Функцию встроенного видео в Microsoft Word можно использовать для атаки

Функцию встроенного видео в Microsoft Word можно использовать для атаки

Функцию встроенного видео в Microsoft Word можно использовать для атаки

Команда исследователей Cymulate нашла способ использовать функцию Online Video в Microsoft Word для выполнения вредоносного кода. Пока пользователь видит в документе Word встроенное видео с ссылкой на YouTube, там же может быть скрыт код html/javascript, который будет выполняться в фоновом режиме. Этот код может быть использован для осуществления различных атак.

Как уже стало понятно, этот вредоносный метод использует встроенное в документ Word видео, но атакующему также придется отредактировать файл XML с именем document.xml. В этом файле злоумышленник должен просто заменить ссылку на видео специальным пейлоадом.

Этот пейлоад открывает менеджер закачек Internet Explorer. Всю схему атаки можно разложить на семь шагов:

  1. Создаем документ Word.
  2. Вставляем видео — «Вставка => Онлайн-видео» — и добавляем любое видео с YouTube.
  3. Сохраняем документ, содержащий встроенное видео.
  4. Распаковываем документ (например, изменив расширение файла на .zip).
  5. Редактируем файл document.xml в папке word.
  6. В этом файле ищем параметр embeddedHtml, который содержит iframe с YouTube. Заменяем текущее значение iframe любым кодом html-javascript, который обработает Internet Explorer.
  7. Сохраняем изменения в document.xml и открываем документ.

«Обратите внимание, что никаких предупреждений безопасности при открытии данного документа вы не получите», — пишут обнаружившие вектор для атаки эксперты.

Исследователи опубликовали видео, доказывающее концепцию атаки. С ним можно ознакомиться по этой ссылке.

Напомним, в этом месяце в ходе новой вредоносной кампании злоумышленники модифицировали известную цепочку эксплойтов для загрузки кейлоггера Agent Tesla, при этом цель киберпреступников заключалась в избежании обнаружения популярными антивирусными решениями. На данный момент известно, что атакующие использовали две уязвимости в Microsoft Word, известные под идентификаторами CVE-2017-0199 и CVE-2017-11882.

Microsoft отключит Defender для Android 10 уже 31 марта

Microsoft напомнила администраторам: до 31 марта 2026 года остаётся меньше трёх недель. Именно в этот день корпорация окончательно прекратит выпуск патчей и техническую поддержку Defender для устройств на Android 10. Формально приложение продолжит работать и после этой даты, но без новых сигнатур, устранения уязвимостей и поддержки со стороны Microsoft.

Проще говоря, защита «замрёт» в текущем состоянии, а со временем такие устройства будут становиться всё более уязвимыми.

По сути, Android 10 выходит из зоны активной мобильной защиты Microsoft. Если устройство нельзя обновить до Android 11 или более новой версии, оно превращается в потенциальную проблему для корпоративной сети.

Интересно, что в уведомлении Microsoft подчёркивает: «никаких действий со стороны администратора не требуется». Формально — да, всё произойдёт автоматически.

Но на практике ИТ-отделам придётся провести инвентаризацию, определить устройства на Android 10, решить, можно ли их обновить, и при необходимости заменить. А это уже вполне ощутимые трудозатраты и расходы.

Отдельный вопрос — продолжит ли корректно работать телеметрия и отчётность с таких устройств в панели Microsoft Defender XDR. Редмонд прямо этого не уточняет, поэтому администраторам, которые не планируют срочно обновлять парк устройств, стоит внимательно следить за совместимостью.

Подробности о прекращении поддержки опубликованы в Microsoft 365 Admin Center под идентификатором сообщения MC1222977.

Таким образом, у компаний осталось совсем немного времени, чтобы привести мобильные устройства в соответствие с новыми требованиями, иначе Android 10 рискует стать слабым звеном в корпоративной безопасности.

RSS: Новости на портале Anti-Malware.ru