image

Ransomware verspreidt zich via DDE-feature in Word-document

vrijdag 20 oktober 2017, 14:40 door Redactie, 6 reacties

Cybercriminelen maken op dit moment gebruik van de DDE-feature in Microsoft Word om computers met de Locky-ransomware te infecteren, zo waarschuwt het Internet Storm Center. De Dynamic Data Exchange (DDE) feature van Word maakt het mogelijk om data van het ene document in een tweede document te injecteren. In plaats van een document kan er ook naar kwaadaardige code worden gelinkt.

De gebruiker moet echter nog steeds toestemming geven voor het uitvoeren van de code. Daarnaast werkt de aanval alleen als de gebruiker de Protected View-beveiliging van Word uitschakelt. Deze beveiligingsmaatregel staat standaard ingeschakeld, maar kan via één muisklik worden uitgeschakeld. Vorige week kwam de DDE-feature al in het nieuws omdat aanvallers er gebruik van maakten. De afgelopen dagen zijn er echter verschillende nieuwe spamruns waargenomen waarbij Word-documenten werden verstuurd die ontvangers via de DDE-feature met malware probeerden te infecteren.

In het geval van de Locky-ransomware gaat het om e-mails die zich als een factuur voordoen. De e-mails hebben een Word-document als bijlage. Zodra gebruikers het document openen krijgen ze de vraag of ze velden in het document die naar andere bestanden verwijzen willen bijwerken. Vervolgens wordt de gebruiker gevraagd of cmd.exe mag worden uitgevoerd. Als de gebruiker hiermee akkoord gaat wordt de Locky-ransomware uitgevoerd, die bestanden op het systeem versleutelt. Voor het ontsleutelen moeten slachtoffers 1200 euro betalen. Volgens verschillende experts maken aanvallers gebruik van de DDE-feature om filters en beleidsinstellingen te omzeilen die op macro's en embedded objecten controleren.

Image

Reacties (6)
21-10-2017, 11:12 door Anoniem
Door niet op de C-schijf te installeren kan worden vermeden dat cmd wordt uitgevoerd. Dit werkt bij malware die hard gecodeerde paden gebruiken.

De versie die ik heb gezien probeert Powershell te starten. PowerShell kun je onuitvoerbaar maken of op een andere wijze uitschakelen. PowerShell wordt gebruikt om via System.Net.WebClient een download te doen van een base64 gecodeerd bestand van een web site. Gedecodeerd is dat bestand is een script dat van 5 sites een executable probeert te downloaden. Die wordt opgeslagen als executable in de temp directory en vervolgens gestart.

Het is eenvoudig een generieke check te maken op alle DDE's die cmd of executables gebruiken. De vraag is of antivirus producten dat ook doen wegens het risico op false positives.
21-10-2017, 11:34 door Anoniem
volgens 'sommigen' is dat DDE een feature waar gebruikers zelf om gevraagd hadden. ik denk van niet. ik denk dat als mensen bewust gevraagd wordt, er een heel ander beeld onstaat over wat tegenwoorde in IT als std gebruiker wens aangenomen wordt.
21-10-2017, 16:51 door Anoniem
Door Anoniem: Door niet op de C-schijf te installeren kan worden vermeden dat cmd wordt uitgevoerd. Dit werkt bij malware die hard gecodeerde paden gebruiken.

De versie die ik heb gezien probeert Powershell te starten. PowerShell kun je onuitvoerbaar maken of op een andere wijze uitschakelen. PowerShell wordt gebruikt om via System.Net.WebClient een download te doen van een base64 gecodeerd bestand van een web site. Gedecodeerd is dat bestand is een script dat van 5 sites een executable probeert te downloaden. Die wordt opgeslagen als executable in de temp directory en vervolgens gestart.

Het is eenvoudig een generieke check te maken op alle DDE's die cmd of executables gebruiken. De vraag is of antivirus producten dat ook doen wegens het risico op false positives.

%windir% != c:\
23-10-2017, 14:44 door Anoniem
Door Anoniem: volgens 'sommigen' is dat DDE een feature waar gebruikers zelf om gevraagd hadden. ik denk van niet. ik denk dat als mensen bewust gevraagd wordt, er een heel ander beeld onstaat over wat tegenwoorde in IT als std gebruiker wens aangenomen wordt.

Eindgebruikers hebben ook niet om COM, RPC, LPC, java, webservices, bluetooth of wat voor middleware/interface/protocol dan ook gevraagd. Eindgebruikers vragen om functionaliteit (zoals het kunnen samenwerken tussen diverse processen), en dat levert dingen als RPC of DDE op. En dat soort interfaces/protocollen zijn, net als alles in de IT, aan erosie onderhevig, door de snelle ontwikkelingen, zowel in positieve zin als in negatieve zin (cybercrime).

Willen gebruikers 'DDE'? Nee, maar veel gebruikers willen wel Excel-bestanden in een Powerpoint deck verwerken, etc.
23-10-2017, 20:56 door Anoniem
kuch

https://www.security.nl/posting/536442/Securitybedrijf%3A+Microsoft+zou+DDE-feature+in+Word+moeten+patchen
24-10-2017, 08:40 door Anoniem
Door Anoniem:
Door Anoniem: volgens 'sommigen' is dat DDE een feature waar gebruikers zelf om gevraagd hadden. ik denk van niet. ik denk dat als mensen bewust gevraagd wordt, er een heel ander beeld onstaat over wat tegenwoorde in IT als std gebruiker wens aangenomen wordt.

Eindgebruikers hebben ook niet om COM, RPC, LPC, java, webservices, bluetooth of wat voor middleware/interface/protocol dan ook gevraagd. Eindgebruikers vragen om functionaliteit (zoals het kunnen samenwerken tussen diverse processen), en dat levert dingen als RPC of DDE op. En dat soort interfaces/protocollen zijn, net als alles in de IT, aan erosie onderhevig, door de snelle ontwikkelingen, zowel in positieve zin als in negatieve zin (cybercrime).

Willen gebruikers 'DDE'? Nee, maar veel gebruikers willen wel Excel-bestanden in een Powerpoint deck verwerken, etc.

dude DDE is legacy dat std aangezet staat, je argument had waarde gehad indien dit nu nog steeds VEEL gebruikt wordt (het tegenovergestelde van legacy dus).
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.