Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Lazarus ha colpito alcune compagnie europee del settore della difesa
Arriva “Zyxel Commercialisti Italia”, iniziativa per educare i professionisti alla cybersecurity
Cyberattacchi: estorsioni e ransomware dietro la metà delle campagne malevole
Centinaia di estensioni Chrome sfruttate in una campagna di spam
CERT-AGID 11–17 ottobre: PagoPA, MAECI e le amministrazioni regionali tra i bersagli della settimana

Attenzione ai documenti Office: il malware si avvia anche senza Macro

Ott 16, 2017 Marco Schiaffino Attacchi, Malware, News, RSS 0

La tecnica sfrutta Microsoft Dynamic Data Exchange per avviare un eseguibile. Microsoft: “non è una falla di sicurezza”.

La notizia, per chi si occupa di divulgazione nel campo della sicurezza informatica, è di quelle che assestano un duro colpo. Dopo aver impiegato anni per spiegare agli utenti Office che le Macro sono pericolose, ora ci tocca cominciare tutto da capo.

A tirare indietro le lancette dell’orologio è una modalità di attacco che sfrutta un’altra funzione dei programmi Microsoft, chiamata Dynamic Data Exchange o DDE.

La sua funzione è quella di consentire lo scambio di dati trar diverse applicazioni del pacchetto Office, per esempio tra Word ed Excel. Peccato che sia possibile usarla per avviare l’esecuzione di un malware.

In realtà l’attacco non è una novità, anzi: aveva già fatto la sua comparsa negli anni ’90. Ma erano altri tempi e i pirati informatici hanno preferito poi ripiegare sull’uso delle famigerate Macro, la cui esecuzione a quell’epoca era attiva per impostazione predefinita e rappresentava di conseguenza un vettore di attacco più efficace.

Ora qualcuno ha pensato bene di ripescarlo e, a quanto pare, con un certo successo. A scoprirlo sono stati i ricercatori di SensePost, che hanno pubblicato addirittura un tutorial che spiega come sia possibile mettere in atto l’attacco.

Il risultato è che, all’apertura di un documento di Word assemblato con questa tecnica, sullo schermo dell’utente compare un primo messaggio che chiede l’autorizzazione per aggiornare i dati presenti nel file.

Non si parla di file eseguibili o di istruzioni Macro. Fin qui sembra che l’operazione sia innocua…

Il trucchetto, però, è che il campo è stato impostato in modo che Windows avvii cmd.exe, cioè la shell di comando di Windows, e a seguire esegua una serie di comandi predefiniti, come il download e l’esecuzione di un file.

Qui, invece, bisognerebbe pensarci due volte prima di fare clic. Sempre che si abbia idea di che cosa sia cmd.exe…

Secondo Microsoft, che i ricercatori hanno contattato per comunicare il problema, non si tratterebbe però di una falla di sicurezza. Dalle parti di Redmond si sono limitati a rispondere che ne “avrebbero preso nota” per un’eventuale modifica in successive versioni dei software.

Per una volta, però, non hanno tutti i torti. Il messaggio, infatti è abbastanza chiaro ed è impossibile che un’attività pericolosa sia avviata senza che l’utente lo veda.

Il problema, però, è che buona parte degli utenti Windows non ha la minima idea di che cosa sia cmd e, anche se il formato exe dovrebbe metterli in guardia, rischiano di acconsentire tranquillamente alla richiesta e avviare così qualsiasi tipo di azione sul computer.

Condividi l'articolo