Τα 3 κορυφαία exploits του Microsoft Office που χρησιμοποιούν οι χάκερ το 2025—και πώς να τα σταματήσετε

Το 2025, οι χάκερ συνεχίζουν να εκμεταλλεύονται αρχεία γραφείου, καθιστώντας τα κορυφαία μέσα επίθεσης για κυβερνοέγκλημα. Η κατανόηση αυτών των ευπαθειών σάς βοηθά να προστατεύσετε τα δεδομένα, τις συσκευές, τα δίκτυα και τη φήμη του οργανισμού σας. Ακολουθούν οι τρεις κορυφαίες ευπάθειες που βασίζονται στο Microsoft Office και οι βασικές στρατηγικές για την άμυνα εναντίον τους.

1. Ηλεκτρονικό ψάρεμα (phishing) μέσω κακόβουλων εγγράφων του Office

Οι επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing) που αφορούν αρχεία του Microsoft Office εξακολουθούν να είναι διαδεδομένες λόγω της πανταχού παρουσίας και της αποτελεσματικότητάς τους. Οι εισβολείς στέλνουν πλαστά τιμολόγια ή αναφορές ως αρχεία Word ή Excel για να ξεγελάσουν τους παραλήπτες ώστε να ανοίξουν κακόβουλα συνημμένα. Πολλές φορές αυτά τα email προέρχονται από κάποιον που γνωρίζετε. Το email του έχει παραβιαστεί ( παραβίαση επαγγελματικού email ). Οι χρήστες που ανοίγουν το συνημμένο καλούνται να ενεργοποιήσουν μακροεντολές ή να κάνουν κλικ σε συνδέσμους. Αυτά οδηγούν σε ψεύτικους ιστότοπους που κλέβουν διαπιστευτήρια ή διακριτικά περιόδου σύνδεσης . Ένας άλλος φορέας επίθεσης στέλνει έναν κωδικό QR ως δωροεπιταγές. Όταν σαρώνονται, οι χρήστες επισκέπτονται έναν κακόβουλο ιστότοπο που κλέβει τα διαπιστευτήριά τους, τα διακριτικά περιόδου σύνδεσης ή ξεκινά τη λήψη κακόβουλου λογισμικού.

Στρατηγικές Άμυνας:

• Εκπαίδευση χρηστώνΕκπαιδεύστε τους υπαλλήλους σχετικά με την αναγνώριση των προσπαθειών ηλεκτρονικού "ψαρέματος" (phishing) και τους κινδύνους από την ενεργοποίηση μακροεντολών ή την παρακολούθηση ανεπιθύμητων συνδέσμων.
• Χρήση πυλών ασφαλείας ηλεκτρονικού ταχυδρομείου με περιβάλλον δοκιμών συνημμένων: Αναπτύξτε μια λύση ασφάλειας email που αναλύει συνημμένα σε ένα sandbox πριν από την παράδοση. Αυτό απομονώνει και πυροδοτεί πιθανώς κακόβουλα αρχεία του Office για να παρατηρήσει τη συμπεριφορά τους με ασφάλεια.
• Αποτροπή Κλοπής Token (Προηγμένη Στρατηγική): Αυτός ο διαλογισμός στα reddit νήμα παρέχει ακριβά (αλλά ευκολότερα) και λιγότερο ακριβά (αλλά περίπλοκα) μέτρα για την καταπολέμηση της κλοπής διακριτικών συνεδρίας στο O365.

Τα παραπάνω μέτρα επικεντρώνονται στην εκμετάλλευση των τελικών χρηστών μέσω της κοινωνικής μηχανικής. Εκμεταλλεύονται την πανταχού παρουσία των email, των συνημμένων και των αξιόπιστων σχέσεων με γνωστά μέρη. Υπάρχει ένας άλλος τρόπος επίθεσης εδώ: η εκμετάλλευση των ελλειπουσών ενημερώσεων κώδικα (patches) σε συστήματα τελικών χρηστών. Η Microsoft κυκλοφόρησε ενημερώσεις κώδικα (patches) για αυτές τις εκμεταλλεύσεις, αλλά πολλά συστήματα παραμένουν μη ενημερωμένα.

2. CVE-2017-11882: Το επίμονο θέμα ευπάθειας του Equation Editor

Οι χάκερ εξακολουθούν να εκμεταλλεύονται το CVE-2017-11882 σε παρωχημένες εκδόσεις του Office, παρά τις ενημερώσεις κώδικα που κυκλοφόρησαν το 2017. Το ελάττωμα του Equation Editor επιτρέπει στους εισβολείς να εκτελούν κώδικα όταν οι χρήστες ανοίγουν κακόβουλα έγγραφα χωρίς επιπλέον κλικ. Τα exploits που αξιοποιούν αυτό το κενό ασφαλείας συχνά μεταφέρουν κακόβουλο λογισμικό όπως το Agent Tesla , ένα Trojan Remote Access Trojan (RAT) που κλέβει πληροφορίες.

Στρατηγικές Άμυνας:

• Απενεργοποίηση μακροεντολών από προεπιλογή: Τα περισσότερα κακόβουλα προγράμματα που βασίζονται στο Office βασίζονται σε μακροεντολές VBA. Ρυθμίστε τις παραμέτρους της Πολιτικής ομάδας ή χρησιμοποιήστε τις ρυθμίσεις του Κέντρου αξιοπιστίας του Office για να απενεργοποιήσετε όλες τις μακροεντολές, ειδικά εκείνες με μηνύματα ειδοποίησης.
• Ανάλυση sandboxΌπως αναφέρθηκε προηγουμένως, η δημιουργία sandbox συνημμένων και η πυροδότηση συνημμένων αποτελούν μια αποτελεσματική στρατηγική για την ασφαλή ανάλυση ύποπτων εγγράφων και συνδέσμων.
• Εφαρμογή φιλτραρίσματος τύπου αρχείου συνημμένου: εκτός από την απενεργοποίηση των μακροεντολών, θα πρέπει πάντα να αποκλείετε ή να θέτετε σε καραντίνα επικίνδυνους τύπους συνημμένων, όπως .docm, .xlsm, .htaκαι .js στην πύλη ή στο τελικό σημείο email. Επιτρέψτε μόνο συνήθως χρησιμοποιούμενες μορφές όπως .docx or .xlsx που δεν υποστηρίζουν ενσωματωμένες μακροεντολές.
• Διαχείριση διανυσμάτωνΒεβαιωθείτε ότι όλες οι εγκαταστάσεις του Microsoft Office είναι ενημερωμένες με τις πιο πρόσφατες ενημερώσεις ασφαλείας.
• Κατάργηση πρόσβασης διαχειριστή και ανάπτυξη προστασίας τελικού σημείου: Αφαίρεση Δικαιώματα διαχείρισης από την καθημερινή χρήση αποτρέπει ορισμένα exploits από το να εκμεταλλεύονται μια συσκευή. Προσθέστε ισχυρό Ανίχνευση και απόκριση τελικού σημείου (EDR) λύσεις για τον εντοπισμό και τον αποκλεισμό προσπαθειών εκμετάλλευσης.

Προχωρώντας από τα συνηθισμένα exploits συνημμένων, το 3ο ενεργά χρησιμοποιούμενο exploit το 2025 απαιτεί μόνο ένα κλικ από τον τελικό χρήστη σε ένα κακόβουλο αρχείο.

3. CVE-2022-30190: Το έγκλημα «Follina»

Η ευπάθεια «Follina» (CVE-2022-30190) εκμεταλλεύεται το Εργαλείο Διαγνωστικής Υποστήριξης της Microsoft (MSDT) μέσω ειδικά κατασκευασμένων εγγράφων του Office. Οι εισβολείς ενσωματώνουν κακόβουλες διευθύνσεις URL μέσα σε έγγραφα του Office. Όταν οι χρήστες τα ανοίγουν, οι διευθύνσεις URL ενεργοποιούν την απομακρυσμένη εκτέλεση κώδικα χωρίς μακροεντολές. Αυτή η εκμετάλλευση έχει χρησιμοποιηθεί για την ανάπτυξη διαφόρων ωφέλιμων φορτίων, συμπεριλαμβανομένων εκείνων που αποκρύπτονται μέσω στεγανογραφίας —απόκρυψη κακόβουλου κώδικα μέσα σε αρχεία εικόνας.

Στρατηγικές Άμυνας:

• Αφαίρεση εξαρτημάτωνΑπενεργοποιήστε ή καταργήστε όλα τα περιττά στοιχεία από τις αναπτύξεις των Windows, συμπεριλαμβανομένου του Equation Editor που αναφέρθηκε παραπάνω, και περιορίστε τη χρήση του Πρωτόκολλο URL MSDT για την αποτροπή της εκμετάλλευσής του μέσω εγγράφων του Office.

Εκτελέστε την εντολή cmd ως διαχειριστής και πληκτρολογήστε: reg delete HKEY_CLASSES_ROOTms-msdt /f

• Ενημερώσεις ασφαλείαςΤα πλήρως ενημερωμένα συστήματα δεν είναι πλέον εκμεταλλεύσιμα από αυτήν την ευπάθεια Follina. Βεβαιωθείτε ότι η λύση διαχείρισης ενημερώσεων κώδικα που χρησιμοποιείτε περιλαμβάνει ενημερώσεις κώδικα του Microsoft Office (πρέπει να έχει ρυθμιστεί για αυτό) εκτός από τις ενημερώσεις κώδικα του λειτουργικού συστήματος.
• Χρησιμοποιήστε τους κανόνες μείωσης επιφάνειας επίθεσης (ASR): Εάν χρησιμοποιείτε το Microsoft Defender για Endpoint, ενεργοποιήστε το Κανόνες ASR για να εμποδίσετε το Office να εκκινεί θυγατρικές διεργασίες όπως το msdt.exe. Προτεινόμενος κανόνας: "Αποκλεισμός όλων των εφαρμογών του Office από τη δημιουργία θυγατρικών διεργασιών".

  Ορισμός μέσω Intune, Πολιτικής ομάδας ή PowerShell:

  Set-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions Ενεργοποιήθηκε

Συμπέρασμα

Η διαρκής εκμετάλλευση των τρωτών σημείων του Microsoft Office υπογραμμίζει την ανάγκη για συνεχή προληπτικά μέτρα ασφαλείας. Η τακτική ενημέρωση του λογισμικού, η εκπαίδευση των χρηστών και η εφαρμογή προηγμένων μηχανισμών ανίχνευσης απειλών αποτελούν απαραίτητα βήματα για την άμυνα κατά αυτών των επίμονων απειλών. Παραμένοντας ενημερωμένοι σχετικά με τις τρέχουσες τεχνικές εκμετάλλευσης και διατηρώντας ισχυρές πρακτικές κυβερνοασφάλειας, οι οργανισμοί μπορούν να μετριάσουν τους κινδύνους που σχετίζονται με κακόβουλα έγγραφα του Office.

Ασφαλίστε την επιχείρησή σας με το CyberHoot σήμερα!!!

Εγγραφείτε τώρα

Δεν είστε έτοιμοι να εγγραφείτε ακόμα, αλλά θέλετε να μάθετε περισσότερα; Παρακολουθήστε το μηνιαίο διαδικτυακό μας σεμινάριο για να δείτε μια επίδειξη του CyberHoot, να κάνετε ερωτήσεις και να μάθετε τι νέο υπάρχει. Κάντε κλικ στο Πράσινο Πλαίσιο παρακάτω για να Εγγραφείτε. Θέλετε, το νιώθω!

Εγγραφή σεμιναρίου

 Πρόσθετες Πληροφορίες:

• Νέα για τους χάκερ: Τα 3 κορυφαία εκμεταλλεύματα του MS Office που χρησιμοποιούν οι χάκερ το 2025 – Μείνετε σε εγρήγορση!