考虑将密钥或助记词保存到 Microsoft Word 文档的钱包中？ 再想想。 加密研究人员暴露了一个名为#Follina 的严重 0-day 漏洞。 这允许加密黑客在不打开任何文件的情况下完全控制您的计算机。 就是这样。
加密黑客如何通过 Microsoft Word 窃取助记词
根据 web3 安全倡导者@wallet_guard： “0-day 始于 MS Word 中称为模板的功能。 此功能允许 Word 从外部源加载和执行 HTML 和 JS。 使用模板的 HTML 和 Javascript，有效负载然后运行以下 Powershell 命令来运行称为 Microsoft 支持诊断工具或 MSDT 的服务。”
虽然 MSDT 通常用作诊断工具来调试操作系统中的问题，但它还允许 IT 专家和 Microsoft 人员远程控制您的计算机。 虽然它通常要求用户输入密码，但它也有一个缓冲区来克服密码要求。 因此，加密黑客可以轻松使用此缓冲区来访问您的文档。
整个事件是一个 0-click 漏洞，因为 .rtf 文件预览只需下载文件并在文件资源管理器中查看即可执行恶意代码。 因此，任何word文档都可能在不知不觉中是恶意的。
为什么这对 web3 爱好者至关重要？
由于一些 web3 和加密爱好者将他们的密钥和种子短语存储在 Word Doc 中，因此了解此漏洞利用至关重要。 因此，所有文件都必须被认为是易受攻击的，每个人都必须采取额外的预防措施来保护他们的信息。
根据@wallet_guard 的说法，web3 和加密爱好者此时不应使用 Microsoft Word，而应使用 Google Docs。 此外，他们必须禁用 MSDT 并使用 .pdf 而不是其他文件扩展名。
这个 Microsoft Word 漏洞是加密社区棺材上的另一个钉子。 尤其是在过去几个月里，它一直在与 Discord 黑客作战。
