CCN-CERT AV 15/17 Distribución de malware a través de DDE de Office

Detalles: Published: 23 Outubro 2017


	AVISOS

	Abuso del protocolo DDE de Microsoft Office para distribuir malware 23/10/2017 El Equipo de Respuesta a Incidentes del Centro Criptológico Nacional, CCN-CERT, avisa sobre una funcionalidad en Microsoft Office que está siendo utilizada para la distribución de código dañino entre los usuarios. El riesgo es aún mayor puesto que, a diferencia de los ataques más comunes, en esta ocasión no se requiere que las macros estén habilitadas. La vulnerabilidad se encuentra en el protocolo DDE (Dynamic Data Exchange o Intercambio Dinámico de Datos) y es explotado para ejecutar código entre los usuarios de numerosas aplicaciones: Word, Excel o Visual Basic, entre otras. Los atacantes utilizan este protocolo para realizar la apertura de una línea de comandos (principalmente cmd.exe y powershell.exe), proceder con la descarga del instalador de la amenaza y su posterior ejecución, sin que el usuario en ningún momento sea consciente. Han sido varias las campañas de distribución de malware detectadas hasta el momento utilizando este protocolo. Un grupo de investigadores notificó este fallo a Microsoft quien considera que estamos ante una función adicional que han encontrado los atacantes, no una vulnerabilidad. Por ello, en futuras versiones se estudiará esta característica. Recomendaciones Al ser una funcionalidad no existe actualización posible, no obstante, se recomiendan las siguientes acciones: Prestar especial atención a las fuentes de correo electrónico, los archivos que abren y los enlaces dentro de ellos, puesto que la distribución del código dañino requiere que el usuario acepte la ejecución. Por este motivo, si no confían plenamente en el emisor del mensaje, no abrir el correo. Evitar la actualización automática de enlaces en Microsoft Office. Para ello, se puede desactivar dicha característica yendo al menú Opciones > Avanzado > Actualizar enlaces automáticos al abrir. Más información: Sensepost RedesZone Hackplayers Fayerwayer Atentamente, Equipo CCN-CERT ////////////////////////////////////////////////////////////////////////////////////////// Esta es una lista de notificaciones del CCN-CERT. Por favor, no responda a este correo. Si necesita más información, póngase en contacto con nosotros a través del correo: info@ccn-cert.cni.es Síganos en: www.ccn-cert.cni.es ////////////////////////////////////////////////////////////////////////////////////////// El CCN-CERT (www.ccn-cert.cni.es) es la Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional, CCN (www.ccn.cni.es). Este servicio se creó en el año 2006 como el CERT Gubernamental/Nacional español y sus funciones quedan recogidas en la Ley 11/2002 reguladora del Centro Nacional de Inteligencia, el RD 421/2004 regulador del CCN y en el RD 3/2010, de 8 de enero, regulador del Esquema Nacional de Seguridad (ENS), modificado por el RD 951/2015 de 23 de octubre. De acuerdo a todas ellas, es competencia del CCN-CERT la gestión de ciberincidentes que afecten a sistemas clasificados, del Sector Público y de empresas y organizaciones de interés estratégico para el país. Su misión, por tanto, es contribuir a la mejora de la ciberseguridad española, siendo el centro de alerta y respuesta nacional que coopere y ayude a responder de forma rápida y eficiente a los ciberataques y a afrontar de forma activa las ciberamenazas. Claves PGP Públicas --------------------- info@ccn-cert.cni.es / ccn-cert@ccn-cert.cni.es -------------------- Fingerprint: 4E02 00AE B06B 9E9D 20FE D3FF 8CC9 CC95 949A 0AA6 Descarga -------------------- ////////////////////////////////////////////////////////////////////////////////////////// AVISO DE CONFIDENCIALIDAD: El presente mensaje va dirigido de manera exclusiva a su destinatario. Si usted no es el destinatario de este mensaje (o la persona responsable de su entrega), considérese advertido de que lo ha recibido por error, así como de la prohibición legal de realizar cualquier tipo de uso, difusión, reenvío, impresión o copia del mismo. Si ha recibido este mensaje por error, por favor notifíquelo al remitente y proceda a destruirlo inmediatamente.

© 2017 Centro Criptológico Nacional, Argentona 30, 28023 MADRID