打開受感染的 PowerPoint 文件如何幫助駭客入侵您的電腦？

Microsoft Office中的遠端程式碼執行漏洞（CVE-2017-0199）駐留在Windows物件連結和嵌入（OLE）中，因此今年4月發布了修補程式。但危險仍可能以其他方式出現。

趨勢科技的網路安全研究人員發現了一個使用相同漏洞的新惡意軟體活動，但這是第一次將其隱藏在 PowerPoint (PPSX) 檔案後面。

這些研究人員表示，攻擊將從有線電視供應商的虛假電子郵件附件開始，主要針對電子製造業的公司。研究人員認為，此類攻擊使用偽裝成銷售部門真實電子郵件的寄件者地址。

如何透過PowerPoint文件進行攻擊

步驟 1：電子郵件的附件中包含受感染的 PowerPoint 文件 (PPSX)，並假裝提供有關訂單的送貨資訊。

虛假電子郵件，其內容提供有關訂單的信息

步驟2：執行後，PPSX文件將呼叫其中預先編程的XML文件，從遠端位址下載logo.doc文件，並透過PowerPoint Show功能運行它。

步驟3：logo.doc檔案將利用CVE-2017-0199漏洞，在目標系統上下載並執行RATMAN.exe。

步驟 4：RATMAN.exe 是 Remcos 遠端控制工具的木馬版本，安裝後將允許攻擊者從遠端 C&C 伺服器控制受感染的電腦。

Remcos 原本是一個合法工具，但駭客創建了木馬版本

Remcos 是一種合法的、可自訂的遠端存取工具，可讓使用者透過某些功能從世界任何地方控制其係統，例如載入、命令列執行、桌面活動記錄、鍵盤、螢幕和網路攝影機記錄以及麥克風。

由於該漏洞用於檢索受感染的富文本文件 (RTF) 文件，因此大多數檢測 CVE-2017-0199 的方法都集中在 RTF。使用新的 PPSX 檔案還允許攻擊者繞過病毒偵測工具。

防止此類攻擊的最簡單方法是透過此位址下載 4 月發布的 Microsoft 修補程式。https://portal.msrc.microsoft.com/en-US/eula