Офисные документы Microsoft широко используются злоумышленниками для отправки вредоносного файла, а затем убеждают пользователя открыть файл с помощью методов социальной инженерии.
В Microsoft существует несколько способов обмена данными между приложениями, а самый популярный – DDE, который известен как Dynamic Data Exchange, который отправляет сообщения между приложениями и использует общую память для обмена данными между приложениями.
Он может использоваться для одноразового использования или для непрерывного обмена.
Здесь вы можете увидеть видео-учебник для DDE Exploit, сделанный gbhackers:
Хакеры используют этот метод в природе для выполнения вредоносных скриптов и для компрометации жертв.
Корпорация Майкрософт выпустила лучшие методы обеспечения безопасности, чтобы безопасно открывать документы Office, содержащие Dynamic Data Exchange, и настоятельно рекомендует просмотреть функцию безопасности.
В сценарии атаки по электронной почте злоумышленник может использовать DDE-протокол, отправив пользователю специально созданный файл, а затем убедить пользователя открыть файл, как правило, путем соблазна в письме.
Злоумышленнику придется убедить пользователя отключить Защищенный режим и нажать одну или несколько дополнительных подсказок.
Поскольку вложения электронной почты являются основным методом, который злоумышленник может использовать для распространения вредоносного ПО, Microsoft настоятельно рекомендует клиентам проявлять осторожность при открытии подозрительных файловых вложений.
Недавняя уязвимость удаленных исполняемых файлов MS Office позволяет злоумышленнику полностью контролировать зараженную операционную систему Windows, и эта уязвимость затронута всей версией Microsoft Office.
Он был рассмотрен Microsoft с рекомендациями по безопасности CVE-2017-11826.
Смягчение для DDE-атаки – Microsoft
Microsoft Excel
Excel сильно зависит от DDE, чтобы открывать документы, Microsoft предлагает выключить автоматическое обновление ссылок на рабочую книгу, чтобы предотвратить автоматическое обновление из Excel, включая DDE, OLE.
Если вы отключите автоматическое обновление, данные не будут обновлены, поэтому пользователю необходимо вручную подать данные.
Применяется к Office 2007, 2010, 2013, 2014.
Чтобы отключить функцию DDE через пользовательский интерфейс:
Установите Файл-> Опции-> Центр доверия-> Настройки центра доверия … -> Внешний контент-> Параметры безопасности для ссылок на рабочую книгу = Отключить автоматическое обновление ссылок на рабочую книгу.
Чтобы отключить функцию DDE с помощью редактора реестра:
[HKEY_CURRENT_USERSoftwareMicrosoftOffice<version>ExcelSecurity]
WorkbookLinkWarnings(DWORD) = 2
Microsoft Word – документы Office
Для Office 2010 и выше
[HKEY_CURRENT_USERSoftwareMicrosoftOffice<version>WordOptions]
DontUpdateLinks(DWORD)=1
Для Office 2007
[HKEY_CURRENT_USERSoftwareMicrosoftOffice12.0WordOptionsvpref]
fNoCalclinksOnopen_90_1(DWORD)=1
Microsoft Outlook
Для Office 2010 и выше
[HKEY_CURRENT_USERSoftwareMicrosoftOffice<version>WordOptionsWordMail]
DontUpdateLinks(DWORD)=1
Для Office 2007
[HKEY_CURRENT_USERSoftwareMicrosoftOffice12.0WordOptionsvpref]
fNoCalclinksOnopen_90_1(DWORD)=1
С обновлением Windows 10 после осени Windows Defender Exploit Guard может блокировать вредоносное ПО на базе DDE в соответствии с сокращением поверхности атаки.