Malware wird zunehmend über OLE2-Container verbreitet

Office-Dokumente in den Formaten Word, Excel und Powerpoint eignen sich bekanntermaßen zum Transport beliebiger Binärdaten. Diese können mittels OLE (Object Linking and Embedding) in Office-Dateien eingebettet werden. In den zurück liegenden Monaten hat der britische Antivirus-Hersteller Sophos eine Zunahme der Verbreitung von Malware über diesen Weg beobachtet.

Waren es im Frühjahr 2007 selbst in der Spitze noch weit weniger als zehn infizierte Office-Dateien, die bei Sophos pro Tag eingingen, ist dieser Wert in den letzten Wochen deutlich nach oben geschnellt. Teilweise werden mehr als 30 unterschiedliche Exemplare solcher Dateien an einem Tag festgestellt, wie dem Blog der Sophos Labs zu entnehmen ist.

Zu den Ursachen dafür, dass Office-Dokumente via OLE2 als Container für Malware beliebter werden, ist das komplexe und wenig dokumentierte Dateiformat. Dies bereitet Antivirus-Herstellern Probleme bei Prüfen solcher Dateien auf Malware. Es ist schwierig solche Dokumente auf strukturelle Anomalien zu prüfen, ohne sie als defekt anzusehen. Außerdem sind einige ausnutzbare Schwachstellen bislang nicht öffentlich bekannt geworden.

Schließlich erfordert eine genaue Analyse durch einen Virenscanner eine Menge Rechenzeit. Antivirus-Hersteller müssen jedoch darauf achten, dass ihre Produkte nicht durch lange Scan-Zeiten unangenehm auffallen. Malware-Verbreiter wissen das und nutzen es aus. Vor allem gezielte Angriffe auf einzelne Unternehmen oder gar Personen erfolgen oft mit der Hilfe nicht veröffentlichter Anfälligkeiten in Office-Dokumenten.