Neue Ransomware-Welle mit doc

[SBK 3]

Hallo Leute,

 

Ich erhalte heute wieder dutzende Anrufe von Benutzer welche eine angebliche Rechnung als DOC-Anhang erhalten haben. Natürlich ist darin ein Makrovirus enthalten und die Blockierungs-Makroeinstellung im Word (und sonst auch die Antivirensoftware) würden den Virus blockieren. Der Makrovirus versucht eine Datei office14.bin von http://deciodc.org/bin/office14.bin herunterzuladen.

 

Was ich aber nicht ganz verstehe, wieso sich der Makro in einer .doc überhaupt verstecken kann. Wenn ich eine .doc nach .docm umbennene und öffne, erhalte ich die Meldung das die Erweiterung nicht dem Format entspricht. Umgekehrt aber nicht. Hat da Microsoft etwas verschlafen?

 

Gruss SBK

 

[NilsK 3.046]

Moin,

 

.doc war die Endung vor Office 2007. Dort gab es diese Unterscheidung nach Dokumenttypen noch nicht.

 

Gruß, Nils

[NorbertFe 2.283]

Man könnte ja mal versuchen diese in Word komplett zu blocken.

https://support.microsoft.com/en-us/kb/922849

 

Obs praktikabel ist, muß man wohl von Fall zu Fall entscheiden. Aber docx sollte sich inzwischen weit genug durchgesetzt haben.

[zahni 587]

Makroviren kommen auch als DOCM. Allerdings werden die DOC-Dateien oft nicht im binären DOC-Format verschickt sondern in einem RTF- oder HTML-Format, dass  den  Macro-Code kapselt. Auch die neueren Office-Versionen sind dann so freundlich...

[SBK 3]

.doc war die Endung vor Office 2007. Dort gab es diese Unterscheidung nach Dokumenttypen noch nicht.

 

Das würde einleuchten, wenn ich aber ein docm nach doc abändere, merkt er das die Erweiterung nicht dem Dateiformat entspricht, umgekehrt aber nicht. Nicht sonderlich konsequent.

 

Nun ich könnte natürlich alle .doc in Quarantäne setzen und nur .docx durchlassen, aber es gibt immer noch viele die Anhänge als .doc verschicken, um sicher zu gehen dass der Empfänger diese öffnen kann, falls er noch ein altes Office besitzt.

bearbeitet 10. August 2016 von SBK

[NilsK 3.046]

Das würde einleuchten, wenn ich aber ein docm nach doc abändere, merkt er das die Erweiterung nicht dem Dateiformat entspricht, umgekehrt aber nicht. Nicht sonderlich konsequent.

 

das ist auch nicht als Sicherheitsfeature gedacht.

 

 

Nun ich könnte natürlich alle .doc in Quarantäne setzen und nur .docx durchlassen, aber es gibt immer noch viele die Anhänge als .doc verschicken, um sicher zu gehen dass der Empfänger diese öffnen kann, falls er noch ein altes Office besitzt.

 

Das ist insgesamt auch kein brauchbarer Ansatz.

 

Gruß, Nils

[NorbertFe 2.283]

Makroviren kommen auch als DOCM. Allerdings werden die DOC-Dateien oft nicht im binären DOC-Format verschickt sondern in einem RTF- oder HTML-Format, dass  den  Macro-Code kapselt. Auch die neueren Office-Versionen sind dann so freundlich...

 

Hmm... Die kann man ja mit WordPad öffnen. ;)

[Sunny61 833]

Das würde einleuchten, wenn ich aber ein docm nach doc abändere, merkt er das die Erweiterung nicht dem Dateiformat entspricht, umgekehrt aber nicht. Nicht sonderlich konsequent.

Nicht einfach die Endung abändern, sondern Speichern unter, jetzt DOC oder von DOC zu DOCX oder DOCM abändern. Wenn Du eine Doc-Datei incl. Makro beim Speichern unter Dialog auf DOCX abspeicherst, ist das Makro raus.

 

EDIT: Schau dir auch unbedingt die Software Restriction Policies an. Wurde hier schon mehrmals diskutiert, könnte bei so manchem Download bzw. beim anschließend Startversuch helfen.

bearbeitet 11. August 2016 von Sunny61

[Native 0]

Ausschalten Makro in MS Office wird genug sein?

[zahni 587]

Warum?

[monstermania 53]

Und täglich grüßt das Murmeltier  :D