黑客利用Excel黑掉Office

微软公司经典excel表程序 电子表格 在大部分人看来可能都有点儿烦闷乏味。毕竟又不是绝地逃生，再能轻松玩数据，这也只是个办公室软件。但对网络黑客来讲，电子表格 可好玩儿了。与 Office 366 套服中的其他手机应用程序一样，电子表格 也逃不卸被网络黑客利用来进行进攻的运势。最近的两个发现就完美演译了该手机应用程序自己的合理合法功能是如何被网络黑客利用来对自己着手的。

　　6 月 24 日，威协谍报公司 Mimecast 公布称，电子表格 一个名叫 “Power Query”（增强版查寻）的功能可被利用来进行针对 Office 366 系统的进攻。应用 Power Query ，用户可将其他excel表、文本文档或网站等不同来源的数据综合在一张excel表里——如同数据库查询一样。然而，这种外连其他部件的体制却也可被乱用于连向包括恶意程序的故意网页页面。网络攻击可利用该体制派发故意 电子表格 excel表，从而获得系统管理权限，安装侧门，甚至造成巨大毁坏。

　　Mimecast 总裁生物学家 Meni Farjon 表示：网络攻击不用进行复杂进攻，只需打开微软公司 电子表格 随后使用其内置工具即可。这招的可信性几近 100%。所有版本号的 电子表格 无一幸免，包括最新版本，且可能狂扫所有电脑操作系统、计算机语言及子版本号——因为该进攻方法利用的是合理合法功能。这就要网络攻击用到很称手了。

　　Farjon 表示，如果 Power Query 连接恶意网站，网络攻击便可进行动态数据传输 (DDE：Dynamic Data Exchange) 这样的进攻，利用 Windows 协议在电脑操作系统中手机应用程序间共享资源数据。大数字系统通常会防护各个手机应用程序，如果没有授权，各手机应用程序间不能互动交流。所以，DDE 这样的协议就仿佛某类中介公司，在手机应用程序需要交流建议的时候就很有效了。但网络攻击可以在其网站中嵌入起动 DDE 的命令，随后用故意excel表中的 Power Query 命令将网站数据与该excel表结合，进行 DDE 进攻。他们也可以使用同样的骗术通过 Power Query 往目标系统上释放出来其他恶意程序。

　　微软公司会在两个手机应用程序准备通过 DDE 互联时弹窗警告用户，但自 2014 年开始，网络黑客便会哄骗用户点掉弹窗，从 Word 文本文档和 电子表格 excel表进行 DDE 进攻。

　　微软公司曾在 2017 年的一份安全咨询中提供了如何应对该类进攻的建议，例如停用 Office 办公室模块的 DDE。但 Mimecast 的发现提供了进行该类进攻的另这条路，且安全解决方法目前并未吊装。研究人员距今 2018 年 6 月就向微软公司汇报了该 Power Query 系统漏洞，但微软公司表示不会对此功能做任何改变，也的确没作出任何改变。Mimecast 金足等候了一年才公开公布其发现，期间十分希望微软公司会改变想法。虽然 Mimecast 并未发现 Power Query 有被故意网络黑客利用的征兆，研究人员表示，这是由于该进攻来源于合理合法功能而非常无法检测。安全工具需结合特定监控功能才能捕捉到该利用行为。

　　Farjon 表示，网络攻击绝对会利用该功能，这方法简单、能用、便宜，还很可靠。

　　而就在上星期，微软公司自己的安全谍报团队也警示称，网络攻击正大张旗鼓利用 电子表格 的另一个功能侵入 Windows 服务器，就算最新的安全更新都抵不住。该进攻目前好像仅针对韩文用户，通过故意宏进行。多年来，因为能执行一连串命令，宏功能一直是网络黑客的心头好，被用于往 Word 和 电子表格 中置入故意命令推广至目标服务器运作。宏功能本来致力于成为提升效率的自动化技术工具，但功能拓展越丰富，潜在性乱用也就越多。

　　Office 366 用户自然想要新鮮有效的功能，但每个新部件在带来新功能的同时也导入了被乱用的潜在性风险。手机应用程序功能越强大，操作越灵活，网络黑客也就越能探求出这些程序的故意操作方式。微软公司称其 Windows Defender 恶意程序扫描仪系统可以入侵上星期公布的宏进攻——因为自己开发设计的防护系统最清楚该找些什么。但 Mimecast 的发现再次提示：总有另外的侵入线路尚需网络黑客挖掘。

　　电子邮箱安全公司 Agari 高級威协研究员 Ronnie Tokazowski 称：想要 “传统” 漏洞利用方法感染某个组织的难度越来越大。但只要网络攻击能找到可以乱用的合理合法功能，他们就无需操劳越来越难的系统漏洞发掘，也无需关注目标系统的 Windows 版本号了。走摩擦阻力最少的哪条道就行。

　　微软公司表示，宏进攻和 Power Query 进攻都可以采用 Office 366 的组策略功能加以控制。管理人员可使用该功能大批量调整公司所有设备的设置。但用户须停用一些功能才能免受进攻，这种行为最让人不得不提出质疑这些功能是否有必要存在。