El investigador Kevin Beaumont advierte a los usuarios de Microsoft Office de una característica que permite a los atacantes ejecutar código malicioso a través de documentos, incluso si la ejecución de macros están deshabilitadas






Cada versión de Windows de Microsoft Office contiene una característica que permite incrustar contenido en los documentos. Estos incluyen el contenido ejecutable, como archivos .exe y JavaScript, así lo ha indicado el investigador Kevin Beaumont en la lista de correo Full Disclosure.

OLE Packager

• https://en.wikipedia.org/wiki/Object_Linking_and_Embedding

OLE Packager, que es como se llama la función, está disponible desde principios de 1990 en el software de Microsoft. Esta característica  permite la incrustación de contenido, y se introdujo en Windows 3.1 y fue soportada hasta Windows XP. Todas las versiones de Office admiten la función todavía, incluso ncluding Office 2013 x64 en Windows 10 x64bits- Para evitar cualquier abuso de la función realizada Microsoft utiliza una lista de tipos de archivo de riesgo no actualizada.

• Office 2010 -> Insert -> Object.

Una vez un tipo de archivo considerado de riesgo en el documento se agrega a la vista de lista y muestra una advertencia al usuario. Esta advertencia se puede ignorar, pero los usuarios pueden al menos ver que el documento contiene contenido potencialmente peligroso. Según Beaumont la lista estática no es, sin embargo, actualizada.Por ejemplo, PowerShell y otros archivos ejecutables no son reconocidos y, por lo tanto, los usuarios obtienen ninguna advertencia. Así que es posible llevar a cabo a través de la apertura de de un documento de office ejecutar el código malicioso de archivos en el equipo. No se detectan con las  macros apagadas, o incluso haciendo uso de  las plantillas de alta seguridad.

Prueba de Concepto - PoC

Varios Documentos de prueba de Concepto aquí:

• http://owned.lab6.com/~gossi/research/public/packager/

SalesOrder.rtf / docx - bloquea su estación de Trabajo de Windows
OrderRemittance.xlsx - Invierte SUS botones izquierdo y derecho del ratón, y persiste en el Reinicio

Estos documentos están limpios para todos los proveedores de antivirus, comprobado.


También se ha probado estos documentos en Malwarebytes Anti-Exploit y tampoco pudo ser detectado.

Además, tampoco es detectado por Cuckoo Sandbbox  o Palo-Alto Wildfire con su sandbox

Solución

Se informó a Microsoft en marzo de este año sobre el problema y se le dijo que los atacantes estaban experimentando con la característica. Sin embargo, Microsoft le habría pedido no publicar la información sobre el tema. Finalmente le dijeron al investigador que el problema aún no se resuelve, ya que esta  es una característica de Office.

Para los usuarios de Windows, pueden instalar Microsoft EMET, una herramienta gratuita para Windows que añade una seguridad suplementaria, para que asuma el control para Excel, Word y PowerPoint y que impide que la función puede ser implementada. Hay que añadir una regla ASR que deniege "packager.dll".Sin embargo, esto también impide el uso legítimo de la función

Fuente:
http://seclists.org/bugtraq/2015/Jul/23