Microsoft PowerPoint используется для скачивания вредоносных приложений

Уязвимость в интерфейсе Windows Object Linking Embedding (OLE) используется злоумышленниками посредством PowerPoint для установки вредоносных приложений. Компания Trend Micro утверждает, что уязвимость обычно используется посредством документов формата Rich Text File (RTF), но в данном случае в ход пошли слайды PowerPoint.

Всё по обыкновению начинается с фишинговых электронных писем. Вложенный файл якобы содержит информацию о поставке какого-то заказа. На самом деле это файл PPSX, который нужен для воспроизведения слайд-шоу в PowerPoint и не может быть отредактирован. Если получатель запустит его, будет показан текст CVE-2017-8570, это ссылка на уязвимость в Microsoft Office.

На самом деле используется уязвимость CVE-2017-0199, начинается заражение компьютера и вредоносный код запускается через анимацию PowerPoint. В итоге скачивается файл logo.doc. Документ представляет собой файл XML с кодом JavaScript, в PowerShell он запускает команду на скачивание программы RATMAN.exe, которая представляет собой троянскую версию инструмента удалённого доступа Remcos. После устанавливается связь с сервером.

Remcos может фиксировать нажатия клавиатуры, делать снимки экрана, записывать видео и аудио, скачивать другие вирусы. Хакер получает полный контроль над компьютером. Поскольку метод обнаружения CVE-2017-0199 сосредоточен на файлах RTF, файлы PowerPoint позволяют избегать внимания антивирусов.

Microsoft закрыла эту уязвимость в апреле, так что обновлённые компьютеры защищены.