Atakujący APT coraz częściej używają przechwytujących pułapki dokumentów RTF, mówią eksperci

Przechwycone pliki RTF są jednym z najczęstszych typów złośliwych plików Microsoft Office, które są używane do infekowania komputerów zaawansowanymi trwałymi zagrożeniami (APT), Według analityków bezpieczeństwa z firmy Trend Micro.

"Biorąc dane z dokumentów exploitów zebranych w kwietniu, widzimy, że najczęściej wykorzystywanym oprogramowaniem MS Office jest MS Word", powiedział Ryan Flores, starszy analityk ds. zagrożeń wyższego rzędu firmy Trend Micro, w poście na blogu Środa.

Statystyki firmy pokazują, że 63 procent złośliwych dokumentów Microsoft Office przechwyconych w kwietniu wykorzystało luki w zabezpieczeniach Microsoft Word.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie ze swojego wiatru komputer z lukami]

Z tych luk najczęstszymi celami były CVE-2010-3333 i CVE-2012-0158, które wynikają z błędów w kodzie Microsoft Word służących do analizowania treści w formacie Rich Text.

Treść RTF może może być zapisany w dokumencie z rozszerzeniem .rtf lub może być osadzony w pliku .doc. W rzeczywistości wiele złośliwych dokumentów wykorzystujących CVE-2010-3333 i CVE-2012-0158 miało rozszerzenie .doc.

Fakt, że 2-letnia luka CVE-2010-3333 jest nadal szeroko wykorzystywana w atakach dzisiaj pokazuje, że firmy z wielu branż nie aktualizują swoich instalacji Microsoft Office, powiedział Flores.

Jest to szczególnie kłopotliwe, ponieważ Microsoft właśnie załatał we wtorek nową podatność na analizowanie pakietów Microsoft Word RTF, która może pozwolić na zdalne wykonanie kodu.

Luka w zabezpieczeniach jest określana jako CVE-2012-0183 i dotyczy pakietu Microsoft Office 2003 i 2007 dla systemu Windows, a także Microsoft Office 2008 i 2011 dla systemu Mac OS.

Biorąc pod uwagę szybkie zastosowanie exploitów przez napastników dla CVE-2012-0158 , luka w przetwarzaniu RTF, załatana przez Microsoft w kwietniu, prawdopodobnie wkrótce trafi też CVE-2012-0183.

"W ciągu dwóch tygodni CVE-2012-0158 przeszła od zera do faktycznie przewyższającego CVE-2010 -3333 jako preferowany exploit atakujących, "Flores powiedział. "Pokazuje to tylko, że przedział czasowy na łatanie krytycznych luk jest niewielki, co wymaga zachowania należytej staranności i dyscypliny w zarządzaniu poprawkami przez organizacje."

Ataki APT, które używają boobytrapped dokumentów, atakują nie tylko użytkowników Windows. W marcu naukowcy z firmy ochroniarskiej AlienVault przeanalizowali atak APT na tybetańskich aktywistów, którzy wykorzystali lukę w oprogramowaniu Microsoft Office for Mac do instalowania szkodliwego oprogramowania Mac.

"Obecne zainteresowanie cyberprzestępcami w infekowaniu komputerów Mac było bardzo rozsądne dla wszystkich użytkowników pakietu Microsoft Office na komputerze Mac, aby w pierwszej kolejności zaktualizować swoje systemy "- powiedział w środę bloger Graham Cluley, starszy konsultant ds. technologii w Sophos.

polegać wyłącznie na funkcji aktualizacji oprogramowania wbudowanej w system Mac OS X, nie będzie aktualizować produktu Microsoft "- powiedział Cluley. Poprawki zabezpieczeń dla pakietu Microsoft Office dla komputerów Mac są dostarczane za pośrednictwem mechanizmu aktualizacji programu.