Cybercriminelen maken op dit moment gebruik van de DDE-feature in Microsoft Word om computers met de Locky-ransomware te infecteren, zo waarschuwt het Internet Storm Center. De Dynamic Data Exchange (DDE) feature van Word maakt het mogelijk om data van het ene document in een tweede document te injecteren. In plaats van een document kan er ook naar kwaadaardige code worden gelinkt.

De gebruiker moet echter nog steeds toestemming geven voor het uitvoeren van de code. Daarnaast werkt de aanval alleen als de gebruiker de Protected View-beveiliging van Word uitschakelt. Deze beveiligingsmaatregel staat standaard ingeschakeld, maar kan via één muisklik worden uitgeschakeld. Vorige week kwam de DDE-feature al in het nieuws omdat aanvallers er gebruik van maakten. De afgelopen dagen zijn er echter verschillende nieuwe spamruns waargenomen waarbij Word-documenten werden verstuurd die ontvangers via de DDE-feature met malware probeerden te infecteren.

In het geval van de Locky-ransomware gaat het om e-mails die zich als een factuur voordoen. De e-mails hebben een Word-document als bijlage. Zodra gebruikers het document openen krijgen ze de vraag of ze velden in het document die naar andere bestanden verwijzen willen bijwerken. Vervolgens wordt de gebruiker gevraagd of cmd.exe mag worden uitgevoerd. Als de gebruiker hiermee akkoord gaat wordt de Locky-ransomware uitgevoerd, die bestanden op het systeem versleutelt. Voor het ontsleutelen moeten slachtoffers 1200 euro betalen. Volgens verschillende experts maken aanvallers gebruik van de DDE-feature om filters en beleidsinstellingen te omzeilen die op macro's en embedded objecten controleren.