Topp 3 Microsoft Office-utnyttelser hackere bruker i 2025 – og hvordan du kan stoppe dem

1. april 2025 | Rådgivning, Blogg

I 2025 fortsetter hackere å utnytte Office-filer, noe som gjør dem til en vanlig angrepsvektor for nettkriminalitet. Å forstå disse angrepene hjelper deg med å beskytte organisasjonens data, enheter, nettverk og omdømme. Her er de tre vanligste Microsoft Office-baserte angrepene som er aktivt i bruk, og viktige strategier for å forsvare seg mot dem.

1. Phishing via skadelige Office-dokumenter

Phishing-angrep som involverer Microsoft Office-filer fortsetter å være utbredt på grunn av deres allestedsnærværende og effektivitet. Angripere sender falske fakturaer eller rapporter som Word- eller Excel-filer for å lure mottakerne til å åpne ondsinnede vedlegg. Mange ganger kommer disse e-postene fra noen du kjenner; e-postadressen deres har blitt kompromittert ( kompromittert e-post for bedrifter ). Brukere som åpner vedlegget blir bedt om å aktivere makroer eller klikke på lenker. Disse fører til falske nettsteder som stjeler legitimasjon eller økttokener . En annen angrepsvektor sender en QR-kode som gavekort. Når skannede brukere besøker et ondsinnet nettsted som stjeler legitimasjonen deres, økttokener eller starter nedlasting av skadelig programvare.

Forsvarsstrategier:

BrukeropplæringLær opp ansatte i å gjenkjenne phishing-forsøk og farene ved å aktivere makroer eller følge uønskede lenker.
Bruk e-postsikkerhetsgatewayer med vedleggssandkasseImplementer en e-postsikkerhetsløsning som analyserer vedlegg i en sandkasse før levering. Dette isolerer og detonerer potensielt skadelige Office-filer for å observere oppførselen deres på en sikker måte.
Forhindre tokentyveri (avansert strategi): Dette reddit tråd tilbyr dyre (men enklere) og rimeligere (men kompliserte) tiltak for å bekjempe tyveri av økttoken i O365.

Tiltakene ovenfor fokuserer på å utnytte sluttbrukere gjennom sosial manipulering. De utnytter den allestedsnærværende tilstedeværelsen av e-post, vedlegg og pålitelige forhold til kjente parter. Det finnes en annen angrepsvektor her; utnyttelse av manglende oppdateringer på sluttbrukersystemer. Microsoft har gitt ut oppdateringer for disse angrepene, men mange systemer er fortsatt uoppdateringer.

2. CVE-2017-11882: Sårbarheten i den vedvarende ligningsredigereren

Hackere utnytter fortsatt CVE-2017-11882 i utdaterte Office-versjoner, til tross for oppdateringer som ble utgitt tilbake i 2017. Feilen i Equation Editor lar angripere kjøre kode når brukere åpner skadelige dokumenter uten ytterligere klikk. Utnyttelser som utnytter dette sikkerhetsproblemet leverer ofte skadelig programvare som Agent Tesla , en informasjonsstjelende Remote Access Trojan (RAT).

Forsvarsstrategier:

Deaktiver makroer som standard: Mesteparten av Office-basert skadelig programvare er avhengig av VBA-makroer. Konfigurer gruppepolicy eller bruk innstillingene for Office Trust Center for å deaktivere alle makroer, spesielt de med varslingsmeldinger.
SandkasseanalyseSom beskrevet tidligere ovenfor, er vedleggssandkassering og detonering av vedlegg en effektiv strategi for å analysere mistenkelige dokumenter og lenker på en sikker måte.
Implementer filtrering av vedleggsfiltyperI tillegg til å deaktivere makroer, bør du alltid blokkere eller sette risikable vedleggstyper i karantene, som .docm, .xlsm, .htaog .js ved e-postgatewayen eller endepunktet. Tillat bare vanlige formater som .docx or .xlsx som ikke støtter innebygde makroer.
Patch ManagementSørg for at alle Microsoft Office-installasjoner er oppdatert med de nyeste sikkerhetsoppdateringene.
Fjern administratortilgang og distribuer Endpoint Protection: Fjerner Administrative rettigheter fra daglig bruk forhindrer visse utnyttelsesmekanismer i å utnytte en enhet. Legg til robuste Endpoint Detection and Response (EDR) løsninger for å identifisere og blokkere angrepsforsøk.

I tillegg til vanlige vedleggsangrep, krever det tredje aktivt brukte angrepet i 3 bare et enkelt klikk fra sluttbrukeren på en skadelig fil.

3. CVE-2022-30190: «Follina»-utnyttelsen

Sårbarheten «Follina» (CVE-2022-30190) utnytter Microsoft Support Diagnostic Tool (MSDT) via spesiallagde Office-dokumenter. Angripere legger inn skadelige URL-er i Office-dokumenter. Når brukere åpner dem, utløser URL-ene ekstern kodekjøring uten makroer. Denne utnyttelsen har blitt brukt til å distribuere ulike nyttelaster, inkludert de som er skjult gjennom steganografi – å skjule skadelig kode i bildefiler.

Forsvarsstrategier:

Fjerning av komponenterDeaktiver eller fjern alle unødvendige komponenter fra Windows-distribusjonene dine, inkludert ligningsredigereren nevnt ovenfor, og begrens bruken av MSDT URL-protokoll for å forhindre utnyttelse gjennom Office-dokumenter.

Kjør cmd som administrator, og skriv inn: reg delete HKEY_CLASSES_ROOTms-msdt /f

SikkerhetsoppdateringerFullstendig oppdaterte systemer kan ikke lenger utnyttes av dette Follina-sårbarhetsproblemet. Sørg for at oppdateringsløsningen din inkluderer Microsoft Office-oppdatering (må være konfigurert til å gjøre det) i tillegg til operativsystemoppdatering.
Bruk regler for reduksjon av angrepsflater (ASR)Hvis du bruker Microsoft Defender for Endpoint, aktiver ASR-regler for å blokkere Office fra å starte underprosesser som msdt.exe. Anbefalt regel: «Blokker alle Office-programmer fra å opprette underprosesser.»
Angi via Intune, gruppepolicy eller PowerShell:
```
Set-MpPreference -AttackSurfaceReductionRules_Ids D4F940AB-401B-4EFC-AADC-AD5F3C50688A -AttackSurfaceReductionRules_Actions aktivert
```

Konklusjon

Den vedvarende utnyttelsen av sårbarheter i Microsoft Office understreker behovet for kontinuerlige proaktive sikkerhetstiltak. Regelmessig oppdatering av programvare, opplæring av brukere og implementering av avanserte trusseldeteksjonsmekanismer er viktige skritt for å forsvare seg mot disse vedvarende truslene. Ved å holde seg informert om gjeldende utnyttelsesteknikker og opprettholde robuste cybersikkerhetspraksiser, kan organisasjoner redusere risikoen forbundet med skadelige Office-dokumenter.

Sikre bedriften din med CyberHoot i dag!!!

Registrer deg nå

Ikke klar til å registrere deg ennå, men vil lære mer? Delta på vårt månedlige webinar for å se en demonstrasjon av CyberHoot, stille spørsmål og lære hva som er nytt. Klikk på den grønne boksen nedenfor for å registrere deg. Du vil, jeg kan føle det!

Registrering av webinar