неизвестного отправителя;
- электронный адрес отправителя написан неверно;
- при открытии файл требует включить макросы или режим редактирования;
- документ имеет необычные расширения, например .docv или .derv.
Для защиты не забывайте соблюдать правила информационной гигиены:
- не открывайте вложения и ссылки в письмах от незнакомых или подозрительных отправителей.
- проверьте, правильно ли написан адрес почты знакомого вам отправителя, от которого пришло письмо.
- отключите автоматическую загрузку макросов.
- вовремя устанавливайте обновления ОС и антивирусного ПО.
Интересно, что компания Microsoft, похоже, так и не определилась, как лучше защищать пользователь от файлов с макросами. Весной 2022 года компания выпустила обновление, в котором автоматическая загрузка макросов была отключена. Некоторые пользователи стали жаловаться, что не могут найти кнопку отключения этой функции. И уже летом 2022, вместо того, чтобы дать пользователям инструкцию, Microsoft откатила изменения, снизив безопасность. Позднее, поняв свою ошибку, компания все-таки вернула автоматическую блокировку и выпустила .
Заключение
Информационная безопасность — это постоянная гонка между киберпреступниками и защитниками. Несмотря на появление новых технологий, злоумышленники активно пользуются и старыми методами. Понимание того, как киберпреступники могут использовать для атаки даже такие обыденные инструменты, как текстовые редакторы, поможет быть более бдительными и принимать меры предосторожности.Обучение сотрудников, использование антивирусных программ и регулярное обновление системы безопасности — вот лишь несколько шагов, которые могут помочь защитить от подобных угроз в цифровом мире.
