Microsoft warnt vor Angriffen auf alte Office-Schwachstelle

Microsoft warnt vor einer aktuellen Spam-Kampagne, die E-Mails mit einem schädlichen RTF-Dokument verbreitet. Es soll eine Schadsoftware ohne weitere Interaktion mit einem Nutzer installieren, sobald die RTF-Datei geöffnet wird. Dafür nutzen die Angreifer eine bereits im November 2017 gepatchte Schwachstelle in Microsofts Office-Anwendungen.

Davon betroffen sind den Microsoft-Forschern zufolge in erster Linie Nutzer in Europa, die von den Cyberkriminellen in ihrer jeweiligen Landessprache angesprechen werden. Wird die RTF-Datei geöffnet, führt sie im Hintergrund mehrere Skripte aus, unter anderem in VBScript, PowerShell und PHP.

Ziel ist es, einen Backdoor-Trojaner einzurichten. Dessen Befehlsserver ist allerdings derzeit nicht verfügbar. Microsoft geht jedoch davon aus, dass künftige Kampagnen dem gleichen Muster folgen und dann einen funktionierenden Befehlsserver verwenden könnten.

Die beste Möglichkeit, sich vor einem Angriff zu schützen, ist jedoch den schon im November 2017 veröffentlichen Patch für die Schwachstelle mit der Kennung CVE-2017-11882 zu installierten. Dem zugehörigen Advisory von Microsoft zufolge erlaubt die Anfälligkeit das Einschleusen und Ausführen von Schadcode. „Die Ausnutzung dieser Sicherheitsanfälligkeit erfordert, dass ein Benutzer eine speziell gestaltete Datei mit einer betroffenen Version von Microsoft Office- oder Microsoft WordPad-Software öffnet. Bei einem E-Mail-Angriff kann ein Angreifer diese Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Datei an den Benutzer sendet und ihn dazu verleitet, die Datei zu öffnen.“ Betroffen sind alle Office-Versionen von 2007 Service Pack 3 bis 2016.

Neuere Office-Versionen sind nicht betroffen, weil Microsoft die eigentlich anfällige Komponente Equation Editor inzwischen vollständig aus Office entfernt hat. Auslöser war die Entdeckung eines weiteren Bugs in der Komponente im vergangenen Jahr.

Angriffe auf diese Lücke sind bereits seit Ende 2017 bekannt. Kaspersky bezeichnete die Schwachstelle CVE-2017-11882 sogar als die am häufigsten angegriffene Anfälligkeit des Jahres 2018. FireEye meldete in der vergangenen Woche zudem zwei weitere Angriffe von mutmaßlich chinesischen Gruppen, bei denen ebenfalls CVE-2017-11882 zum Einsatz gekommen sein soll. Damit ist die Anfälligkeit leider auch ein weiteres Beispiel dafür, dass Verbraucher und auch Unternehmen nachlässig mit von Microsoft bereitgestellten Sicherheitspatches umgehen.