BABOO PRO | Microsoft alerta para campanha de spam que explora vulnerabilidade no Office
A Microsoft alertou recentemente para uma nova campanha de spam que utiliza anexos para explorar uma vulnerabilidade no Office identificada como CVE-2017-11882.
Em uma série de tweets publicados pela conta Microsoft Security Intelligence, a empresa diz que esta campanha utiliza mensagens com anexos no formato RTF que exploram a vulnerabilidade CVE-2017-11882 assim que o documento é aberto pelo usuário.
A vulnerabilidade afeta o Office 2007, 2010, 2013, 2016 e foi corrigida em novembro de 2017. O problema é que muitos não instalaram a correção.
Quando o usuário abre o documento com o exploit para a vulnerabilidade, ele executará múltiplos scripts de diferentes tipos (VBScript, PowerShell, PHP e outros) automaticamente no computador do usuário para baixar outros arquivos maliciosos:
Documento RTF contendo o exploit para a vulnerabilidade
Segundo o site BleepingComputer, ao testar um dos documentos usados por esta campanha de spam ele executou um script baixado a partir do serviço Pastebin que executou um comendo do PowerShell.
Este comando do PowerShell por sua vez fez o download de um arquivo codificado em Base64 e o salvou como '%temp%\bakdraw.exe'.
Uma cópia deste arquivo bakdraw.exe foi então colocada no diretório '%UserProfile%\AppData\Roaming\SystemIDE' e uma tarefa agendada chamada 'SystemIDE' foi criada para ser executada e assim garantir a persistência do arquivo:
A Microsoft diz que este arquivo é um backdoor configurado para se conectar a um domínio malicioso que não está mais acessível.
Mesmo assim nada impede que os criminosos por trás desta campanha alterem o domínio utilizado. A empresa recomenda que que os usuários instalem esta correção para a vulnerabilidade no Office o mais rápido possível.
A empresa de segurança FireEye detectou que a mesma vulnerabilidade CVE-2017-11882 está sendo usada em outra campanha de spam ativa na Ásia que instala o backdoor HawkBall.