Специалисты нашли способ внедрить вредоносный код в Excel

Специалисты компании Mimecast создали эксплойт, позволяющий внедрять и выполнять сторонний код в электронной таблице Excel, сообщает Threatpost.

Как отмечают эксперты, в некоторых случаях созданный PoC-эксплойт не предполагает взаимодействия с пользователем и плохо обнаруживается антивирусными сканерами. Microsoft отказалась выпускать заплатку для этой уязвимости, ограничившись ссылкой на рекомендации по безопасности двухлетней давности.

Исследователи применили технологию Power Query, которая позволяет встраивать и обновлять данные из внешних источников в рамках документов Excel. Они создали собственный веб-сервер, который прослушивал запросы на порт 80 и передавал полезную нагрузку в случае обращения электронной таблицы.

В Mirosoft Office 2016 для получения данных от стороннего ресурса требуется разрешение пользователя при открытии файла, а также двойной щелчок по ячейке, содержащей инжект. Однако предыдущая версия офисного пакета Microsoft использует метод webPR вместо dbPr для работы с динамическими данными, поэтому в Excel 2010 существует возможность запуска стороннего содержимого без взаимодействия с пользователем — для этого жертве достаточно просто открыть документ.

Для обхода систем безопасности эксперты научили эксплойт манипулировать заголовками HTTP-запросов. По содержимому поля Referer вредоносный сервер различал обращения антивирусного сканера и электронной таблицы, после чего передавал в ответ безобидный код или полезную нагрузку.

Исследователи сообщили об этом в Microsoft, однако разработчик офисного пакета не признал, что обнаруженная проблема является уязвимостью, пояснив, что в данном случае был использован легитимный, корректно работающий алгоритм. Для защиты от атаки специалисты Microsoft порекомендовали отключить функцию DDE, отвечающую за динамический обмен данными в Excel, поскольку Power Query также ее использует.

В Microsoft отметили, что компания выпустила инструкцию по деактивации DDE в ноябре 2017 года в ответ на растущее количество атак, в которых используется этот механизм.

Автор:	Softodrom.ru
Дата:	30.06.2019 14:37