Exploitation de la confiance accordée aux formats de notes bureautiques
L'application Microsoft OneNote permet d'attacher des fichiers arbitraires directement sur la page électronique. Un attaquant peut y placer un fichier de commandes (batch) ou un script PowerShell, puis superposer une image portant la mention « Ouvrir la facture ». Un double-clic sur l'image lance le fichier caché en contournant les blocages de macros habituels.
Règles de protection contre les scripts cachés dans les notes
- Bloquer les pièces jointes entrantes aux extensions .one et .onetoc2 au niveau du serveur de messagerie.
- Prêter attention aux avertissements de sécurité du système lors d'un double-clic sur des éléments d'un bloc-notes.
- Ne jamais confirmer l'exécution de scripts externes encapsulés dans des notes bureautiques tierces.
- Ouvrir les fichiers provenant de tiers non vérifiés exclusivement dans un environnement virtuel isolé (sandbox).