Les macros repr\u00e9sentent le moyen le plus simple de convertir un document Office en arme d\u2019attaque. Les applications Office comportent un moteur int\u00e9gr\u00e9 capable d\u2019ex\u00e9cuter des scripts VBA (Visual Basic for Applications). Lorsque les macros sont activ\u00e9es, ces scripts peuvent s\u2019ex\u00e9cuter imm\u00e9diatement \u00e0 l\u2019ouverture d\u2019un document (sans aucune action de l\u2019utilisateur) et ainsi propager un code malveillant dans le syst\u00e8me. Si l\u2019ex\u00e9cution n\u2019est pas automatique, une fen\u00eatre \u00ab\u00a0pop-up\u00a0\u00bb appara\u00eet pour demander \u00e0 l\u2019utilisateur d\u2019activer les macros. Cette fen\u00eatre fait partie des m\u00e9canismes de s\u00e9curit\u00e9 mis en place par Microsoft pour r\u00e9duire les risques associ\u00e9s aux macros. De plus, Microsoft impose l\u2019extension .docm (au lieu de .docx) aux nouveaux documents Word contenant des macros. Toutes ces mesures n\u2019emp\u00eachent malheureusement pas les utilisateurs de se faire pi\u00e9ger. R\u00e9sultat\u00a0: les macros restent des vecteurs d\u2019attaque privil\u00e9gi\u00e9s\u00a0\u2013 aussi bien pour propager des ransomwares comme Emotet<\/a><\/u> que pour lancer des attaques sophistiqu\u00e9es comme cette campagne Sofacy<\/a><\/u>.<\/p>\n Figure 1\u00a0: Document infect\u00e9 par Sofacy, avant et apr\u00e8s activation du contenu<\/p>\n Dans cet exemple, les attaquants ont eu recours \u00e0 des techniques d\u2019ing\u00e9nierie sociale pour inciter les utilisateurs \u00e0 activer les macros (pour voir tout le contenu du document) et ainsi d\u00e9sactiver les m\u00e9canismes de s\u00e9curit\u00e9 de Microsoft. Or, le contenu du document \u00e9tait d\u00e9j\u00e0 pr\u00e9sent avant l\u2019activation des macros. Les attaquants l\u2019avaient simplement mis en blanc pour le rendre invisible aux utilisateurs.<\/p>\n <\/p>\n Fichiers Flash int\u00e9gr\u00e9s<\/strong><\/p>\n Les documents Office peuvent \u00e9galement \u00eatre int\u00e9gr\u00e9s \u00e0 des objets externes, tel que les fichiers Adobe Flash. Si le logiciel charg\u00e9 de traiter ces objets comporte une vuln\u00e9rabilit\u00e9, les attaquants pourront les int\u00e9grer au contenu Adobe Flash du document Office et exploiter la vuln\u00e9rabilit\u00e9. C\u2019est le cas de CVE-2018-4878<\/a><\/u>, une vuln\u00e9rabilit\u00e9 zero-day d\u2019Adobe Flash Player exploit\u00e9e en incorporant des fichiers SWF malveillants dans des documents Excel. Dans ce type d\u2019attaque, le fichier Excel infect\u00e9 contient un objet Adobe Flash capable de d\u00e9clencher la vuln\u00e9rabilit\u00e9 Flash et d\u2019ex\u00e9cuter le code shell int\u00e9gr\u00e9.<\/p>\n <\/p>\n \u00c9diteur d\u2019\u00e9quations Microsoft<\/strong><\/p>\n Comme avec les contenus Adobe Flash, il est possible d\u2019ins\u00e9rer des \u00e9quations dans un document Office. Ce dernier sera analys\u00e9 par l\u2019\u00e9diteur d\u2019\u00e9quations Microsoft, un programme simple de cr\u00e9ation d\u2019\u00e9quations math\u00e9matiques.<\/p>\n Figure 2\u00a0: \u00c9diteur d\u2019\u00e9quations Microsoft<\/p>\n Comme dans l\u2019exemple pr\u00e9c\u00e9dent, les vuln\u00e9rabilit\u00e9s de l\u2019\u00e9diteur d\u2019\u00e9quations peuvent \u00eatre exploit\u00e9es depuis un document Office malveillant. Nous l\u2019avons r\u00e9cemment vu avec les vuln\u00e9rabilit\u00e9s CVE-2017-11882<\/a><\/u> et CVE-2018-0802<\/a><\/u>. Dans les deux cas, la m\u00e9thode \u00e9tait la m\u00eame\u00a0: les attaquants se servaient des failles de l\u2019\u00e9diteur d'\u00e9quations pour ex\u00e9cuter du code \u00e0 distance lorsqu\u2019un utilisateur ouvrait un document Office. Notre \u00e9quipe de recherche sur les menaces (Unit\u00a042) a identifi\u00e9 d\u2019autres vuln\u00e9rabilit\u00e9s similaires et encore non exploit\u00e9es li\u00e9es \u00e0 l\u2019\u00e9diteur d\u2019\u00e9quations Microsoft (par ex. CVE-2018-0807<\/a><\/u>\u00a0et CVE-2018-0798<\/a><\/u>).<\/p>\n Remarque\u00a0: l\u2019\u00e9diteur d'\u00e9quations Microsoft s\u2019ex\u00e9cute comme un processus s\u00e9par\u00e9 (eqnedt32.exe). Par d\u00e9faut, les mesures de s\u00e9curit\u00e9 sp\u00e9cifiques \u00e0 Microsoft Office (EMET, Windows Defender Exploit Guard, etc.) ne s\u2019appliquent donc pas car elles ne concernent que les processus Microsoft Office (comme winword.exe).<\/p>\n <\/p>\n Objets OLE et gestionnaires HTA<\/strong><\/p>\n Les objets OLE et les gestionnaires HTA servent \u00e0 ajouter des r\u00e9f\u00e9rences vers d\u2019autres documents \u00e0 l\u2019int\u00e9rieur de documents Office. Pour compromettre un terminal, les attaquants proc\u00e8dent comme suit\u00a0:<\/p>\n Cette technique a \u00e9t\u00e9 utilis\u00e9e pour exploiter CVE-2017-0199<\/a><\/u>, une vuln\u00e9rabilit\u00e9 Microsoft Office\/WordPad d\u2019ex\u00e9cution de code \u00e0 distance. Corrig\u00e9e par Microsoft en septembre 2017, elle a \u00e9t\u00e9 exploit\u00e9e \u00e0 de nombreuses reprises comme lors de la campagne OilRig<\/a><\/u>.<\/p>\n![\"\"](\"https:\/\/www.paloaltonetworks.com\/blog\/wp-content\/uploads\/2018\/10\/WordDocImage1zhCN.png\")
<\/span><\/div><\/p>\n![\"\"](\"https:\/\/www.paloaltonetworks.com\/blog\/wp-content\/uploads\/2018\/10\/WordDocImage2zhCN.png\")
<\/span><\/div><\/p>\n\n
![\"\"](\"https:\/\/www.paloaltonetworks.com\/blog\/wp-content\/uploads\/2018\/10\/WordDocImage3zhCN.png\")
<\/span><\/div><\/p>\n