การเปิดไฟล์ PowerPoint ที่ติดไวรัสช่วยให้แฮกเกอร์บุกรุกคอมพิวเตอร์ของคุณได้อย่างไร

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Microsoft Office (CVE-2017-0199) อยู่ใน Windows Object Linking and Embedding (OLE) ดังนั้นจึงมีการเปิดตัวแพตช์ในเดือนเมษายนปีนี้ แต่อันตรายก็ยังอาจปรากฏในรูปแบบอื่นได้

นักวิจัยด้านความปลอดภัยทางไซเบอร์ที่ Trend Micro ได้ค้นพบแคมเปญมัลแวร์ใหม่ที่ใช้ช่องโหว่เดียวกัน แต่นี่เป็นครั้งแรกที่ถูกซ่อนอยู่หลังไฟล์ PowerPoint (PPSX)

ตามที่นักวิจัยเหล่านี้ การโจมตีจะเริ่มต้นด้วยไฟล์แนบอีเมลปลอมจากผู้ให้บริการเคเบิล และกำหนดเป้าหมายไปที่บริษัทในอุตสาหกรรมการผลิตอุปกรณ์อิเล็กทรอนิกส์เป็นหลัก นักวิจัยเชื่อว่าการโจมตีประเภทนี้ใช้ที่อยู่ผู้ส่งซึ่งปลอมตัวเป็นอีเมลจริงจากฝ่ายขาย

วิธีการโจมตีผ่านไฟล์ PowerPoint

ขั้นตอนที่ 1 : อีเมลมีไฟล์ PowerPoint (PPSX) ที่ติดไวรัสในไฟล์แนบ โดยอ้างว่าให้ข้อมูลการจัดส่งเกี่ยวกับคำสั่งซื้อ

อีเมลปลอมที่มีเนื้อหาให้ข้อมูลเกี่ยวกับคำสั่งซื้อ

ขั้นตอนที่ 2 : เมื่อดำเนินการแล้ว ไฟล์ PPSX จะเรียกไฟล์ XML ที่ตั้งโปรแกรมไว้ล่วงหน้าเพื่อดาวน์โหลดไฟล์ logo.doc จากที่อยู่ระยะไกล และเรียกใช้ผ่านฟีเจอร์ PowerPoint Show

ขั้นตอนที่ 3 : ไฟล์ logo.doc จะใช้ประโยชน์จากช่องโหว่ CVE-2017-0199 โดยการดาวน์โหลดและเรียกใช้ RATMAN.exe บนระบบเป้าหมาย

ขั้นตอนที่ 4 : RATMAN.exe เป็นเครื่องมือควบคุมระยะไกล Remcos เวอร์ชันโทรจัน ซึ่งเมื่อติดตั้งแล้วจะช่วยให้ผู้โจมตีสามารถควบคุมคอมพิวเตอร์ที่ติดไวรัสจากเซิร์ฟเวอร์ C&C ระยะไกลได้

เดิม Remcos เป็นเครื่องมือที่ถูกต้องตามกฎหมาย แต่แฮกเกอร์ได้สร้างเวอร์ชันโทรจันขึ้นมา

Remcos เป็นเครื่องมือการเข้าถึงระยะไกลที่ถูกกฎหมายและปรับแต่งได้ ซึ่งช่วยให้ผู้ใช้ควบคุมระบบของตนได้จากทุกที่ในโลกด้วยความสามารถบางอย่าง เช่น การโหลด การดำเนินการบรรทัดคำสั่ง และการบันทึกกิจกรรมบนโต๊ะ การบันทึกคีย์บอร์ด หน้าจอและเว็บแคม ตลอดจนไมโครโฟน

เนื่องจากมีการใช้ช่องโหว่เพื่อเรียกค้นไฟล์ Rich Text File (RTF) ที่ติดไวรัส วิธีการส่วนใหญ่ในการตรวจหา CVE-2017-0199 จึงมุ่งเน้นไปที่ RTF การใช้ไฟล์ PPSX ใหม่ยังช่วยให้ผู้โจมตีสามารถเลี่ยงผ่านเครื่องมือตรวจจับไวรัสได้

วิธีที่ง่ายที่สุดในการป้องกันตัวเองจากการโจมตีประเภทนี้คือดาวน์โหลดแพตช์ของ Microsoft ที่เผยแพร่ในเดือนเมษายนตามที่อยู่นี้ https://portal.msrc.microsoft.com/en-US/eula