Nguy cơ nhiễm mã độc từ video đính kèm trong file Word

Nguy cơ bị tấn công

Việc tạo ra một tài liệu mà trong đó chưa một mã độc là rất dễ dàng.

Một kẻ tấn công trước tiên phải tạo một tài liệu Word, xây dựng bất kỳ nội dung nào mà chúng cho là thích hợp, sau đó sử dụng tùy chọn Chèn -> Video Trực tuyến, để thêm video YouTube vào tài liệu và lưu tệp.

Tệp đã lưu sau đó sẽ được giải nén bằng trình giải nén hoặc bằng cách thay đổi phần mở rộng .docx thành .zip và giải nén nó. Những hành động này cho phép kẻ tấn công truy cập một tệp XML được gọi là document.xml trong thư mục Word, để mở và chỉnh sửa nó.

Thay vì cài mã iframe của YouTube cho video (được bao gồm sau thông số embeddedHtml), kẻ tấn công có thể chọn đặt mã HTML hoặc JavaScript độc hại, sau đó lưu thay đổi, cập nhật đuôi .docx và tìm cách gửi tệp tới người dùng mục tiêu và thuyết phục họ mở tệp và nhấp vào video được nhúng để xem.

Khi người dùng nhấp chuột vào video sẽ kích hoạt tải xuống tệp được nhúng bằng cách mở Trình quản lý tải xuống của Internet Explorer. Trình quản lý sẽ hiện thị hộp thoại nhắc xem họ có muốn chạy hay lưu tệp không nhưng sẽ không được cảnh báo về những nguy hiểm có thể xảy ra khi làm như vậy. Và thật không may, nhiều người dùng không nghĩ cẩn thận về việc nhấp qua lời nhắc và ngay lập tức chọn OK nếu nội dung phù hợp với sở thích của họ.

“Những kẻ tấn công có thể sử dụng các mã độc này nhằm mục đích lừa đảo, vì tài liệu sẽ hiển thị video trực tuyến được nhúng với liên kết tới YouTube, đồng thời che giấu mã HTML/JavaScript ẩn sẽ chạy trong nền tảng và do đó dễ lừa người dùng”, CTO của Cymulate Avihai, Ben-Yossef chỉ ra.

Phải làm gì bây giờ?

Các nhà nghiên cứu coi đây là một lỗi và một lỗ hổng bảo mật và nói rằng nó có khả năng tác động đến tất cả người dùng sử dụng Office 2016 và các phiên bản cũ hơn.

Microsoft đã được thông báo về điều này, nhưng hiện tại họ không có ý định làm bất cứ điều gì vì phần mềm vẫn đảm bảo “giải thích đúng HTML như được thiết kế.”

Nhưng nếu tính năng bắt đầu bị lạm dụng một cách rộng rãi, họ có thể sẽ phải có hành động nào đó.

Một tình huống tương tự đã xảy ra vào năm ngoái, sau khi có sự gia tăng đáng kể các hoạt động tấn công của phần mềm độc hại lạm dụng tính năng Dynamic Data Exchange (DDE) trong Word, Microsoft ban đầu nói rằng đó chỉ là một tính năng, không phải lỗi và chỉ cung cấp lời khuyên giảm nhẹ sự tấn công, nhưng cuối cùng Microsoft buộc phải vô hiệu hóa DDE sẽ ngăn chặn sự lan rộng của các mã độc hại.

Mặc dù vậy, trong thời gian chờ đợi, người dùng không nên mở các tệp đính kèm trong email không mong muốn từ các nguồn không xác định hoặc đáng ngờ và các quản trị viên của doanh nghiệp cần phải cài đặt hệ thống bảo mật nhằm chặn tài liệu Word có chứa video đáng ngờ được nhúng.