Angripere er ofte på jakt etter sårbarheter som de kan utnytte maskinen og installere skadelig programvare gjennom. Denne gangen blir et sårbarhet i Windows Object Linking Embedding (OLE) utnyttet via Microsoft PowerPoint av angriperne.

I henhold til en rapport fra sikkerhetsselskapet Trend Micro, er den vanligste grensesnitttypen som brukes til å utnytte sårbarheten, bruk av Rich Text File. Alt dette gjøres ved å bruke en maskerade av PowerPoint-lysbildefremvisning. Modus operandi er imidlertid ganske typisk, en e-post som inneholder et vedlegg sendes. Innhold i e-posten er klargjort på en slik måte at det får øyeblikkelig oppmerksomhet fra mottakeren og også maksimerer sjansene for et svar.

Det tilsynelatende dokumentet er en PPSX-fil som er et filformat tilknyttet PowerPoint. Dette formatet tilbyr bare avspilling av lysbildet, men redigeringsalternativene er låst ute. I tilfelle filen åpnes vil den bare vise følgende tekst, ' CVE-2017-8570. (En annen sårbarhet for Microsoft Office.) '.

I virkeligheten vil åpning av filen utløse en utnyttelse for et annet sårbarhet som heter CVE-2017-0199, og deretter vil den laste av den ondsinnede koden via PowerPoint-animasjonene. Etter hvert vil en fil som heter logo.doc lastes ned. Dokumentet består av en XML-fil med JavaScript-kode som brukes til å kjøre en PowerShell-kommando og laste ned det ondsinnede programmet kalt 'RATMAN.exe.' som er en ekstern tilgang Trojan referert til som.

Trojan kan spille inn tastetrykk, fange skjermbilder, spille inn videoer og også laste ned annen skadelig programvare. I hovedsak vil angriperen ha full kontroll over datamaskinen din og kan bokstavelig talt forårsake alvorlig skade ved å stjele all informasjonen inkludert bankpassord. Bruken av PowerPoint-filen er en smart touch siden antivirusmotoren søker etter RTF-fil.

Alt er sagt, Microsoft har allerede lappet sårbarheten helt tilbake i april, og dette er en av grunnene til at vi foreslår at folk holder PC-ene oppdatert. Nok et viktig tips er å unngå å laste ned vedlegg fra ukjente kilder, bare ikke gjør det.