駭客發現微軟Office安全漏洞，可控制蘋果macOS

IT之家8月6日訊息 據外媒 9To5Mac 報道，前 NSA 駭客 Patrick Wardle 在 Microsoft Office 的 Mac 版本中發現了一個安全漏洞。該漏洞可能導致駭客控制整個 Mac。Wardle 可以只使用包含惡意程式碼的簡單 Office 文件來訪問計算機。

▲ 圖源：9To5Mac

報告指出，漏洞基於 “宏”功能。該功能允許使用者使用自定義命令和說明自動執行 Microsoft Office 應用中的一些任務。這些攻擊在 Windows 上很常見，但 Wardle 證明在 macOS 上也可能發生類似的事情。

雖然類似攻擊需要使用者互動後才能起作用，但駭客警告稱部分不清楚風險的使用者可能仍允許這樣操作。

為了加入惡意程式碼，駭客使用了他在 Microsoft Office 應用中發現的各種漏洞和錯誤。他建立了 SLK 格式的檔案來繞過 macOS 安全系統。由於 Microsoft Office 使用這一特定格式，即使使用者從未知來源下載了檔案，macOS 也不會詢問使用者是否真的要開啟檔案。

透過建立以 “ $”字元開頭的檔案，惡意程式碼可以破壞 Microsoft Office 沙箱來訪問作業系統的其它任何部分。駭客可以未經使用者授權透過 Microsoft Excel 開啟 Calculator 應用來演示惡意程式碼，但它也可以用於其它用途。

這一攻擊危害較小的原因在於，Microsoft Office 應用會詢問使用者是否確實要啟用宏功能。但正如 Wardle 所說，有些使用者並沒有閱讀系統警告，他們點選選項可能只是為了跳過對話方塊。

IT之家瞭解到，目前，這些安全漏洞已透過最新版本的 Microsoft Office for Mac 和 macOS Catalina 10.15.3 修復。但它仍會影響不定期安裝軟體更新的使用者。微軟表示，公司正在與蘋果進行討論，來識別和解決 Wardle 發現的類似問題。