Nedavno otkriveni propust u MS Officeu se već koristi u napadima

Vesti, 28.11.2017, 01:30 AM

Samo nedelju dana nakon što su otkriveni detalji o ozbiljnom bezbednosnom propustu u Microsoft Officeu, barem jedna kriminalna grupa koristi ovaj propust za širenje malvera i infekciju računara.

Ovde nije reč o običnim spam emailovima, već o ozbiljnoj kriminalnoj operaciji iza koje stoji grupa Cobalt, koja se poslednje dve godine proslavila napadima na banke, mreže bankomata i finansijske organizacije.

Prema rečima istraživača iz britanske firme Reversing Labs, grupa Cobalt sada širi RTF fajlove koje šalje "ciljevima koji imaju veliku vrednost". Grupa koristi propust CVE-2017-11882 u Office Equation Editor komponenti koji omogućava napadačima pokretanje koda na računarima žrtava bez njihove interakcije.

Grupa je vrlo brzo pošto su objavljeni detalji o propustu počela da ga iskorišćava za napade, verovatno zahvaljujući dostupnosti četiri PoC (proof-of-concept) exploita koji su objavljeni prošle nedelje na internetu.

Cobalt grupa trenutno šalje emailove koji su opremljeni sa RTF fajlom koji koristi CVE-2017-11882 propust za preuzimanje i pokretanje dodatnih malicioznih fajlova. Lanac infekcije se odvija u nekoliko koraka, ali se na kraju preuzima i učitava maliciozni DLL fajl.

Metju Mesa iz Proofpointa kaže da je video iste emailove, ali da je lanac infekcije bio neznatno drugačiji.

Grupa Cobalt je poznata po tome što koristi Microsoftove bagove čim oni budu obelodanjeni. Isto se dogodilo i sa CVE-2017-8759, RCE (remote code execution) propustom koji utiče na .NET Framework, a kojeg je Microsoft ispravio u septembru ove godine.

Grupa Cobalt se prati od prošle godine, kada je napadala bankomate i finansijske institucije širom Evrope. Grupa je zatim počela da napada i ciljeve u SAD, a kasnije i ruske banke, koristeći Rusiju za testiranje novih napada, pre nego što bi prešla na bogatije delove sveta.

Najpoznatiji malver ove grupe je Cobalt Strike, koji je nazvan po komercijalnom softveru za penetraciono testiranje jer koristi neke od njegovih komponenti.

Da bi se zaštitili od iskorišćavanja CVE-2017-11882 propusta, korisnici bi trebalo da instaliraju Windows ažuriranja KB2553204, KB3162047, KB4011276 i KB4011262 koja su deo novembarskog paketa ažuriranja koji je objavio Microsoft.