एमएस वर्ड के सभी संस्करणों में महत्वपूर्ण 0day भेद्यता पाई गई

McAfee और FireEye ने Microsoft वर्ड के उपयोगकर्ताओं पर एक नए 0day भेद्यता के माध्यम से वास्तविक हमलों की खोज की सूचना दी, जिसके लिए एक पैच अभी तक जारी नहीं किया गया है। भेद्यता आपको पीड़ित के कंप्यूटर पर चुपचाप मनमाना कोड निष्पादित करने और दुर्भावनापूर्ण सॉफ़्टवेयर स्थापित करने की अनुमति देती है। सबसे बुरी बात यह है कि विंडोज के सभी संस्करणों पर एमएस वर्ड के सभी संस्करण असुरक्षित हैं, जिसमें विंडोज 10 के तहत ऑफिस 2016 का नवीनतम संस्करण भी शामिल है, यहां तक ​​कि मैक्रोज़ अक्षम भी।

Microsoft को भेद्यता की सूचना दी गई है और पैच मंगलवार सुरक्षा अद्यतन के लिए पैच तैयार करने का समय होना चाहिए, जो कि कल 11 अप्रैल को आयोजित किया जाएगा। हालांकि, एक समान 0day भेद्यता CVE-2014-4114 / 6352 (उर्फ सैंडवर्म) शो के साथ एक कहानी के रूप में, Microsoft हमेशा पहले पैच से 0day को बंद करने में सक्षम नहीं है।

McAfee के शोधकर्ताओं ने लिखा है कि उन्होंने इस साल के जनवरी में 0day का उपयोग करते हुए पहले हमलों की खोज की। जाहिरा तौर पर, उन्होंने हाल ही में दुर्भावनापूर्ण कोड के नमूने प्राप्त किए, इसलिए वे संक्रमण तंत्र का विस्तार से विश्लेषण करने में सक्षम थे।

हमले के दौरान वर्ड हमलों का उपयोग किया जाता है (विशेष रूप से, एक्सटेंशन के साथ RTF दस्तावेज़। डॉक)।

यदि Microsoft Word में Office Word संरक्षित दृश्य अक्षम है, तो जब आप कोई दस्तावेज़ खोलते हैं, तो शोषण स्वचालित रूप से शुरू होता है। उसके बाद, winword.exe प्रक्रिया एक दूरस्थ सर्वर के लिए एक HTTP अनुरोध करती है, जहां से वह RTF दस्तावेज़ के रूप में प्रच्छन्न HTA फ़ाइल (HTML एप्लिकेशन) डाउनलोड करता है। HTA फ़ाइल स्वचालित रूप से लॉन्च की जाती है और एक दुर्भावनापूर्ण स्क्रिप्ट को निष्पादित करती है। यह स्क्रिप्ट मूल संक्रमित वर्ड फ़ाइल को बंद कर देती है, और इसके बजाय उपयोगकर्ता को एक नकली टेक्स्ट दस्तावेज़ दिखाती है। मूल winword.exe प्रक्रिया उपयोगकर्ता को OLE2Link प्रदर्शित करने वाली विंडो से छिपाने के लिए बंद है। उसी समय, स्क्रिप्ट कंप्यूटर पर स्थापना के लिए दूरस्थ सर्वर से अतिरिक्त दुर्भावनापूर्ण कोड डाउनलोड करती है।

.Hta के निष्पादन का उपयोग करते हुए, McAfee के शोधकर्ता लिखते हैं, शोषण के लेखक Microsoft द्वारा कार्यान्वित सभी स्मृति सुरक्षा उपायों को प्रभावी ढंग से बायपास करते हैं, साथ ही एंटीवायरस सुरक्षा और अधिकांश अन्य सुरक्षा तरीके भी।

यहाँ सर्वर के साथ संचार का एक टुकड़ा है:



पीड़ित के कंप्यूटर पर स्थापित होने पर एंटी-वायरस प्रोग्राम को बायपास करने के लिए एक HTA को RTF दस्तावेज़ के रूप में मास्क किया जाता है। इस दस्तावेज़ के निचले भाग में दुर्भावनापूर्ण विज़ुअल बेसिक स्क्रिप्ट हैं जो सभी काम करती हैं।



McAfee विशेषज्ञ लिखते हैं कि यह 0day भेद्यता ऑब्जेक्ट लिंकिंग और एंबेडिंग (OLE) फ़ंक्शन के संचालन से संबंधित है, कार्यालय कार्यक्षमता का एक महत्वपूर्ण हिस्सा है जो वास्तव में आपको दूसरों के अंदर कुछ दस्तावेज़ एम्बेड करने की अनुमति देता है। विभिन्न आक्रमणों के लिए इस विशेषता का बार-बार उपयोग किया गया है। उदाहरण के लिए, 2015 में वापस, उसी McAfee विशेषज्ञों ने ब्लैक हैट यूएसए हैकर सम्मेलन के लिए एक प्रस्तुति तैयार की, जिसमें उन्होंने ओएलई के माध्यम से संभावित हमले वैक्टर के बारे में बात की।

FireEye कर्मचारियों का दावा है कि उन्होंने McAfee से पहले इस भेद्यता की खोज की और Microsoft को संदेश भेजने वाले पहले थे, लेकिन पैच जारी होने तक चुप रहे। McAfee ब्लॉग पोस्ट प्रकाशित करने के बाद, चुप रहने का कोई मतलब नहीं है, इसलिए उन्होंने यह भी बताया कि इस शोषण का विश्लेषण करने के बाद वे क्या समझ सकते हैं।

FireEye उत्पादों में, दुर्भावनापूर्ण दस्तावेज़ Malware.Binary.Rtf के रूप में परिभाषित किए गए हैं।

सुरक्षा विशेषज्ञ मिकको हिप्पोनेन को पता चला कि Microsoft अगले पैच मंगलवार को, यानी 11 अप्रैल, 2017 को निश्चित रूप से इस भेद्यता के लिए एक पैच जारी करेगा।


पैच को स्थापित करने से पहले, आप रजिस्ट्री में RTF को इस तरह से ब्लॉक कर सकते हैं: रजिस्ट्री में मान सेट करें
Software\Microsoft\Office\15.0\Word\Security\FileBlock\RtfFiles 2 पर सेट है, और OpenInProtectedView 0. पर सेट है। इस स्थिति में, जब आप RTF प्रारूप में फ़ाइल खोलने का प्रयास करते हैं, तो यह संदेश दिखाई देगा:



वैसे, यह रयान हैनसन की सिफारिश है, जो दावा करता है कि यह वह था जिसने जुलाई में इस 0 दिन की खोज की थी, और अक्टूबर 2016 में इसकी रिपोर्ट की। और अब यह अजनबियों द्वारा विभाजित किया गया था। यदि वह सच कह रहा है, तो Microsoft वास्तव में बहुत लंबे समय से महत्वपूर्ण कमजोरियों को कवर कर रहा है।


लेकिन परीक्षणों से पता चला कि जब आप संरक्षित मोड में Office संरक्षित दृश्य खोलते हैं, तो शोषण निष्पादन के लिए नहीं चल सकता है, इसलिए RTF को अवरुद्ध करना एक चरम उपाय है।

किसी भी स्थिति में, निकट भविष्य में, सभी Microsoft Office उपयोगकर्ताओं से आग्रह किया जाता है:

• अविश्वसनीय स्रोतों से प्राप्त किसी भी कार्यालय के दस्तावेजों को न खोलें।
• ऑफिस प्रोटेक्टेड व्यू प्रोटेक्शन सक्षम करें।

एंटी-वायरस कंपनियां यह नहीं बताती हैं कि हमलों के शिकार कौन थे। लेकिन पिछले अनुभव से यह ज्ञात है कि ऐसे 0 का उपयोग अक्सर सरकारी आदेशों पर लक्षित हमलों में किया जाता है। यह अजीब है कि Microsoft इतने लंबे समय तक पैच पर काम कर रहा है।