攻擊者找到了繞過關鍵MicrosoftOffice補丁的方法

攻擊者設法創造了一種新穎的漏洞利用，能夠繞過今年早些時候修補的Microsoft Office 中的一個關鍵的遠程代碼執行漏洞。

根據網絡安全公司Sophos 的最新研究，攻擊者能夠利用公開可用的概念驗證 Office 漏洞并將其武器化以傳播Formbook 惡意軟件。上周投機人士對債券市場的押注出了岔子，增持看跌美國國債頭寸的時機恰逢變異株omicron出現引發全球債市大漲。

早在 9 月份，微軟就發布了一個補丁，以防止攻擊者執行嵌入在Word文檔中的惡意代碼，該文檔下載包含惡意可執行文件的 Microsoft 文件柜 存檔通過重新設計原始漏洞并將惡意 Word 文檔放入特制的 RAR 存檔中，攻擊者創建了能夠成功繞過原始補丁的無 CAB形式的漏洞利用

令人驚訝的是，這個新穎的漏洞利用垃圾郵件傳播了大約 36 小時，然后它完全消失了Sophos 的研究人員認為，該漏洞的有限生命周期可能意味著它是一個試運行實驗，可用于未來的攻擊

繞過關鍵補丁

在調查過程中，Sophos 的研究人員發現，負責的攻擊者創建了一個異常的 RAR 存檔，其中包含一個 PowerShell 腳本，其中包含一個存儲在存檔中的惡意 Word 文檔。。

為了傳播格式錯誤的 RAR 存檔及其惡意內容，攻擊者創建并分發垃圾郵件，邀請受害者解壓縮 RAR 文件以訪問 Word 文檔但是，打開文檔會觸發一個運行前端腳本的進程，導致他們的設備感染惡意軟件

Sophos 的首席威脅研究員 Andrew Brandt 在一份新聞稿中解釋了攻擊者是如何繞過微軟修補原始漏洞的，他說:

理論上，這種攻擊方法不應該奏效，但確實奏效了攻擊的預補丁版本涉及打包到 Microsoft 文件柜文件中的惡意代碼當微軟的補丁堵住了這個漏洞時，攻擊者發現了一個概念驗證，展示了如何將惡意軟件捆綁成不同的壓縮文件格式，一個 RAR 檔案以前曾使用 RAR 檔案來分發惡意代碼，但這里使用的過程異常復雜之所以成功，可能只是因為補丁的權限定義非常狹窄，而且用戶打開 RAR 所需的 WinRAR 程序具有很強的容錯性，并且似乎并不介意存檔是否格式錯誤，例如，因為它已被篡改

雖然針對已知漏洞修補軟件很重要，但對員工進行有關打開可疑電子郵件附件的危險的教育也同樣重要，尤其是當它們以不尋?；虿皇煜さ膲嚎s文件格式到達時。