IT之家11月15日消息，安全公司Fortinet发布报告，称最近有黑客利用5年前公布的CVE-2017-0199漏洞，瞄准Office企业用户发动攻击。
IT之家参考报告获悉，相关黑客首先发送一批伪造成公司业务往来信息的网络钓鱼邮件，其中带有含有木马的Excel附件。一旦收件人打开附件，就会看到相关文件受到保护，要求用户启用编辑功能才能查看内容，在用户点击“启用编辑”按钮后，便会触发CVE-2017-0199远程代码执行漏洞，之后受害者设备便会在后台自动下载运行黑客预备的HTML文件（HTA）。
值得注意的是，这一HTA文件据称使用JavaScript、VBScript等脚本并结合Base64编码算法和PowerShell命令进行多层包装以避免被安全公司发现。一旦HTA文件被启动，它会将黑客预备的dllhost.exe下载到受害者设备上运行，而后相关exe文件会将恶意代码注入到一个新的进程Vaccinerende.exe中，从而传播RemcosRAT木马。
研究人员指出，黑客为隐藏其踪迹利用了多种反追踪技术，包括“异常处理”、“动态API调用”等手段，以达到规避检测的目的。就此，安全公司提醒企业及用户个人应及时更新Office软件，降低被黑客攻击的风险。
