Функцию встроенного видео в Microsoft Word можно использовать для атаки

Функцию встроенного видео в Microsoft Word можно использовать для атаки

Функцию встроенного видео в Microsoft Word можно использовать для атаки

Команда исследователей Cymulate нашла способ использовать функцию Online Video в Microsoft Word для выполнения вредоносного кода. Пока пользователь видит в документе Word встроенное видео с ссылкой на YouTube, там же может быть скрыт код html/javascript, который будет выполняться в фоновом режиме. Этот код может быть использован для осуществления различных атак.

Как уже стало понятно, этот вредоносный метод использует встроенное в документ Word видео, но атакующему также придется отредактировать файл XML с именем document.xml. В этом файле злоумышленник должен просто заменить ссылку на видео специальным пейлоадом.

Этот пейлоад открывает менеджер закачек Internet Explorer. Всю схему атаки можно разложить на семь шагов:

  1. Создаем документ Word.
  2. Вставляем видео — «Вставка => Онлайн-видео» — и добавляем любое видео с YouTube.
  3. Сохраняем документ, содержащий встроенное видео.
  4. Распаковываем документ (например, изменив расширение файла на .zip).
  5. Редактируем файл document.xml в папке word.
  6. В этом файле ищем параметр embeddedHtml, который содержит iframe с YouTube. Заменяем текущее значение iframe любым кодом html-javascript, который обработает Internet Explorer.
  7. Сохраняем изменения в document.xml и открываем документ.

«Обратите внимание, что никаких предупреждений безопасности при открытии данного документа вы не получите», — пишут обнаружившие вектор для атаки эксперты.

Исследователи опубликовали видео, доказывающее концепцию атаки. С ним можно ознакомиться по этой ссылке.

Напомним, в этом месяце в ходе новой вредоносной кампании злоумышленники модифицировали известную цепочку эксплойтов для загрузки кейлоггера Agent Tesla, при этом цель киберпреступников заключалась в избежании обнаружения популярными антивирусными решениями. На данный момент известно, что атакующие использовали две уязвимости в Microsoft Word, известные под идентификаторами CVE-2017-0199 и CVE-2017-11882.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

МВД России пресекло деятельность Rapidpay

Сотрудники Главного управления экономической безопасности и противодействия коррупции МВД России пресекли деятельность нелегальной платежной системы Rapidpay. Ее услугами пользовались организаторы азартных игр, теневые букмекеры и телефонные мошенники.

Как сообщила официальный представитель МВД России Ирина Волк, организаторы схемы активно использовали счета и банковские карты, оформленные на подставных лиц.

Это позволяло злоумышленникам обеспечивать анонимность финансовых операций. Всего было выявлено более 70 самостоятельных групп и более 8,5 тысячи реквизитов банковских карт, задействованных в преступной схеме.

Следователи возбудили уголовное дело по части 2 статьи 187 Уголовного кодекса Российской Федерации («Неправомерный оборот средств платежей»), санкция которой предусматривает наказание до 6 лет лишения свободы.

В рамках расследования задержаны четверо организаторов группировки. Им предъявлены обвинения и избрана мера пресечения в виде подписки о невыезде.

Как сообщает онлайн-издание «Платежный ЩИТ», следственные действия начались 7 декабря. В ходе операции было допрошено около 30 человек, включая практически всех сотрудников офиса.

Источники «Платежного ЩИТа» в МВД отмечают, что операция против Rapidpay является лишь началом. В настоящий момент правоохранительные органы разрабатывают еще несколько подобных нелегальных площадок.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru