Lỗ hổng Zero-Day trên Microsoft Word ảnh hưởng phiên bản Windows

15:41 | 17/04/2017 | LỖ HỔNG ATTT

Một lỗ hổng Zero-Day trên Microsoft Word ảnh hưởng tới toàn bộ các phiên bản Windows. Người dùng Việt Nam đứng trước nguy cơ bị tấn công, bởi các máy tính Windows đều cài đặt và sử dụng Microsoft Word.

Lỗ hổng Zero-Day trên Microsoft Word ảnh hưởng phiên bản Windows

Cuộc tấn công nhằm vào Microsoft Office bắt đầu bằng việc gửi một email đính kèm tệp tin Word độc hại chứa OLE2link. Khi người dùng mở tệp tin, mã khai thác sẽ được thực thi và kết nối tới máy chủ từ xa do tin tặc kiểm soát. Tại đây mã khai thác tải về một tệp tin ứng dụng HTML (HTA) độc hại giả mạo tệp tin tài liệu RTF (Rich Text Format) của Microsoft.

Tệp tin HTA sau đó tự động thực thi trên máy nạn nhân, tải thêm các mã độc khác về để chiếm quyền kiểm soát máy tính nạn nhân, đồng thời đóng tập tin Word lại.

Tấn công mã độc ảnh hưởng tới toàn bộ các phiên bản hệ điều hành Windows

Theo các chuyên gia Microsoft, lỗ hổng có tính chất nghiêm trọng, bởi nó cho phép tin tặc vượt qua các cơ chế an toàn của Microsoft. Trên Windows 10 hiện nay có nhiều cơ chế phòng thủ nhất trước các mã khai thác, được cho là an toàn vượt trội so với các phiên bản Windows trước. Tuy nhiên, mã khai thác này vẫn vượt qua được các cơ chế phòng thủ đó. Hơn nữa, cuộc tấn công không đòi hỏi người dùng phải kích hoạt Macros như nhiều cuộc tấn công khác nhằm vào Word.

Tệp tin khai thác này còn nguy hiểm ở chỗ, trong quá trình diễn ra khai thác, một tệp tin Word giả mạo khác sẽ được hiển thị cho nạn nhân xem, khiến nạn nhân không nghĩ rằng mình đã bị tấn công. Đối với các mã khai thác thông thường khác thì khi người dùng mở tệp tin lên, mã độc chạy và ứng dụng Word bị đóng lại, khiến người dùng nghi ngờ, đặc biệt là đối với những người có kiến thức về mã độc. Nhưng đối với kỹ thuật phishing này, ngay cả những chuyên gia an ninh mạng cũng có thể bị đánh lừa.

Các chuyên gia cho biết, sau khi khai thác thành công, tệp tin Word “mồi” sẽ được đóng lại và xuất hiện ra một tệp tin giả mạo để nạn nhân đọc. Vào lúc đó, mã độc sẽ được lén lút cài đặt vào hệ thống của nạn nhân. Nguyên nhân làm xuất hiện lỗ hổng zero-day này liên quan đến Windows Object Linking and Embedding (OLE), một tính năng quan trọng của Office.

Hãng Microsoft đã biết đến lỗ hổng sau khi được các chuyên gia thông báo về các cuộc tấn công khai thác lỗ hổng chưa được vá từ tháng 1/2017.

Tự bảo vệ trước cuộc tấn công

Cuộc tấn công ảnh hưởng tới toàn bộ các hệ thống dù được cập nhật đầy đủ bản vá, nên các chuyên gia khuyến cáo người dùng như sau:

- Không mở hoặc tải các tệp tin Word không tin cậy được gửi đến trong email trước khi Microsoft phát hành bản vá.

- Do cuộc tấn công không thể diễn ra khi tệp tin độc hại được xem trong tính năng Office Protected View, người dùng nên kích hoạt tính năng này để xem các tài liệu Office.

-Cập nhật hệ thống và phần mềm diệt virus thường xuyên.

- Thường xuyên sao lưu các tập tin của mình sang ổ cứng gắn ngoài.

- Mặc dù việc vô hiệu hoá Macros không giúp bảo vệ trong trường hợp này nhưng người dùng nên kích hoạt tính năng để tự bảo vệ mình trước các cuộc tấn công khác.

- Cẩn trọng trước các email lừa đảo, spam và không click vào tệp tin đính kèm độc hại.

‹ › ×

Tin cùng chuyên mục

Lỗ hổng CVE-2024-31497 trong PuTTY làm rò rỉ khóa riêng

10:00 | 08/05/2024

Mới đây, một lỗ hổng nghiêm trọng định danh CVE-2024-31497 được phát hiện trong PuTTY - ứng dụng client SSH phổ biến dành cho Windows làm rò rỉ khóa riêng.

Nhóm tin tặc Việt Nam bị nghi đánh cắp dữ liệu tài chính ở châu Á

10:00 | 24/04/2024

Một nhóm tin tặc được cho là từ Việt Nam đang nhắm mục tiêu vào các tổ chức tài chính ở châu Á để đánh cắp các dữ liệu tài chính.

Phân tích phần mềm độc hại mới đánh cắp ví tiền điện tử trong các ứng dụng bẻ khóa trên macOS

14:00 | 22/02/2024

Các nhà nghiên cứu của hãng bảo mật Kaspersky đã phát hiện ra một dòng phần mềm độc hại mới được phân phối một cách bí mật thông qua các ứng dụng, phần mềm bẻ khóa (crack), nhắm mục tiêu vào ví tiền điện tử của người dùng macOS. Theo các nhà nghiên cứu, mối đe dọa mới này có những tính năng nổi trội hơn so với việc cài đặt trái phép Trojan trên các máy chủ proxy đã được phát hiện trước đó.

Tin tặc lợi dụng khai thác MultiLogin của Google để chiếm quyền điều khiển phiên người dùng

10:00 | 31/01/2024

Các nhà nghiên cứu tại công ty an ninh mạng CloudSEK (Ấn Độ) cho biết: tin tặc đang phân phối phần mềm đánh cắp thông tin bằng cách lợi dụng điểm cuối Google OAuth có tên MultiLogin để chiếm quyền điều khiển phiên của người dùng và cho phép truy cập liên tục vào các dịch vụ của Google ngay cả sau khi đặt lại mật khẩu.