Een groep cyberspionnen die de afgelopen jaren een groot aantal organisaties aanviel maakt tegenwoordig ook gebruik van Word-documenten om gebruikers via beveiligingslekken in Flash Player te infecteren. De aanval begint met een Word-document dat als e-mailbijlage wordt verstuurd.

Het Word-document bevat een kwaadaardig Flash-bestand dat de aanvallers op twee manieren kunnen gebruiken. In het eerste scenario controleert dit Flash-bestand de aanwezige versie van Adobe Flash Player en probeert vervolgens één van drie kwetsbaarheden in Flash Player aan te vallen. Het gaat om een lek uit 2015 en twee lekken van dit jaar. In het tweede scenario wordt er informatie over het systeem naar een remote server gestuurd. Wat er vervolgens gebeurt kon niet worden vastgesteld, maar onderzoekers denken dat de server een exploit voor Flash Player terugstuurt.

Om slachtoffers niets te laten vermoeden krijgen die een "lokdocument" te zien. Uit details van de malware lijkt het erop dat zowel Windows- als Mac OS X-computers het doelwit van de aanvallen zijn. Dezelfde spionagegroep kwam onlangs ook in het nieuws vanwege de ontdekking van Mac-malware. Voor zover bekend zijn een Oekraïens defensiebedrijf en een ministerie van Buitenlandse Zaken in dezelfde regio via de documenten aangevallen, zo meldt beveiligingsbedrijf Palo Alto Networks.

Het gebruik van Flash-bestanden in Word-documenten om malware te verspreiden komt al jaren voor. Al in 2009 werd deze tactiek toegepast. Drie jaar later in 2012 waarschuwde Microsoft Office-gebruikers nog om maatregelen tegen Flash-aanvallen in documenten te nemen. Ook dit en vorig jaar werden Flash-lekken via Word-documenten aangevallen.

De groep cyberspionnen achter de nu ontdekte Word-documenten wordt Pawn Storm genoemd, maar staat ook bekend als 'Fancy Bear', 'Sofacy', 'Sednit', 'APT28', Threat Group-4127 en 'Strontium'. Eerder werden de onderzoeksraad van MH17, verschillende ministeries van Buitenlandse Zaken, een Amerikaanse defensieorganisatie, de Turkse overheid, een NAVO-lid, Linuxgebruikers, het CDU, Sanoma, de presidentscampagne van Hillary Clinton, het Wereld Anti-Doping Agentschap (WADA) en MH17-onderzoekers van het onderzoekscollectief Bellingcat door de groep aangevallen.