Πρόσφατα, οι χρήστες της Microsoft ενημερώθηκαν από την εταιρεία για μια καινούρια καμπάνια που υπάρχει αυτήν τη στιγμή. Η συγκεκριμένη καμπάνια, εκμεταλλεύεται ένα ελάττωμα που βρέθηκε το 2017 για να εισάγει έναν Trojan σε μηχανήματα θυμάτων.
Η Microsoft μέσω μιας ανακοίνωσης στο Twitter ανέφερε ότι το σφάλμα με κωδικό CVE-2017-11882, διορθώθηκε το 2017. Παρόλα αυτά μέχρι και σήμερα παρατηρήθηκαν κινήσεις λόγω αυτού του σφάλματος που κανείς δεν περίμενε. Όπως ανεπιθύμητα μηνύματα ηλεκτρονικού ταχυδρομείου σε ευρωπαϊκές γλώσσες, τα οποία μεταφέρουν malware αρχεία RTF. Αυτό απαιτεί, σύμφωνα με την εταιρεία, συχνά security updates.
Η εταιρεία εξήγησε αναλυτικά τα βήματα που πραγματοποιούνται μέσω αυτής της διαδικασίας. Έτσι σύμφωνα με την Microsoft, το αρχείο RTF κατεβάζει και τρέχει πολλαπλά σενάρια διαφορετικών τύπων (VBScript, PowerShell, PHP) για να κατεβάσει το ωφέλιμο φορτίο. Το backdoor προσπαθεί στη συνέχεια να συνδεθεί με έναν κακόβουλο τομέα ο οποίος για την ώρα δε λειτουργεί. Ακόμη κι αν αυτός ο τομέας δεν τρέχει, οι hackers μπορούν μελλοντικά να ενημερώσουν την επίθεση. Έτσι πραγματοποιείται η λήψη πρόσθετων ωφέλιμων φορτίων, που θα οδηγήσουν σε ransomware ή trojan, κλοπή πληροφοριών κτλ.
Η ομάδα security του Redmond ανέφερε επίσης ότι : “Το Office 365 ATP εντοπίζει τα μηνύματα ηλεκτρονικού ταχυδρομείου και τα συνημμένα που χρησιμοποιούνται σε αυτήν την καμπάνια. Το Windows Defender ATP ανιχνεύει τα έγγραφα ως Exploit: O97M / CVE-2017-11882.AD και το ωφέλιμο φορτίο ως Trojan: MSIL / Cretasker”
Το εν λόγω σφάλμα λογισμικού, το οποίο υπάρχει στον επεξεργαστή του Microsoft Office, ήταν δημοφιλές από τότε που ανακαλύφθηκε πριν από μερικά χρόνια, καθώς δεν απαιτεί αλληλεπίδραση χρήστη για να κάνει τη δουλειά για την οποία προορίζεται.
Αρχικά χρησιμοποιήθηκε από την APT34, μια ιρανική ομάδα κατασκοπείας στον κυβερνοχώρο, και την περασμένη εβδομάδα εντοπίστηκε και σε άλλους στόχους και μάλιστα με μεγάλη συχνότητα.
