Microsoft Office „im Sturm“ erobern

Als „Storm-0978“ bekannte Bedrohungsakteure nutzen aktiv eine ungepatchte Schwachstelle zur Remote-Ausführung von Code in Microsoft Office und Windows HTML aus. Diese schwerwiegende Zero-Day-Schwachstelle mit einem CVSS-v3.1-Score von 8,3 und der Bezeichnung CVE-2023-36884 wurde über speziell gestaltete Microsoft Office-Dokumente ausgenutzt, die Opfer mithilfe von E-Mail-Ködern zum Öffnen verleitet. 

Storm-0978 zielt auf militärische und Regierungseinrichtungen in Europa und Nordamerika ab, mit E-Mails zum Thema „Ukrainian World Congress“ und „NATO“. Diese enthalten Links zu einer Website, auf der sich die gefährlichen Dokumente befinden. 

Sobald das Opfer das bösartige Office-Dokument öffnet, können die Bedrohungsakteure beliebigen Code auf den Zielsystemen ausführen und möglicherweise zusätzliche Payloads wie Remote-Access-Trojaner (RAT) oder Ransomware bereitstellen. 

Da diese Schwachstelle derzeit nicht behoben ist, könnten andere Bedrohungsakteure versuchen, ähnliche Bedrohungen mithilfe ähnlicher Taktiken und Techniken einzusetzen – beispielsweise die Übertragung bösartiger Dokumente per E-Mail-Anhänge, anstatt auf eine bösartige Website zu verlinken. 

Zum Zeitpunkt der Veröffentlichung wurde keine vollständige Liste der betroffenen Microsoft-Office- und Windows-Versionen bekanntgegeben. Es wird davon ausgegangen, dass aktuelle Office-, Windows- und Word-Versionen betroffen sind.

Wer ist Storm-0978? 

Storm-0978 – auch bekannt als „RomCom“, da sie zuvor das RomCom-RAT benutzt haben – ist Berichten zufolge eine cyberkriminelle Bande aus Russland, die mindestens seit 2022 aktiv ist. 

Die Gruppe hat bereits zuvor trojanisierte Versionen beliebter Software verwendet, um das RomCom-RAT zu verbreiten, und wurde auch mit den Ransomware-Bedrohungen „Trigona“ und „Underground“ in Verbindung gebracht. Letzteres ist möglicherweise eine Neuauflage von „Industrial Spy“. 

Wie es bei finanziell motivierten Bedrohungsakteuren häufig der Fall ist, scheinen frühere Angriffe auf die Telekommunikations- und Finanzbranche eher opportunistisch gewesen zu sein. Im Gegensatz dazu wirken ihre jüngsten Aktivitäten weitaus gezielter und sind möglicherweise sogar durch ein Spionageziel motiviert. 

Empfehlungen 

Bis zur Veröffentlichung eines Sicherheitsupdates außerhalb des Zyklus oder eines Updates im Rahmen des monatlichen Patch-Tuesday-Releases sollten Unternehmen die aktuellen Hinweise von Microsoft in ihrem Sicherheitsupdate-Leitfaden befolgen. Hier wird empfohlen, die Regel zur Reduzierung der Angriffsfläche „Blockieren aller Office-Anwendungen bei der Erstellung untergeordneter Prozesse“ in Microsoft Defender zu aktivieren. Oder Sie können den Registrierungsschlüssel FEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATION aktivieren. 

Bei diesen Änderungen ist es wichtig, dass Organisationen die Auswirkungen einer Änderung in der Registrierungsdatenbank berücksichtigen, da diese die Funktionalität von Anwendungen beeinträchtigen können. Unternehmen sollten auch in Betracht ziehen, einen proaktiven Ansatz zu verfolgen, indem sie die Veröffentlichung von Sicherheitsupdates außerhalb des Zyklus überwachen.

Darüber hinaus können Sie Zugriffsbeschränkungen für die Domänen und IP-Adressen implementieren, die im Abschnitt „Kompromittierungsindikatoren“ (Indicators Of Compromise, IOCs) aufgeführt sind. Dies verhindert nicht nur, dass Benutzer auf bösartige Inhalte zugreifen, sondern vereitelt auch potenzielle Command-and-Control-Aktivitäten.

Schließlich sollten Sie bei einem Verdacht auf einen gezielten Angriff Ihre Umgebung gründlich auf die unten aufgeführten IOCs überprüfen und sofort Maßnahmen zur Eindämmung und Behebung der festgestellten Bedrohungen ergreifen. Indem Sie diese Empfehlungen befolgen, können Sie die Sicherheitslage Ihres Unternehmens verbessern und den Schaden durch mögliche Sicherheitsvorfälle minimieren.

Kompromittierungsindikatoren (IOCs)