Attacchi informatici usando documenti Office, l’allerta di Microsoft

Il 7 settembre scorso Microsoft ha pubblicato un advisory che mette in guardia contro documenti Microsoft Office alterati per trasformarli in vettori di attacchi informatici. Questa tecnica di attacco viene già sfruttata attivamente dai criminali informatici per colpire gli utenti Windows.

La vulnerabilità in questione, la CVE-2021-40444, si basa su un difetto presente in MSHTML/Trident, il motore di rendering usato dall’obsoleto Internet Explorer e oggi utilizzato da Office per visualizzare i contenuti Web nei documenti Word, Excel e PowerPoint.

Se si apre con Microsoft Office su Windows un documento Office alterato in questo modo (includendovi un controllo ActiveX), l’aggressore che ha inviato il documento può prendere il controllo del computer della vittima, perché il motore di rendering esegue il codice ActiveX con gli stessi privilegi dell’utente. Il codice ActiveX usa questo potere per scaricare e installare un malware scelto dall’aggressore.

La vulnerabilità è insomma potenzialmente molto seria, ma va detto che se Microsoft Office viene usato con le sue impostazioni predefinite l’attacco non va a segno perché i documenti scaricati da Internet vengono aperti in Visualizzazione protetta o in Application Guard e quindi non possono accedere alle risorse trusted del computer attaccato. L’attacco non ha effetto su chi usa Microsoft Office su Mac ma riguarda tutte le versioni di Windows dalla 8.1 alla 10.

Defender, l’antivirus di Microsoft, già riconosce i documenti-trappola che sfruttano questa vulnerabilità, e lo stesso fanno i principali antivirus di altre marche, se li aggiornate.

Dovrebbe uscire a breve un aggiornamento di sicurezza che correggerà la falla, ma nel frattempo Microsoft consiglia a tutti non solo di aggiornare il proprio antivirus ma di disabilitare l’installazione di tutti i controlli ActiveX in Internet Explorer (nel modo spiegato nell’advisory) per contenere i danni di un eventuale attacco. Un altro consiglio è non usare un account Windows che abbia privilegi di amministratore, non disattivare la Visualizzazione protetta per nessun motivo e non aprire documenti Office inattesi, ricevuti via mail o scaricati da siti Internet non fidati.

Tutte cose ovvie, in linea di principio, ma purtroppo molti utenti non rispettano questi principi e poi finiscono per essere scottati. 

Fonti aggiuntive: The Hacker News, Cybersecurity360.it, Sophos, Tripwire.