Prendre d’assaut Microsoft Office

Un réseau cybercriminel connu sous le nom de « Storm-0978 » exploite activement une vulnérabilité non corrigée d’exécution de code à distance dans Microsoft Office et Windows HTML. Cette vulnérabilité zero- day très grave désignée sous le nom de CVE-2023-36884 a obtenu un score CVSS v3.1 de 8,3. Elle a été exploitée par le biais de documents Microsoft Office spécialement conçus que les victimes sont incitées à ouvrir à l’aide d’e-mail frauduleux. 

Ces hackers ciblent les entités gouvernementales et de défense en Europe et en Amérique du Nord en envoyant des e-mails dont l’objet est « Congrès mondial ukrainien » ou « OTAN ». Ils incluent des liens vers un site Web qui héberge des documents frauduleux. 

Une fois que la victime a ouvert le document Office malveillant, les cybercriminels peuvent exécuter du code arbitraire sur les systèmes ciblés. Conséquence : ils peuvent envoyer des charges utiles supplémentaires telles que des chevaux de Troie d’accès distant (RAT) ou des ransomwares. 

Étant donné que cette vulnérabilité n’est pas encore corrigée, d’autres pirates peuvent tenter de lancer des attaques similaires en utilisant des tactiques semblables. Ils peuvent par exemple diffuser des documents destructeurs sous forme de pièces jointes incluses dans des e-mails plutôt que de créer un lien vers un site malveillant. 

À l’heure où nous écrivons cet article, la liste complète des versions vulnérables de Microsoft Office et Windows n’a pas été partagée. Cependant, on estime que les versions récentes d’Office, de Windows et de Word sont concernées.

Planifiez une démonstration personnalisée de 30 minutes avec l'un de nos experts en sécurité.

Voir Varonis en action.

Qui se cache derrière « Storm-0978 » ? 

« Storm-0978 », également connu sous le nom de « RomCom », en raison de son utilisation précédente du RAT du même nom, serait un réseau cybercriminel étroitement lié à la Russie. Il serait actif depuis au moins un an. 

Ayant déjà utilisé des chevaux de Troie de logiciels populaires pour diffuser le RAT RomCom, le groupe a également été associé aux menaces de ransomware « Trigona » et «  Underground ». Ce dernier pourrait être le nouveau nom d’« Industrial Spy ». 

Comme c’est souvent le cas avec des hackers motivés par l’appât du gain, les attaques qui ciblaient les secteurs des télécommunications et de la finance semblaient opportunistes. En revanche, leurs récentes activités semblent davantage ciblées, voire motivées par l’espionnage. 

Recommandations 

En attendant la publication d’une mise à jour de sécurité hors cycle ou dans la publication mensuelle Patch Tuesday, les entreprises doivent suivre les recommandations de Microsoft prodiguées dans leur guide de mise à jour de la sécurité. Ce dernier recommande de mettre en place la règle de réduction de la surface d’attaque « Bloquer toutes les applications Office pour créer des processus enfants » dans Microsoft Defender ou de configurer la clé de registre FEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATION. 

Lorsqu’elles effectuent ces ajustements, les entreprises doivent prendre en compte les impacts de tout changement de registre, car ceux-ci peuvent affecter les fonctionnalités des applications. Elles doivent également envisager d’adopter une approche proactive en surveillant la publication des mises à jour de sécurité hors cycle.

En outre, il convient d’envisager la mise en œuvre de restrictions d’accès aux domaines et aux adresses IP mentionnées dans la section relative aux indices de compromission (IOC). Cette opération permettra non seulement d’empêcher les utilisateurs d’accéder à des contenus malveillants, mais également de contrer d’éventuelles tentatives de commande et contrôle.

Enfin, si vous soupçonnez une attaque ciblée, analysez minutieusement votre environnement à la recherche des IOC indiqués ci-dessous et agissez immédiatement pour contenir et corriger les menaces identifiées. En suivant ces recommandations, votre entreprise peut renforcer sa posture de sécurité et minimiser l’impact d’éventuelles failles.

Indices de compromission (IOC)