Cyberangriffe durch Office-Dokumente werden häufiger und komplexer

Angreifer machen sich zunutze, dass viele Menschen fast jedes Office-Dokument öffnen, sogar solche aus einer nicht vertrauenswürdigen Quelle. [...]

Auf Office-Dokumenten basierende Cyberangriffe sind seit über einem Jahrzehnt ein gängiger Angriffsvektor. In letzter Zeit treten sie jedoch häufiger auf und werden zudem komplexer, wie Palo Alto Networks berichtet. Dieser Anstieg kann darauf zurückzuführen sein, dass die Verwendung von Browser-Exploits aufgrund der von den Browserentwicklern vorgenommenen Sicherheitsmaßnahmen schwieriger wird. Die Angreifer machen sich zunutze, dass viele Menschen fast jedes Office-Dokument öffnen, sogar solche aus einer nicht vertrauenswürdigen Quelle. Cyberangreifer setzen daher häufig auf diese Dateien, um ein System zu kompromittieren.

Entscheidend ist es daher, dass Unternehmen wissen, wie sie sich gegen diese gängigen Techniken verteidigen können. Unit 42, die Anti-Malware-Abteilung von Palo Alto Networks, zeigt fünf verschiedene Möglichkeiten auf, wie Office-Dokumente unterwandert und missbraucht werden können, um einen Windows-Endpunkt anzugreifen und zu kompromittieren.

1. Makros

Makros sind der einfachste Weg für einen Angreifer, um Office-Dokumente zu „bewaffnen“. Office-Anwendungen haben eine eingebaute Script-Engine, die VBA-Scripts (Visual Basic for Applications) ausführen kann. Diese Scripts können sofort beim Öffnen des Dokuments ausgeführt werden, ohne dass ein Benutzer eingreifen muss (vorausgesetzt, Makros sind aktiviert) und bösartigen Code auf dem System ausführen. Wenn keine Makros aktiviert sind, erscheint ein Popup-Fenster, in dem der Benutzer aufgefordert wird, dieses anzuklicken. Dies ist einer von mehreren Sicherheitsmechanismen, die von Microsoft hinzugefügt wurden, um das Sicherheitsrisiko von Makros zu minimieren. Microsoft hat auch eine andere Dateierweiterung (.docm statt.docx für neue Dokumente mit Makros) eingeführt.</p>

Trotz dieser Maßnahmen entsch>eiden sich die Benutzer oftmals immer noch dafür, diese Dateien zu öffnen und ihren Inhalt zu aktivieren. Deshalb können Makros weiterhin ein gängiger Angriffsvektor sein, sowohl bei einfacheren, großflächigen Ransomware-Angriffen wie Emotet als auch bei komplexen Angriffen wie der Sofacy-Kampagne.

2. Eingebettete Flash-Dateien

Zusätzlich zu den integrierten Funktionen, wie Makros, können in Office-Dokumente auch externe Objekten, wie z.B. Adobe Flash-Dateien, eingebettet werden. So kann jede Schwachstelle, die die Software aufweist, auch ausgenutzt werden kann, indem sie in den Adobe Flash>-Inhalt im Office-Dokument eingebettet wird. Ein Beispiel für einen solchen Angriffsvektor ist CVE-2018-4878, eine Zero-Day-Bedrohung im Adobe Flash Player, durch das Einbetten von bösartigen SWF-Dateien in Excel-Dokumente. Bei solchen Angriffen enthält das schadhafte Excel-Dokument eingebettete Adobe Flash-Inhalte, die die Flash-Schwachstelle auslösen und eingebetteten Shellcode ausführen können.

3. Microsoft Equation Editor

Ähnlich wie beim Einbetten von Adobe Flash-Dateien in ein Office-Dokument lassen sich auch Gleichungen in Dokumente einbetten, die von Microsoft Equation Editor, ein Programm zum einfachen Schreiben mathematischer Gleichungen, analysiert werden. Die Schwachstellen können durch den Einsatz von bösartigen Office-Dokumenten ausgenutzt werden. Ein aktuelles Beispiel ist CVE-2017-11882, das den Weg zu anderen Exploits wie CVE-2018-0802 ebnete, die Fehler im Equation Editor ausnutzen. Wenn Benutzer ein Office-Dokument öffnen, können Angreifer den Schadcode dann ferngesteuert ausführen.

Da der Microsoft Equation Editor als eigener Prozess (eqnedt32.exe) ausgeführt wird, sind Microsoft Office-spezifische Schutzfunktionen wie EMET und Windows Defender Exploit Guard standardmäßig nicht wirksam, da sie nur Microsoft Office-Prozesse (wie winword.exe) schützen.

4. OLE-Objekte & HTA-Handler

OLE-Objekte & HTA-Handler sind Mechanismen, die von Office-Dokumenten verwendet werden, um Verweise auf andere Dokumente in ihren Inhalt aufzunehmen. Sie können verwendet werden, um einen Endpunkt wie folgt zu kompromittieren: Ein Microsoft-Word-Dokument wird mit einem OLE2-eingebetteten Link-Objekt eingebettet. Sobald das Dokument geöffnet ist, sendet der Word-Prozess (winword.exe) eine HTTP-Anfrage an einen Remote-Server, um eine HTA-Datei mit einem bösartigen Script abzurufen. Winword.exe sucht dann den Datei-Handler für application/hta über ein COM-Objekt, wodurch die Microsoft HTA-Anwendung (mshta.exe) das schädliche Skript lädt und ausführt.

Diese Funktionalität wurde bei der Ausnutzung von CVE-2017-0199, eine Schwachstelle in der Microsoft Office/WordPad Remote Code Execution (RCE), die von Microsoft im September 2017 gepatcht wurde, in mehreren Kampagnen wie dieser OilRig-Kampagne eingesetzt.

Eine logische Sicherheitslücke, bekannt als as CVE-2018-8174, ermöglicht es Angreifern, beliebigen HTML/JavaScript/VBScript auszuführen. Dieser Fehler kann verwendet werden, um andere Schwachstellen, wie eine UAF-Schwachstelle in der VBScript-Engine, auszunutzen, um beliebige Codeausführung im Kontext der Word-Anwendung (winword.exe) und die Kontrolle über das System zu ermöglichen.

5. Prävention

Multi-Methoden-Endpunktschutz, der nicht signaturbasiert ist, bietet verschiedene Methoden der Malware- und Exploit-Prävention zum Schutz vor diesen Bedrohungen:

• Makro-Überprüfung: Intelligenter Endpunktschutz untersucht jedes Office-Dokument auf die Existenz bösartiger Makros, indem es sowohl die WildFire-Bedrohungsanalyse-Cloud als auch lokale, auf maschinellem Lernen basierende Funktionen nutzt und verhindert, dass bösartige Dateien überhaupt vom Benutzer geöffnet werden.
• Exploit-Prävention: Mit den umfassenden Exploit-Präventionsfunktionen wird verhindert, dass bösartiger Shellcode auf dem angegriffenen Endpunkt erfolgreich ausgeführt wird.
• Multi-Methoden-Endpunkschutz überwacht standardmäßig Office-Anwendungen und stellt sicher, dass legitime, integrierte Prozesse nicht für bösartige Abläufe genutzt werden.