Per la vulnerabilità CVE-2017-11882, individuata nell'editor delle equazioni e con impatto critico sui prodotti Microsoft Office 2007 SP3, Microsoft Office 2010 SP2, Microsoft Office 2013 SP1 e Microsoft Office 2016, nonostante il rilascio di software correttivo da parte di Microsoft, emergono attacchi finalizzati allo sfruttamento della falla.
Gli eventi in questione sono caratterizzati dall'utilizzo di exploit che, sulle versioni Office affette, permette ad un attaccante di eseguire codice arbitrario nel contesto dell'utente.
Modalità dell'attacco
A differenza delle consuete metodologie di distribuzione di malware tramite file Office, che applicano Macro per armare di codice malevolo documenti come Word, Excel o PowerPoint, dall'emergere della vulnerabilità CVE-2017-11882 risultano in corso campagne di diffusione malware veicolate tramite allegati di posta elettronica apparentemente innocui, per i quali l'interazione utente può limitarsi alla sola apertura del documento.
Ad ogni modo il processo di infezione è piuttosto articolato e si sviluppa in quattro distinte fasi come di seguito rappresentato:
I documenti Word basati su formati Open XML, come in Office 2007, si basano su tecnologie di archivio XML e ZIP, pertanto possono essere facilmente manipolati in modo che l'allegato .docx contenga un oggetto OLE con riferimenti a risorse esterne.
A differenza della Macro che, per impostazione predefinita di Office, vengono notificate in fase di apertura di un documento, lasciando all'utente facoltà di eseguirla o meno, nell'utilizzo di oggetti OLE se l'utente apre il file DOCX esso accede senza avviso ad un file, di solito un RTF, che viene scaricato localmente ed eseguito.
In questa catena di infezione è proprio il file RTF a sfruttare la vulnerabilità CVE-2017-11882 che ha come target lo strumento Editor equazioni di MS.
Quando viene processato, il file RTF lancia una riga di comando MSHTA per scaricare ed eseguire un file HTA remoto. Il file HTA contiene codice VBScript offuscato che scarica e quindi esegue l'ultimo file, un binario.
Nella fase definitiva del processo di infezione, il malware invia i dati al server di comando e controllo (C&C) tramite una richiesta POST HTTP.
Diffusione dell'attacco CVE-2017-11882
È piuttosto insolito l'utilizzo di tanti stadi e vettori per scaricare un malware, infatti un approccio di questo tipo può essere "rischioso" per l'autore del malware dal momento che se uno stadio fallisce avrà un effetto domino sull'intero processo di infezione.
Da analisi e statistiche su fonti di threat intelligence, si rilevano numerose campagne di malspam i cui allegati vanno a processare file RTF malevoli. Tra i malware più diffusi e veicolati tramite questo meccanismo si notano per lo più quelli finalizzati al furto di credenziali come i già trattati AdWind e Loki-bot
IoC
Di seguito si riportano gli Indicatori di compromissione rilevati, limitatamente al contesto Europeo, nell'intervallo temporale dal 11 febbraio 2018 al 19 febbraio 2018.
IoC (.csv) - SHA256, MD5, Dimensione file e Tipo file.
IoC Network (.txt) - Domini e indirizzi IP associati agli indicatori file sopra riportati.
IoC (.stix) - MD5, Domini e indirizzi IP
Mitigazioni
Con alte probabilità il bug cui assegnato il CVE-2017-11882 potrebbe essere sfruttato anche nei mesi futuri. Per risolvere il problema, gli amministratori devono distribuire la patch di Microsoft rilasciata per questa vulnerabilità.
Coloro che non possono distribuire la patch dovrebbero prendere in considerazione la disattivazione dell'Equation Editor come discusso nell'articolo Microsoft Knowledge Base 4055535.