Les pirates cherchent souvent des vulnérabilités leur permettant d'exploiter la machine et d'installer des logiciels malveillants. Cette fois-ci, une vulnérabilité dans OLE (Windows Object Linking Embedding) est exploitée via Microsoft PowerPoint par les attaquants.

Selon un rapport de la société de sécurité Trend Micro, le type d'interface le plus couramment utilisé pour exploiter cette vulnérabilité est l'utilisation de fichier RTF. Tout cela est fait en portant une mascarade de diaporamas PowerPoint. Le modus operandi est cependant assez typique, un email contenant une pièce jointe est envoyé. Le contenu du courrier électronique est préparé de manière à attirer immédiatement l'attention du destinataire et à maximiser les chances de réponse.

Apparemment, le document joint est un fichier PPSX qui est un format de fichier associé à PowerPoint. Ce format ne propose que la lecture de la diapositive mais les options d’édition sont verrouillées. Si le fichier est ouvert, le texte suivant sera affiché: CVE-2017-8570. (Une autre vulnérabilité pour Microsoft Office.) '.

En réalité, l’ouverture du fichier déclenchera un exploit pour une autre vulnérabilité appelée CVE-2017-0199, qui déchargera ensuite le code malveillant via les animations PowerPoint. Finalement, un fichier appelé logo.doc sera téléchargé. Le document est constitué d'un fichier XML avec du code JavaScript, utilisé pour exécuter une commande PowerShell et télécharger le programme malveillant appelé 'RATMAN.exe.' qui est un cheval de Troie d'accès distant appelé.

Le cheval de Troie peut enregistrer des frappes au clavier, capturer des captures d'écran, enregistrer des vidéos et télécharger d'autres logiciels malveillants. En substance, l'attaquant contrôlera totalement votre ordinateur et peut littéralement causer de graves dommages en volant toutes vos informations, y compris vos mots de passe bancaires. L'utilisation du fichier PowerPoint est une touche astucieuse puisque le moteur antivirus recherchera le fichier RTF.

En fin de compte, Microsoft a déjà corrigé la vulnérabilité en avril et c’est une des raisons pour lesquelles nous suggérons aux personnes de garder leurs PC à jour. Une autre astuce essentielle consiste à éviter de télécharger des pièces jointes à partir de sources inconnues, mais ne le faites pas.