كيف يساعد فتح ملف PowerPoint المصاب المتسللين على غزو جهاز الكمبيوتر الخاص بك؟

توجد ثغرة أمنية في تنفيذ التعليمات البرمجية عن بعد في Microsoft Office (CVE-2017-0199) في Windows Object Linking and Embedding (OLE)، لذلك تم إصدار التصحيح في أبريل من هذا العام. ولكن لا يزال من الممكن أن تظهر المخاطر بطرق أخرى.

اكتشف باحثو الأمن السيبراني في Trend Micro حملة برامج ضارة جديدة تستخدم نفس الثغرة الأمنية، ولكن هذه هي المرة الأولى التي يتم فيها إخفاؤها خلف ملف PowerPoint (PPSX).

وفقًا لهؤلاء الباحثين، سيبدأ الهجوم بمرفق بريد إلكتروني مزيف من مزود خدمة الكابل ويستهدف بشكل أساسي الشركات في صناعة الإلكترونيات. يعتقد الباحثون أن هذا النوع من الهجمات يستخدم عنوان مرسل متنكرًا في شكل بريد إلكتروني حقيقي من قسم المبيعات.

كيفية الهجوم من خلال ملفات PowerPoint

الخطوة 1 : تحتوي رسالة البريد الإلكتروني على ملف PowerPoint مصاب (PPSX) في المرفق، يتظاهر بتقديم معلومات تسليم حول الطلب.

بريد إلكتروني مزيف يحتوي على محتوى يقدم معلومات حول الطلبات

الخطوة 2 : بمجرد التنفيذ، سيقوم ملف PPSX باستدعاء ملف XML مبرمج مسبقًا فيه لتنزيل ملف logo.doc من العنوان البعيد وتشغيله من خلال ميزة PowerPoint Show.

الخطوة 3 : سيستغل ملف logo.doc الثغرة الأمنية CVE-2017-0199، وسيقوم بتنزيل RATMAN.exe وتنفيذه على النظام الهدف.

الخطوة 4 : RATMAN.exe هو إصدار حصان طروادة من أداة Remcos Remote Control، والتي عند تثبيتها ستسمح للمهاجمين بالتحكم في الكمبيوتر المصاب من خادم C&C بعيد.

كانت Remcos في الأصل أداة مشروعة ولكن المتسللين أنشأوا نسخة طروادة

Remcos هي أداة وصول عن بعد قانونية وقابلة للتخصيص تتيح للمستخدمين التحكم في أنظمتهم من أي مكان في العالم بقدرات معينة، مثل التحميل وتنفيذ سطر الأوامر وتسجيل نشاط المكتب وتسجيل لوحة المفاتيح والشاشة وكاميرا الويب بالإضافة إلى الميكروفون.

نظرًا لاستخدام الثغرة الأمنية لاسترداد ملفات Rich Text File (RTF) المصابة، فإن معظم طرق الكشف عن CVE-2017-0199 تركز على RTF. يتيح استخدام ملف PPSX الجديد أيضًا للمهاجمين تجاوز أدوات الكشف عن الفيروسات.

أسهل طريقة لحماية نفسك من هذا النوع من الهجمات هي تنزيل تصحيح Microsoft الذي تم إصداره في أبريل على هذا العنوان. https://portal.msrc.microsoft.com/en-US/eula