Microsoft 零時差漏洞攻擊 - 資安趨勢部落格

正當 Microsoft Windows Server 2003 即將於今年 7 月終止支援之際，數以萬計的企業正努力移轉至新的平台，以免暴露在漏洞的風險當中。然而對於許多企業來說，基於人力、財力及其他因素，要在時限之內完成移轉是一項特別艱鉅的挑戰。

在趨勢科技協助客戶移轉的過程當中，我們也看到客戶對於近期終止支援一事的獨到見解，因此特別和大家分享 (當然，若客戶在 7 月 14 日之前尚未準備好移轉，我們也能協助他們保護 Windows Server 2003，而且還能保護 Windows Server 2012 與 Azure 等新的 Windows 平台)。我們訪問了 University of Florida Health Shands 醫療中心的資訊安全經理 Tim Nance，聽聽他們移轉 Windows XP 的經驗。該機構擁有大約 18,000 台桌上型電腦與 1,400 台伺服器 (其中 900 台是 VMware)，為此，UF Health Shands 的人員面臨了相當艱難的任務。以下是他們的移轉經驗：

趨勢科技：貴單位在終止支援平台的防護上面臨多大的問題？就準備的角度來看，這對貴單位的影響為何？

Tim Nance：我們負責 Windows XP 移轉的人員在 2013 和 2014 年都未認真執行，一直到很晚才開始。我們有數千台機器在該平台上，而且我們一直在宣導終止日期即將來臨，但他們似乎還是沒意識到事情即將發生。後來大學部的主管單位下了一道命令，要求所有使用 XP 的機器必須全部下線，到那時才有許多人力投入移轉的工作。他們僱用了一些人來進行升級，但仍知道無法在時限之內完成。

此時我們開始考慮採用趨勢科技的入侵防護防火牆 (現在稱趨勢科技 Vulnerability Protection) 來解決這項問題。我們在所有使用 Windows XP 的機器上部署了一些政策來暫時解決問題，直到我們找到永久的解決方案為止。我們有許多昂貴的機器，因此 Vulnerability Protection 可以為我們爭取一些時間。繼續閱讀

更新:【新聞快訊】微軟CVE-2014-4114 PPTX/PPSX 零時差攻擊已現身台灣

微軟 Windows 作業系統零時差弱點 CVE-2014-4114

微軟在週二發布的例行性安全公告，其中由 iSights 所發現的零時差漏洞 CVE-2014-4114，此漏洞影響 Vista 之後所有版本的 Windows作業系統與 Windows Server 2008及2012。據趨勢科技調查顯示，一個俄羅斯的駭客團體已透過此一漏洞來發動攻擊活動(Sandworm) ，目標是竊取與攻擊北大西洋公約組織 (NATO)與歐盟等企業與重要人士的資料。這項漏洞存在於Windows作業系統中的OLE Package Manager，透過Office PowerPoint文件觸發該漏洞，會下載並執行特定的INF檔案，並下載任意程式碼。根據報導，一群名為「Sandworm Team」(沙蟲小隊) 的駭客利用此漏洞 (CVE-2014-4114) 來從事網路間諜活動。據稱，此漏洞從 2013 年 8 月開始即已流傳至今：「主要是製成特殊的 PowerPoint 文件當成武器使用」。此漏洞的詳細內容如下：

此漏洞存在於 Microsoft Windows 系統與伺服器當中的 OLE 封裝管理程式。
OLE 封裝程式 (packager) 可下載並執行 INF 檔案。「在所觀察到的案例中，尤其是在處理 Microsoft PowerPoint 檔案時，封裝程式可讓封裝的 OLE 物件參照任意外部非信任來源的檔案，如 INF 檔案。」
當攻擊得逞時，此漏洞可讓駭客從遠端執行任意程式碼。

趨勢科技產品已經可以偵測利用此漏洞的病毒程式，病毒名稱為” TROJ_MDLOAD.PGTY”。當開啟駭客製作的 Power Point檔案之後，會下載一個INF檔惡意程式(被偵測為” INF_BLACKEN.A”)，並嘗試下載與執行一支被偵測為”BKDR_BLACKEN.A”的後門程式。詳細病毒資訊請參考下列連結。

TROJ_MDLOAD.PGTY
https://about-threats.trendmicro.com/malware.aspx?language=en&name=TROJ_MDLOAD.PGTY
INF_BLACKEN.A
https://about-threats.trendmicro.com/malware.aspx?language=en&name=INF_BLACKEN.A
BKDR_BLACKEN.A
https://about-threats.trendmicro.com/malware.aspx?language=en&name=BKDR_BLACKEN.A

由於此一攻擊方式並不特別複雜，很有可能導致駭客們大量濫用，趨勢科技所提供的Smart Protection Network可即時偵測透過本漏洞所執行的惡意程式。

趨勢科技 Deep Security 客戶建議措施：

趨勢科技的 APT 防護解決方案已可針對此漏洞進行防護，透過”惡意文件指紋偵測引擎” (ATSE靜態引擎)成功偵測並攔阻此社交工程之惡意文件。

另外趨勢科技用戶請盡快更新最新防毒元件，以偵測此病毒程式。若有使用TrendMicro Deep Security與OfficeScan IDF plug-in的用戶們可套用下方DPI規則進行偵測。

1006290 – Microsoft Windows OLE Remote Code Execution Vulnerability (CVE-2014-4114)
1006291 Microsoft Windows OLE Remote Code Execution Vulnerability (CVE-2014-4114) – 1

此外，我們建議用戶盡快針對此一Windows作業系統的漏洞進行修補，在完成修補前，不要隨意開啟陌生人寄來的PowerPoint檔案，以降低被攻擊的風險。

◎ 原文參考出處：MS Zero-Day Used in Attacks Against European Sectors, Industries