|
|
Une faille 0day découverte dans Word et combinée avec un rootkit
Par Rédaction,
secuobs.com
Le 31/05/2006
Résumé : Un nouveau malware exploitant une faille non corrigée dans le traitement de texte Microsoft Word a fait son apparition. Il utilise également des fonctionnalités de type rootkit. - Lire l'article
Un nouveau malware exploitant une faille non corrigée dans le traitement de texte Microsoft Word a fait son apparition. Il utilise également des fonctionnalités de type rootkit.
Les virus de type Macro, visant les applications bureautiques courantes comme Word, Excel ou encore Powerpoint, ont été la coqueluche des auteurs de codes malicieux il y a quelques années.
Bien que détroné notamment par les exploits visant les navigateurs internet, des malwares visant ces applications sont toujours en circulation.
Le virus dénommé Ginwui.A par les finlandais de F-Secure exploite une vulnérabilité dans Microsoft Word (versions XP et 2003). Précisons qu'il ne s'agit pas d'un virus basé sur une macro.
Une fois la faille exploitée, il exécute un shellcode qui va télécharger puis installer un cheval de troie doté de fonctionnalités de type rootkit lui permettant une certaine furtivité lui évitant elle même d'être détecté par un logiciel antivirus par exemple.
Les attaquants peuvent ensuite contrôler le système infecté. Le cheval de troie est hébergé sur un système vers lequel pointe une adresse de type xxx.3322.org.
Le service 3322.org est un service de re-direction DNS principalement utilisé en Chine. Le blocage de ce domaine peut donc être une solution temporaire pour éviter une infection par ce malware bien que de nombreux sites légitimes utilisent également ce système (toujours en Chine).
Ce malware se réplique par l'intermédiaire de messages électroniques contenant un fichier attaché au format « .doc ». Il est souvent plus sûr d'interdire l'ouverture de tels fichiers, notamment dans un environnement sensible.
Il est également possible d'utiliser des applications alternatives, comme OpenOffice ou encore Abiword.
Une autre solution pour éviter la survenue de ce type de problèmes est la création d'une SRP (Security Restriction Policy) dans Windows, pour l'application Word comme le propose Matthew Murphy sur son blog.
En effet, ce malware a besoin des droits administrateurs pour s'installer, et il est possible d'obliger Word à fonctionner avec les privilèges d'un utilisateur normal, même si la personne qui l'utilise est connectée en temps qu'administrateur.
Il semblerait que cette combinaison Rootkit-0day ait servi lors d'attaques ciblées visant plusieurs entreprises américaines dont les employés ont été abusés par des mails “spoofés” reprenant les adresses d'employés des sociétés concernées.
Il est donc recommandé d'être particulièrement attentif lors de l'ouverture de pièces jointes au format word, qui devra de préférence être faite en premier lieu avec un programme alternatif. Microsoft travaille à la mise au point d'un correctif pour ce problème.
Lien vers le script de Matthew Murphy: lien
- Article suivant : Un résultat sur vingt des moteurs de recherche est potentiellement dangereux.
- Article précédent : Ransom-A : un virus rançonneur
- Article suivant dans la catégorie Virus : Un virus XSS s’attaque aux utilisateurs de Yahoo Mail
- Article précédent dans la catégorie Virus : Un nouveau Botnet fonctionnant en peer to peer
| Mini-Tagwall des articles publiés sur SecuObs : | | | | sécurité, exploit, windows, attaque, outil, microsoft, réseau, audit, metasploit, vulnérabilité, système, virus, internet, usbsploit, données, source, linux, protocol, présentation, scanne, réseaux, scanner, bluetooth, conférence, reverse, shell, meterpreter, vista, rootkit, détection, mobile, security, malicieux, engineering, téléphone, paquet, trames, https, noyau, utilisant, intel, wishmaster, google, sysun, libre |
| Mini-Tagwall de l'annuaire video : | | | | curit, security, biomet, metasploit, biometric, cking, password, windows, botnet, defcon, tutorial, crypt, xploit, exploit, lockpicking, linux, attack, wireshark, vmware, rootkit, conference, network, shmoocon, backtrack, virus, conficker, elcom, etter, elcomsoft, server, meterpreter, openvpn, ettercap, openbs, iphone, shell, openbsd, iptables, securitytube, deepsec, source, office, systm, openssh, radio |
| Mini-Tagwall des articles de la revue de presse : | | | | security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone, server, inject, patch, apple, twitter, mobile, virus, ebook, facebook, vulnérabilité, crypt, source, linux, password, intel, research, virtual, phish, access, tutorial, trojan, social, privacy, firefox, adobe, overflow, office, cisco, conficker, botnet, pirate, sécurité |
| Mini-Tagwall des Tweets de la revue Twitter : | | | | security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall, network, twitter, vmware, windows, microsoft, compliance, vulnerability, python, engineering, source, kernel, crypt, social, overflow, nessus, crack, hacker, virus, iphone, patch, virtual, javascript, malware, conficker, pentest, research, email, password, adobe, apache, proxy, backtrack |
|
|
|
|
|
