Experten entdecken massive Schwachstelle in Microsoft Excel
Eine massive Schwachstelle in dem weltweit verbreiteten Microsoft-Programm haben englische Sicherheitsforscher entdeckt. Dafür haben sie eine eigens entwickelte Angriffstechnik verwendet. Derzeit gehen die Forscher davon aus, dass potenziell rund 120 Millionen Nutzer weltweit betroffen sein könnten.
Durch die weltweit große Verbreitung von Microsoft-Produkten, unter anderem Word, Excel aber auch andere Anwendungen, sind diese Programme ein äußerst attraktives Ziel für Hacker und Cyberkriminelle. Die Hacker könnten mit einem Angriff schnell einen maximalen Schaden anrichten. In der weitverbreiteten Kalkulations-Software Excel aus dem Hause Microsoft haben die englischen Sicherheitsforscher nun eine große Schwachstelle entdeckt. Wie der Spiegel berichtet, ist es damit Kriminellen möglich, in das Programm fremde Schadsoftware einzuschleusen.
Excel-Funktion Power Query als Einfallstor
Der Angriff wird durch die Power-Query-Funktion in Excel möglich. Mit Hilfe dieser Funktion ist es den Excel-Tabellen möglich, sich selbst mit den Daten von externen Quellen zu aktualisieren. Diese Funktion wird besonders häufig von Unternehmen verwendet. Dynamic Data Exchange (DDE) heißt das Software-Protokoll, welches der Power Query zugrundeliegt. Es handelt sich dabei aber nicht um einen Fehler in einer Funktion von Excel, sondern um ein äußerst praktisches Feature. Nun jedoch haben die Sicherheitsforscher der englischen Firma Mimecast verschiedene Technologien so miteinander kombiniert, dass Schadsoftware und Spionageprogramme über Power Query in Microsoft Excel eingeschleust werden konnte. Weltweit sind durch diese Schwachstelle rund 120 Millionen Nutzer einer potenziellen Gefahr ausgesetzt, sagten die Sicherheitsforscher von Mimecast. Auf der Internetseite der Firma wird ausführlich über das Problem berichtet.
Microsoft will kein Sicherheitsupdate zur Verfügung stellen
Microsoft wurde nach Informationen des „Spiegel Online“ frühzeitig über das gefundene Problem informiert. Das Unternehmen verwies auf die Möglichkeit, dass DDE in Excel deaktiviert werden könne und wird daher kein Sicherheitsupdate lancieren. Die Sicherheitsexperten von Mimecast beurteilten die Situation derzeit so, dass die neue Angriffstechnik noch nicht eingesetzt worden ist.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt für Unternehmen, aber auch für Privatanwender von Microsoft-Office-Produkten Tipps und Empfehlungen zum Umgang mit Software-Programmen, um sich vor Cyberangriffen zu schützen.
Auf der Webseite des BSI finden Nutzer und auch Unternehmen Richtlinien für die sichere An- und Verwendung der sechs am häufigsten genutzten Office-Anwendungen wie Microsoft Excel, PowerPoint, Outlook und Word. Laut BSI sind dabei beliebte Angriffswege die Makro-Funktion in Word-Dokumenten oder aktive HTML-Anzeigen in E-Mail-Programmen.
