{"id":189093,"date":"2017-04-09T19:41:45","date_gmt":"2017-04-09T17:41:45","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=189093"},"modified":"2021-11-05T12:40:34","modified_gmt":"2021-11-05T11:40:34","slug":"zero-day-lcke-ber-word-dokumente-ausgenutzt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/04\/09\/zero-day-lcke-ber-word-dokumente-ausgenutzt\/","title":{"rendered":"Zero-Day-Lücke über Word-Dokumente ausgenutzt"},"content":{"rendered":"

Ein kritischer Bug erm\u00f6glicht sogenannte Zero-Day-Angriffe auf Microsoft Windows durch manipulierte Word-Dateien. Das ist die Quintessenz eines Berichts der FireEye Sicherheitsforscher vom Wochenende.<\/p>\n

<\/p>\n

Im Blog-Post Acknowledgement of Attacks Leveraging Microsoft Zero-Day<\/a> ver\u00f6ffentlichen die FireEye-Forscher das Angriffsszenario. Die Forscher haben infizierte Microsoft Office RTF Dokumente 'in the wild' gefunden, die diese Sicherheitsl\u00fccke (f\u00fcr die es keinen Patch gibt) ausnutzen. \u00dcber die Sicherheitsl\u00fccke k\u00f6nnen Angreifer Visual Basic-Scripte ausf\u00fchren, sobald der Benutzer das Word-Dokument mit dem eingebetteten Exploit \u00f6ffnet. Die Sicherheitsl\u00fccke existiert wohl in verschiedenen Word-Versionen und es wurden mehrere Angriffe \u00fcber solche Word-Dokumente beobachtet. Sobald das Script ausgef\u00fchrt wird, l\u00e4dt dieses weitere Malware aus dem Internet nach.<\/p>\n

FireEye hat die Details der Sicherheitsl\u00fccke vor Wochen an Microsoft gemeldet. Da die Sicherheitsl\u00fccke wohl von einem anderen Blog ver\u00f6ffentlicht wurde, hat sich FireEye entschlossen, die Details im Blog-Post Acknowledgement of Attacks Leveraging Microsoft Zero-Day<\/a> zu publizieren.<\/p>\n

Beim Angriff erh\u00e4lt das Opfer eine E-Mail mit angeh\u00e4ngter Word-Datei. Das Word-Dokument enth\u00e4lt ein eingebettetes OLE2link-Objekt. Beim \u00d6ffnen der Word-Datei f\u00fchrt Word einen HTTP-Request zu einem Remote-Server aus, um eine mit Malware durchsetze .HTA-Datei herunterzuladen. Diese kommt als getarnte RTF-Datei daher. Das HTA-Programm (HTA steht f\u00fcr HTML Application) f\u00fchrt dann das interne VBScript aus, welches Malware nachl\u00e4dt. Nachtrag: Zwischenzeitlich gibt es einem Artikel<\/a> bei heise.de, der ein paar erg\u00e4nzende Infos enth\u00e4lt. (via<\/a>)<\/p>\n","protected":false},"excerpt":{"rendered":"

Ein kritischer Bug erm\u00f6glicht sogenannte Zero-Day-Angriffe auf Microsoft Windows durch manipulierte Word-Dateien. Das ist die Quintessenz eines Berichts der FireEye Sicherheitsforscher vom Wochenende.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[270,426],"tags":[4328,507],"class_list":["post-189093","post","type-post","status-publish","format-standard","hentry","category-office","category-sicherheit","tag-sicherheit","tag-word"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/189093","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=189093"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/189093\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=189093"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=189093"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=189093"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}