Microsoft Word 曝高危零日漏洞推送恶意软件 Dridex 操控百万用户

据外媒报道，黑客正在利用 Microsoft Word 中尚未披露的零日漏洞发动攻击。安全人员表示，黑客可以利用该漏洞静默安装恶意软件 Dridex 操控百万用户设备。

相关报道称，该漏洞不同于多数与文档相关的漏洞。它尚未被修复，而且不依赖于宏命令。Office 通常会在用户启用宏命令文档时提醒用户存在风险。相反，该漏洞的触发方式为引诱用户打开一个伪装的 RTF 文档，该文档将从服务器下载恶意 HTML 应用程序，之后该程序将下载并执行恶意脚本，最终为用户计算机植入恶意软件 Dridex 。

恶意软件 Dridex 侵略性攻击，人们本该对附在电子邮件上的任何 Word 文档保持警惕，即使它由熟知的收件人发送。安全研究人员 McAfee 率先于上周五发现该漏洞并发表声明，由于 HTML 应用程序可以执行，允许黑客在目标计算机上绕过系统保护机制运行代码。另一家安全公司 FireEye 也在上周六公布了相似报告，并表示已经向微软报告了该漏洞。

FireEye 安全人员称，该问题与 Windows Object Linking and Embedding (OLE)  功能有关，OLED 功能则主要用于 Office 和 Windows 内建文档查看器 WordPad ，在过去几年该功能已经引发多个漏洞。值得一提的是，该漏洞影响所有的 Office 版本，包括最新版本 Office 2016 ，而攻击从今年 1 月就已经开始。

本文据 HackerNews、天极网 报道翻译、整理，封面来源于网络。

from hackernews.cc.thanks for it.