Gebruikers van Microsoft Office zijn de afgelopen maanden via zerodaylekken in het Encapsulated PostScript (EPS) filter van Office aangevallen, wat aanleiding voor Microsoft was om het filter uit te schakelen. In totaal werden er drie zerodaylekken tegen Office-gebruikers ingezet.

EPS is een bestandsextensie voor een grafisch bestandsformaat dat in vector-gebaseerde bestanden in Adobe Illustrator wordt gebruikt. Ook Office ondersteunt het via een EPS-filter. Eind maart werd er een aanval ontdekt waarbij de aanvallers een onbekende kwetsbaarheid in het EPS-filter in combinatie met een al gepatcht beveiligingslek in de Windows Graphics Device Interface (GDI) gebruikten om systemen met malware te infecteren. In april werd EPS als beveiligingsmaatregel door Microsoft in Office uitgeschakeld. Beveiligingsbedrijf FireEye ontdekte in deze maand echter een tweede onbekende EPS-kwetsbaarheid in Office die de aanvallers in combinatie met een zerodaylek in Windows gebruikten. Microsoft heeft het EPS- en Windows-lek deze maand gepatcht.

Volgens FireEye zitten meerdere groepen achter de aanvallen. De aanval met het eerste EPS-lek werd uitgevoerd door een groep genaamd Turla, die bekendstaat als een zeer geavanceerde spionagegroep die ook de Snake-malware ontwikkelde. Ook een tweede groep aanvallers met financiële motieven maakte van deze kwetsbaarheid gebruik. Het tweede zerodaylek in EPS werd door de spionagegroep APT28 aangevallen. Deze groep staat ook bekend als Pawn Storm en Fancy Bear.

Anti-virusbedrijf ESET meldt dat bij deze tweede aanval een document genaamd "Trump’s_Attack_on_Syria_English.docx" werd gebruikt. Dit document liet een echt artikel van de California Courier als afleidingsmanoeuvre zien. In de achtergrond werden de twee exploits voor het EPS- en Windows-lek uitgevoerd. FireEye stelt dat Turla en APT28 Russische spionagegroepen zijn die de EPS-lekken tegen Europese diplomaten en "militaire entiteiten" hebben ingezet. De onbekende financiële groep had het voorzien op regionale en globale banken met kantoren in het Midden-Oosten.

Volgens Microsoft vonden de eerste aanvallen eind maart plaats. Gebruikers zouden op dat moment al via de updates van maart beschermd zijn. De aanval op de tweede kwetsbaarheid werd halverwege april waargenomen. Ook in dit geval waren gebruikers volgens de softwaregigant al beschermd doordat de april-update het EPS-filter in Office uitschakelde. Wel laten deze aanvallen zien hoe belangrijk het is om updates zo snel als mogelijk te installeren, aldus het Microsoft Security Response Center.