Специалисты нашли способ внедрить вредоносный код в Excel
Новости Безопасность
Специалисты компании Mimecast создали эксплойт, позволяющий внедрять и выполнять сторонний код в электронной таблице Excel, сообщает Threatpost.
Как отмечают эксперты, в некоторых случаях созданный PoC-эксплойт не предполагает взаимодействия с пользователем и плохо обнаруживается антивирусными сканерами. Microsoft отказалась выпускать заплатку для этой уязвимости, ограничившись ссылкой на рекомендации по безопасности двухлетней давности.
Исследователи применили технологию Power Query, которая позволяет встраивать и обновлять данные из внешних источников в рамках документов Excel. Они создали собственный веб-сервер, который прослушивал запросы на порт 80 и передавал полезную нагрузку в случае обращения электронной таблицы.
В Mirosoft Office 2016 для получения данных от стороннего ресурса требуется разрешение пользователя при открытии файла, а также двойной щелчок по ячейке, содержащей инжект. Однако предыдущая версия офисного пакета Microsoft использует метод webPR вместо dbPr для работы с динамическими данными, поэтому в Excel 2010 существует возможность запуска стороннего содержимого без взаимодействия с пользователем — для этого жертве достаточно просто открыть документ.
Для обхода систем безопасности эксперты научили эксплойт манипулировать заголовками HTTP-запросов. По содержимому поля Referer вредоносный сервер различал обращения антивирусного сканера и электронной таблицы, после чего передавал в ответ безобидный код или полезную нагрузку.
Исследователи сообщили об этом в Microsoft, однако разработчик офисного пакета не признал, что обнаруженная проблема является уязвимостью, пояснив, что в данном случае был использован легитимный, корректно работающий алгоритм. Для защиты от атаки специалисты Microsoft порекомендовали отключить функцию DDE, отвечающую за динамический обмен данными в Excel, поскольку Power Query также ее использует.
В Microsoft отметили, что компания выпустила инструкцию по деактивации DDE в ноябре 2017 года в ответ на растущее количество атак, в которых используется этот механизм.
|
|
|
