Vai al contenuto
Attenzione ai documenti Word, una falla di Windows consente di usarli per attacchi informatici

Attenzione ai documenti Word, una falla di Windows consente di usarli per attacchi informatici

Ultimo aggiornamento: 2022/06/02 9:00.

Morto un malware se ne fa un altro, si potrebbe dire: si è appena concluso
felicemente il problema di
Flubot
e già siamo alle prese con un nuovo aggressore informatico, che stavolta
colpisce gli utenti di Microsoft Word e Windows tramite documenti Word infettanti.

Lo fa sfruttando una vulnerabilità, presente in tutte le versioni recenti di
Office e di Windows, che sorprendentemente riesce ad agire anche se sono state disabilitate
le macro, che sono un vettore abituale di attacco, e anche se il documento
Word non viene aperto ma soltanto visualizzato da un’anteprima in Esplora
file.

Una volta avviato l’attacco, l’aggressore può prendere il controllo
sostanzialmente completo del computer della vittima, per esempio installando programmi o guardando, modificando o cancellando dati a suo piacimento. Un bel guaio, insomma.

Microsoft non ha ancora diffuso un aggiornamento di sicurezza che corregga il
problema, e la falla viene già sfruttata attivamente dai criminali
informatici, ma i principali antivirus riconoscono già i documenti Word infettanti e quindi proteggono abbastanza bene gli utenti.

La vulnerabilità è stata soprannominata Follina dal ricercatore di
sicurezza Kevin Beaumont; un nome strano, visto che
Follina
è una località italiana in provincia di Treviso. Ma non c’è alcun intento di
accusare i follinesi di essere artefici di attacchi informatici: Beaumont ha
semplicemente visto che uno dei primi esemplari di documento Word infetto si
chiamava
05-2022-0438.doc e il significato della prima parte del nome gli pareva
ovvio (“maggio 2022”) ma non riusciva a spiegarsi lo 0438. Ha notato
che 0438 era il prefisso telefonico di Follina, e così lo ha
scelto
come nome facilmente ricordabile per questa vulnerabilità, che altrimenti
sarebbe identificata formalmente dall’assai meno memorabile sigla tecnica
CVE-2022-30190. Gli informatici sono fatti così.

La vulnerabilità viene sfruttata almeno da aprile scorso, quando sono stati
segnalati a Microsoft dei documenti Word, costruiti appositamente per
utilizzarla, che fingevano di essere richieste di interviste dell’agenzia di
notizie russa Sputnik. Ma ci sono anche altri esempi di attacco informatico
che usano questa falla, per esempio ad opera di gruppi criminali cinesi e per
rubare password

Una volta scoperta, insomma, questa vulnerabilità ha cominciato a circolare fra i malviventi
informatici, che stanno usando i pretesti emotivi più disparati per incuriosire le
vittime e indurle a scaricare e visualizzare il documento Word infettante. Uno
dei
primi casi
di Follina, per esempio, si presentava come una denuncia di un’infedeltà di
coppia, corredata da foto compromettenti e da una promessa di vendetta e
ricatto: una tentazione morbosamente irresistibile per molti utenti. 

In attesa che Microsoft distribuisca un aggiornamento correttivo,
sono state pubblicate delle
istruzioni tecniche
per disabilitare le funzioni di Windows che rendono possibile la falla. In
sostanza si tratta di modificare una chiave del Registro di Windows che riguarda il servizio Microsoft Support Diagnostic Tool (MSDT), come
descritto
per esempio da Paul Ducklin di Sophos, cosa che però molti utenti non sono in
grado di fare. Per cui se usate Windows vi conviene aggiornare il vostro antivirus, fare molta
attenzione ai documenti Word inattesi, specialmente se hanno contenuti che
possono stuzzicare la curiosità, e aspettare con impazienza l’aggiornamento di Microsoft. 

Per i più coraggiosi, le istruzioni per disabilitare temporaneamente la chiave del Registro sono queste:

  1. Eseguire il Prompt dei comandi come Amministratore.
  2. Fare una copia di backup della chiave, dando il comando reg export HKEY_CLASSES_ROOT\ms-msdt nome_file (dove nome_file è il nome del file nel quale salvate il backup)
  3. Eseguire il comando reg delete HKEY_CLASSES_ROOT\ms-msdt /f.

 

Fonti aggiuntive:
Huntress,
Cisa.gov,
Graham Cluley, Ars Technica,
The Register,
BleepingComputer.

Attacchi informatici usando documenti Office, l’allerta di Microsoft

Attacchi informatici usando documenti Office, l’allerta di Microsoft

Il 7 settembre scorso Microsoft ha pubblicato un advisory che mette in guardia contro documenti Microsoft Office alterati per trasformarli in vettori di attacchi informatici. Questa tecnica di attacco viene già sfruttata attivamente dai criminali informatici per colpire gli utenti Windows.

La vulnerabilità in questione, la CVE-2021-40444, si basa su un difetto presente in MSHTML/Trident, il motore di rendering usato dall’obsoleto Internet Explorer e oggi utilizzato da Office per visualizzare i contenuti Web nei documenti Word, Excel e PowerPoint.

Se si apre con Microsoft Office su Windows un documento Office alterato in questo modo (includendovi un controllo ActiveX), l’aggressore che ha inviato il documento può prendere il controllo del computer della vittima, perché il motore di rendering esegue il codice ActiveX con gli stessi privilegi dell’utente. Il codice ActiveX usa questo potere per scaricare e installare un malware scelto dall’aggressore.

La vulnerabilità è insomma potenzialmente molto seria, ma va detto che se Microsoft Office viene usato con le sue impostazioni predefinite l’attacco non va a segno perché i documenti scaricati da Internet vengono aperti in Visualizzazione protetta o in Application Guard e quindi non possono accedere alle risorse trusted del computer attaccato. L’attacco non ha effetto su chi usa Microsoft Office su Mac ma riguarda tutte le versioni di Windows dalla 8.1 alla 10.

Defender, l’antivirus di Microsoft, già riconosce i documenti-trappola che sfruttano questa vulnerabilità, e lo stesso fanno i principali antivirus di altre marche, se li aggiornate.

Dovrebbe uscire a breve un aggiornamento di sicurezza che correggerà la falla, ma nel frattempo Microsoft consiglia a tutti non solo di aggiornare il proprio antivirus ma di disabilitare l’installazione di tutti i controlli ActiveX in Internet Explorer (nel modo spiegato nell’advisory) per contenere i danni di un eventuale attacco. Un altro consiglio è non usare un account Windows che abbia privilegi di amministratore, non disattivare la Visualizzazione protetta per nessun motivo e non aprire documenti Office inattesi, ricevuti via mail o scaricati da siti Internet non fidati.

Tutte cose ovvie, in linea di principio, ma purtroppo molti utenti non rispettano questi principi e poi finiscono per essere scottati. 

Fonti aggiuntive: The Hacker News, Cybersecurity360.it, Sophos, Tripwire.

Usate Microsoft Office? Aggiornatelo: ci sono vecchie falle da turare

Cybersecurity360.it segnala che ci sono quattro vulnerabilità di sicurezza in
Microsoft Office che “se sfruttate con successo, potrebbero consentire a
un attaccante di creare documenti Word ed Excel contenenti codici
malevoli con cui attaccare i sistemi non aggiornati.“

Le falle (CVE-2021-31174, CVE-2021-31178, CVE-2021-31179 e CVE-2021-31939)  sono state scoperte a febbraio e rese note ora, in occasione del rilascio dei rispettivi aggiornamenti correttivi. Le prime tre sono state corrette con gli aggiornamenti di maggio 2021, mentre l’ultima è stata corretta con il Patch Tuesday di giugno.

Si sospetta che queste falle siano presenti da anni in Office, perché sono state trovate nel codice legacy per Excel 95, per cui chi usa versioni vecchie di questa suite può essere a rischio. Installate quindi subito gli aggiornamenti di sicurezza di MS Office e installate la versione più recente della suite.

Keynote 7 addio: mi tocca fare un downgrade. E passare a PowerPoint

Keynote 7 addio: mi tocca fare un downgrade. E passare a PowerPoint

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla donazione di eberar*. Se vi piace, potete farne una anche voi (o fare un microabbonamento) per incoraggiarmi a scrivere ancora. Ultimo aggiornamento: 2017/10/23 9:40.

Da anni uso Keynote per le mie presentazioni: è stato un aiutante fedele, veloce ed efficace. Tante sue funzioni assenti in Powerpoint mi hanno salvato la vita (professionale) più volte di quante ne possa ricordare.

Beh, no: una volta me la ricordo. Cinque minuti d’orologio prima dell’evento, in una grande sala conferenze, arrivano finalmente le immagini degli sponsor. Sono una ventina e ciascuna deve comparire a tutto schermo secondo una sequenza specifica. Panico degli organizzatori: creare venti slide nuove, caricare in ciascuna slide l’immagine corrispondente e animarla richiede troppo tempo.

Niente panico, dico io: prendo la chiavetta con le immagini, la inserisco nel Mac, creo in Keynote una sola slide vuota, vi inserisco una funzione di galleria d’immagini e vi trascino sopra tutte le immagini in un solo colpo. Le dispongo nell’ordine desiderato e il gioco è fatto. I PowerPointiani presenti non avevano mai visto nulla del genere. Il vecchio Keynote aveva tante chicche come questa.

La versione 6, rilasciata nel 2013, ha perso molte di queste funzioni (come appunto lo slideshow dentro una singola slide) in nome della compatibilità con iOS, e ho sopportato questa perdita perché Keynote restava comunque un buon prodotto e convertire le mie tante presentazioni a un altro software sarebbe stato un incubo. Ma adesso la versione attuale di Keynote (la 7.0.5) mi sta facendo disperare al punto che devo fare un downgrade a una versione precedente. Se non avete ancora installato Keynote 7 e usate Keynote come me, pensateci due volte prima di passare alla versione 7 e tenetevi stretta la versione precedente.

Keynote 7.0.5 ha infatti un problema che, almeno per me, è un disastro che lo rende inutilizzabile: io salto spesso da una slide all’altra delle mie presentazioni, per esempio per illustrare una risposta a una domanda del pubblico. Non capita quasi mai che io mostri tutte le slide in sequenza, dalla prima all’ultima; di solito ho cento e più slide pronte a disposizione e scelgo al volo quelle pertinenti alla situazione. Ma da quando è arrivato Keynote 7 saltare da una slide a un’altra è diventato stupidamente impraticabile.

Premessa: uso sempre Keynote nella modalità Presentazione, nella quale sul mio monitor ho la slide corrente, quella successiva, le note di accompagnamento alla slide che sto mostrando e i comandi di navigazione con la striscia delle slide, mentre sul proiettore c’è la slide corrente. La descrizione che segue è riferita a questa modalità.

Supponiamo, per esempio, che capiti uno scenario come questo: parto mostrando le slide 1, 2, 3 e 4. Poi vado al Navigatore, che mi mostra l’elenco delle slide centrandosi sull’ultima mostrata (la 4) e salto alla 12 per poi mostrare le slide dalla 12 alla 16 in sequenza. Poi voglio saltare alla 21. Logicamente, il Navigatore dovrebbe mostrarmi l’elenco delle slide posizionandosi sull’ultima slide mostrata, ossia la 16. Infatti questo è quello che succede con Keynote 6.2.2. Ecco un video di dimostrazione:

Keynote 7, invece, torna all’inizio della presentazione o a un altro punto che sembra essere scelto a caso, facendomi perdere completamente il segno. Considerato che ho spesso presentazioni con cento e passa slide fra le quali scegliere, un riposizionamento di questo genere è un disastro: ogni volta devo far scorrere tutte le slide fino a tornare dov’ero, come potete vedere qui sotto.

In attesa che l’attuale Keynote riprenda (forse) a funzionare correttamente, ho recuperato un vecchio Keynote 6.2.2 da uno dei miei backup e l’ho installato accanto alla versione corrente: funziona senza problemi. Per convertire le presentazioni create con Keynote 7 in modo che siano leggibili da Keynote 6 basta esportarle con Keynote 7 salvandole in formato Keynote ’09.

Ovviamente ho considerato le alternative. Se vi state chiedendo come si comporta Impress (il software di presentazione di LibreOffice) sul Mac, è peggio che andar di notte: il Navigatore si riposiziona implacabilmente all’inizio della presentazione. Se resto nel Navigatore non lo fa, ma è comunque scomodissimo da usare, come potete vedere nel video qui sotto, nel quale provo entrambi i metodi.

PowerPoint per Mac (versione 15.28), invece, funziona in modo perfetto: l’elenco delle slide è sempre sullo schermo (nella modalità Visualizzazione Relatore), per cui non c’è un Navigatore da attivare (basta posizionare il cursore sull’elenco e poi scorrere) e non c’è nessuna possibilità di posizionamento errato.

Di conseguenza, userò Keynote vecchio per le presentazioni già fatte e PowerPoint per quelle nuove. Non prendetelo come un mio tradimento dei prodotti Apple: per tradire bisogna aver promesso fedeltà, e io non l’ho mai fatto, perché ho sempre considerato il software come un taxi, che si prende per andare dove si vuole andare e si molla quando non serve più o non fa quello che serve. Tutto qui.

–––

Dopo la pubblicazione iniziale di questo articolo, su suggerimento di @skaiwoka ho inviato questa segnalazione ad Apple tramite l’apposita pagina: vediamo se serve.

When using dual-screen presentation mode in Keynote 7.0.5, Navigator does not retain position at current slide but repositions itself at the first slide or randomly.

Example: You show slides 1, 2, 3 and 4. Then you use Navigator to skip to slide 12. You show slides 12 to 16. So far, so good. Then you want to skip to slide 21: you go to Navigator, and instead of being at the last slide shown (slide 16), you’re at the top of the presentation. This is extremely annoying and confusing in presentations that have many slides. It is also contrary to what Keynote 6.2.2. did.

Demo videos here: http://attivissimo.blogspot.ch/2016/11/keynote-7-addio-mi-tocca-fare-un.html

–––

2017/10/23 9:40. Da qualche tempo Keynote 7 ha smesso di avere questo strano comportamento ed è tornato a quello tradizionale. Problema risolto.

Microsoft, aggiornamenti di sicurezza importanti risolvono attacco già in corso

Microsoft, aggiornamenti di sicurezza importanti risolvono attacco già in corso

Il più recente aggiornamento di sicurezza per chi usa software Microsoft è piuttosto massiccio: risolve una sessantina di falle che riguardano Internet Explorer, Edge, Windows, Office, Skype e altro ancora. È consigliabile installare questo aggiornamento appena possibile, anche perché una delle falle corrette viene già sfruttata attivamente per attacchi informatici.

La falla in questione, la CVE-2017-11826, riguarda quasi tutte le versioni di Microsoft Office e permette a un aggressore di prendere il controllo del computer della vittima semplicemente mandando alla vittima un file Office appositamente confezionato e convincendola ad aprirlo.

Per esempio, potreste trovarvi con il computer infettato semplicemente perché avete ricevuto una mail con un allegato Word che sembrava provenire da un amico o da un cliente e avete aperto l’allegato con Word non aggiornato: una tecnica classica, che in questo caso non è ipotetica ma molto concreta, dato che sono già stati segnalati attacchi che la sfruttano e campioni di documenti infettanti.

Uno di questi, rilevato a fine settembre, mostra bene cone funzionano in concreto questi attacchi: l’aggressore ha preso di mira un numero limitato di bersagli, in modo da limitare il rischio di essere scoperto dai sistemi sentinella degli antivirus; ha creato un documento in formato RTF che a sua volta conteneva un file docx di Word. Il testo del documento era costruito su misura per essere allettante per le vittime, inducendole ad aprirlo. Una volta aperto, il documento installava un trojan con controllo remoto per rubare dati sensibili alle vittime, andando a caccia di tutti i file nei formati più diffusi usati per documenti, presentazioni e immagini (doc, docx, pdf, ppt, xls, eml, jpg, png e altri ancora) per poi inviarli via Internet al centro di comando e controllo dell’aggressore. Un sistema perfetto per procurarsi informazioni da sfruttare in seguito per attacchi mirati ai dipendenti, per esempio per convincerli a effettuare trasferimenti di denaro verso conti che sembrano quelli dei fornitori ma appartengono in realtà ai truffatori.

Conviene quindi aggiornare i prodotti Microsoft, se li usate, avere un antivirus aggiornato e comunque usare prudenza (per esempio un prodotto alternativo come Libreoffice) nell’aprire gli allegati di qualunque provenienza.

Se la tua fotocopiatrice ti manda una mail, non aprirla con un vecchio Word

L’informatico Graham Cluley segnala che il recente aggiornamento di Microsoft Word corregge 44 vulnerabilità (di cui 13 critiche) e in particolare ne risolve una (la CVE-2017-0199) che è piuttosto insolita ed è già usata intensamente dai criminali informatici per disseminare un malware di nome Dridex, che ruba denaro attaccando i sistemi di pagamento via Internet.

È un attacco differente da quelli standard, che usano invece il classico metodo delle macro di Word: la trappola inizia ad agire quando la vittima riceve una mail che sembra provenire dalla fotocopiatrice della rete locale e apparentemente contiene una scansione come allegato in formato Word.

McAfee spiega che il documento Word è in realtà un file in formato RTF, al quale è stata data l’estensione .DOC. Il documento-trappola contiene un oggetto embedded e quando viene aperto mostra un finto testo intanto che il malware scarica silenziosamente il codice ostile di Dridex.

Visto che si tratta di una vulnerabilità già in corso di sfruttamento, è importante scaricare e installare appena possibile gli aggiornamenti di sicurezza predisposti da Microsoft. Come regola generale, inoltre, è buona cosa fermarsi sempre a pensare prima di aprire un allegato, specialmente se inatteso.

Difendersi dal ransomware: bloccare le macro di Microsoft Word

Il ransomware sta facendo danni a privati e aziende: arriva sotto forma di allegato dall’aria innocua e poi mette una password su tutti i dati, chiedendo un riscatto in Bitcoin per rivelare la password usata. Chi non paga e non ha un backup perde tutto.

Naked Security segnala che uno dei trucchi usati dai criminali per infettare i computer è inviare via mail un allegato costituito da un documento Microsoft Word, che come tale viene considerato innocuo. Ma i documenti Word possono contenere delle macro, che eseguono automaticamente varie istruzioni che scatenano il malware vero e proprio scaricandolo da Internet.

Non conviene bloccare tutte le macro indistintamente, perché molti documenti legittimi le usano: ma nella versione 2016 di Office è possibile bloccare selettivamente le macro provenienti da Internet e lasciare attive tutte le altre usando un’apposita opzione, che si controlla tramite Group Policy (Criteri di Gruppo) e quindi va affidata all’amministratore di sistema. L’opzione si chiama, piuttosto intuitivamente, Block macros from running in Office files from the Internet (“Blocca l’esecuzione di macro nei file Office provenienti da Internet”), ed è descritta da Microsoft qui su Technet.

Aggiornamenti di sicurezza anche per Microsoft Office

Aggiornamenti a pioggia non solo per gli utenti dei prodotti Apple e Adobe (Flash) ma anche per chi usa il software Microsoft: è stato rilasciato il bollettino di sicurezza MS15-131, definito critico, che segnala e risolve una serie di vulnerabilità in Microsoft Office e altri prodotti Microsoft.

Per esempio, una falla in varie versioni di Microsoft Office consente di prendere il controllo del computer della vittima se la si convince ad aprire un documento Office appositamente confezionato. Per eliminare il problema basta effettuare gli aggiornamenti automatici offerti da Windows Update. Fatelo subito, perché i criminali informatici non se ne stanno con le mani in mano e probabilmente sono già al lavoro per creare malware che sfrutta le vulnerabilità ora turate e attacca chi non si aggiorna.

Microsoft Office è ora disponibile su iPhone, iPad e dispositivi Android. Gratis

Microsoft Office è ora disponibile su iPhone, iPad e dispositivi Android. Gratis

Microsoft ha annunciato ieri che la versione base di Office è disponibile in 29 lingue anche sull’iPhone (Word, Excel, PowerPoint), a complemento della versione per iPad già in circolazione (che viene aggiornata) ed è ora gratuita.

Inoltre ci si può prenotare per l’anteprima della versione Android per tablet, che verrà offerta al pubblico all’inizio del 2015. Gli utenti Android devono usare un tablet di dimensioni comprese fra 7 e 10,1 pollici e devono usare la versione 4.4 (Kitkat) di Android.

La versione gratuita fa da traino per la versione a pagamento per dispositivi iOS, che è offerta in abbonamento e contiene un numero maggiore di funzioni, compreso un terabyte di spazio online per i documenti su OneDrive, e per la versione per computer tradizionali, che continua ad essere a pagamento. Le differenze fra Office per iOS gratuito e a pagamento sono elencate qui in italiano: in estrema sintesi, la versione gratuita di Office è sufficiente per la creazione e modifica di buona parte dei documenti abituali. La vera sfida è comporre un documento di qualunque genere su uno schermo piccolo e con un’interfaccia tattile: in emergenza è meglio di niente, ma una tastiera vera e un mouse vero fanno una differenza enorme, specialmente se lavorate molto di copia e incolla (una funzione facilissima con mouse e tastiera ma atroce nelle interfacce touch di qualunque produttore).

L’offerta gratuita di una suite Office è un cambiamento notevole per Microsoft rispetto al passato, ma non è una politica suicida come può sembrare a prima vista: bisogna fare infatti attenzione al vendor lock-in, ossia al fatto che se si comincia a usare uno specifico formato proprietario di scrittura per generare tanti documenti è poi molto difficile abbandonarlo e quindi ci si trova a dover sottoscrivere abbonamenti per continuare ad avere accesso ai propri dati.

Arriva Microsoft Office per iPad

Arriva Microsoft Office per iPad

Word, Excel e Powerpoint sbarcano su iPad sotto forma di app separate, che sono gratuite se ci si accontenta di leggere i documenti ma si pagano se si vuole modificarli.

Per usare appieno le app di Microsoft Office occorre un abbonamento a Office 365, a partire da 120 franchi (99 euro) l’anno per uso domestico su un massimo di 5 PC o Mac e 5 tablet.

Si tratta di una mossa molto importante per Microsoft, che offre sulla piattaforma del concorrente Apple i propri gioielli più preziosi: Office genera infatti oltre la metà dei guadagni di Microsoft.

Sorprendentemente, le versioni di Office per Apple sono state rielaborate e adattate all’interfaccia tattile molto più di quando lo sia Office per il tablet di Microsoft (Surface).

Office per iPad non è completo quanto Office per PC e Mac, ma include tutte le funzioni più importanti, compresa la modifica in collaborazione: più persone possono modificare contemporaneamente lo stesso documento, vedendo in tempo reale le modifiche apportate da tutti e tracciando le identità del responsabile di ciascuna modifica. La versione iPad di Office va vista come un complemento di quella per computer convenzionali e non come suo sostituto. Certo, ci sono già applicazioni per iPad che offrono l’equivalente di Office (Keynote, Pages e Numbers di Apple, per esempio) e costano molto meno: ma se si tratta di gestire documenti nei formati Microsoft, queste app alternative hanno sempre problemi di compatibilità. Ce li ha anche Office per iPad, stando ai primi test, ma sono minori: grosso modo quelli che già esistono fra le varie versioni di Office per PC.

Le app sono veloci ma piuttosto pesanti: Powerpoint, Excel e Word insieme occupano circa 450 megabyte sull’iPad, mentre OneNote (componente di Office già disponibile da tempo per iPad) occupa quasi 600 MB. I documenti creati possono essere salvati localmente oppure condivisi sul cloud OneDrive di Microsoft. Excel per iPad, fra l’altro, introduce una tastiera speciale (opzionale) che include finalmente i tasti freccia, che semplificano il posizionamento del cursore, normalmente così difficile se fatto con le dita. In PowerPoint, invece, tenendo premuto il dito durante una presentazione si attiva un “puntatore laser” virtuale ed è possibile anche mettere in evidenza del testo con degli evidenziatori anch’essi virtuali.

Fra l’altro, in occasione del debutto di Office per iPad, Microsoft ha reso gratuite le versioni di Office per iPhone e dispositivi Android, che prima richiedevano un canone di abbonamento. Tuttavia si tratta di versioni molto limitate e assai meno versatili di quella per iPad.