Rikollisten Excel-hyökkäykset - puolustuskeinoja on
0
Microsoft vahvistaa, että Excel-taulukkolaskentaohjelmassa on kriittinen turva-aukko, jota vastaan rikolliset hyökkäävät netissä. Korjausta ei vielä ole, mutta Microsoft neuvoo miten uhkan voi estää tai ainakin vähentää muilla keinoin.
Kyseessä näyttää olevan tyypillinen hyökkäys, jossa rikolliset käyttävät aikaisemmin tuntematonta turva-aukkoa kohdistettuihin pienempiin hyökkäyksiin. Tämä on erityisen suuri uhka yrityksille, mutta myös kotikäyttäjät ovat vaarassa.
Turva-aukko (Cert-fi-varoitus, Microsoft-varoitus) uhkaa Microsoftin mukaan vanhempia Office-versioita. Uusin Office 2007, ja Office 2003 Service Pack 3 -päivityksellä varustettuna, eivät ole vaarassa. Ikävä kyllä yrityksissä pääosa Office-paketeista kuuluu vanhempiin haavoittuviin versioihin.
Neljä keinoa uhan vähentämiseen
Haavoittuvuuteen ole korjausta, mutta Microsoftin mukaan tehtävissä on ainakin neljä asiaa:
1. Jos käytössä on Excelin versio 2003 ja siinä Service Pack 2, kannattaa asentaa Service Pack 3. Jos tämä ei syystä tai toisesta ole mahdollista, riskiä voidaan pienentää myös asentamalla Officeen tehty Isolated Conversion Environment eli Moice, joka estää tällaisia hyökkäyksiä.
2. Jos käytössä on Office 2000, kannattaa tutustua Office 2000:n lisäkomponenttiin, jonka asennuksen jälkeen Excel kysyy käyttäjältä vahvistuksen tiedoston avaukselle. Tämä ei suojaa kokonaan haavoittuvuuden hyödyntämiseltä, mutta estää esimerkiksi nettisivuston kautta tapahtuvan tiedoston avaamisen käyttäjän tietämättä.
3. Microsoft kehottaa antamaan ohjeita käyttäjille. Yhtiön mukaan kannattaa ohjeistaa käyttäjille, että tuntemattomista lähteistä peräisin olevia, sähköpostin välityksellä vastaanotettuja Excel-tiedostoja ei saa avata. Tai vähintäänkin ne kannattaa ensin tallentaa koneen levylle, jolloin virustorjuntaohjelma mahdollisesti tunnistaa haavoittuvuuden hyödyntämisen.
4. Lisäksi kannattaa muistaa, että haavoittuvuuden kautta suoritettava ohjelmakoodi suoritetaan kirjautuneen käyttäjän oikeuksilla. Kannattaa siis varmistaa, että käyttäjällä on mahdollisimman vähän oikeuksia käytössään.
