A Microsoft Office Dynamic Data Exchange (DDE) az Office egyik legitim funkciója, melyet az utóbbi időben egyre többször használnak olyan dokumentumok elkészítéséhez, amikkel a támadók kártékony kódot juttathatnak a felhasználó számítógépére, ezzel helyettesítve a széles körben elterjedt “makrós támadásokat.”
A DDE alapú technikákat olyan zsarolóvírusok terjesztéshez használják, mint a Locky, mely 2016 egyik legismertebb káros kódja volt, 2017 októberében pedig az egyik legnagyobb botnet hálózat, a Necurs terjesztette több mililó példányban.
A Microsoft erre reagálva létrehozott egy leírást, amelyben több védekező és enyhítő tipp kerül megemlítésre, amellett, hogy a vállalat leszögezi: ahhoz, hogy a támadás működjön, a felhasználónak le kell tiltania a védett módot, (Protected mode) valamint további felhasználói interakcióra is szükség van a felugró üzenetek elfogadásához.
A biztonság növelése érdekében több olyan regisztrációs kulcs engedélyezhető, mely letiltja az automatikus adatfrissülést a linkelt mezőkön. A regisztrációs kulcsok részleteit az Excel, az Outlook, a Publisher és a Word programok vonatkozásában elérhetővé tette a Microsoft, azonban arra is figyelmeztetik a felhasználókat, hogy a funkció letiltása hatással lehet a legitim funkció működésére, emiatt a felhasználóknak manuálisan kell frissíteniük a dokumentum mezőket.
Vállalati környezetben a Windows 10 Fall Creators frissítés használatával a felhasználók védettek a DDE támadások ellen, mivel az ilyen operációs rendszereken futó Windows Defender Exploit Guard már tartalmazza az Attack Surface Reduction (ASR) komponenst, mely a hasonló támadások elleni védekezést segíti elő.
Ezeken kívül fontos a felhasználók tudatosítása arra vonatkozóan, hogy soha ne nyissanak meg gyanús vagy kéretlen üzenetben kapott hivatkozást vagy mellékletet.
Források:
https://technet.microsoft.com/library/security/4053440
https://isc.sans.edu/forums/diary/Necurs+Botnet+malspam+pushes+Locky+using+DDE+attack/22946/
https://threatpost.com/microsoft-provides-guidance-on-mitigating-dde-attacks/128833/