* [Blog](https://www2.paloaltonetworks.com/blog) * [Palo Alto Networks](https://www2.paloaltonetworks.com/blog/corporate/) * [Sin categorizar](https://www2.paloaltonetworks.com/blog/category/sin-categorizar/?lang=es) * Informe sobre amenazas: l... # Informe sobre amenazas: los documentos de Office pueden ser peligrosos (pero seguiremos usándolos) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww2.paloaltonetworks.com%2Fblog%2F2018%2F11%2Finforme-sobre-amenazas-los-documentos-de-office-pueden-ser-peligrosos-pero-seguiremos-usandolos%2F%3Flang%3Des) [](https://twitter.com/share?text=Informe+sobre+amenazas%3A+los+documentos+de+Office+pueden+ser+peligrosos+%28pero+seguiremos+us%C3%A1ndolos%29&url=https%3A%2F%2Fwww2.paloaltonetworks.com%2Fblog%2F2018%2F11%2Finforme-sobre-amenazas-los-documentos-de-office-pueden-ser-peligrosos-pero-seguiremos-usandolos%2F%3Flang%3Des) [](https://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fwww2.paloaltonetworks.com%2Fblog%2F2018%2F11%2Finforme-sobre-amenazas-los-documentos-de-office-pueden-ser-peligrosos-pero-seguiremos-usandolos%2F%3Flang%3Des&title=Informe+sobre+amenazas%3A+los+documentos+de+Office+pueden+ser+peligrosos+%28pero+seguiremos+us%C3%A1ndolos%29&summary=&source=) [](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https://www2.paloaltonetworks.com/blog/2018/11/informe-sobre-amenazas-los-documentos-de-office-pueden-ser-peligrosos-pero-seguiremos-usandolos/?lang=es&ts=markdown) \[\](mailto:?subject=Informe sobre amenazas: los documentos de Office pueden ser peligrosos (pero seguiremos usándolos)) Link copied By [Liat Hayun](https://www.paloaltonetworks.com/blog/author/liat-hayun/?lang=es&ts=markdown "Posts by Liat Hayun") Nov 19, 2018 7 minutes [Sin categorizar](https://www.paloaltonetworks.com/blog/category/sin-categorizar/?lang=es&ts=markdown) This post is also available in: [English (Inglés)](https://www2.paloaltonetworks.com/blog/2018/07/unit42-threat-brief-office-documents-can-dangerous-well-continue-use-anyway/ "Cambiar a Inglés(English)") [繁體中文 (Chino tradicional)](https://www2.paloaltonetworks.com/blog/2018/10/unit42-threat-brief-office-documents-can-dangerous-well-continue-use-anyway/?lang=zh-hant "Cambiar a Chino tradicional(繁體中文)") [Nederlands (Holandés)](https://www2.paloaltonetworks.com/blog/2018/10/bedreigingsoverzicht-office-documenten-kunnen-gevaarlijk-zijn-maar-blijven-ze-toch-gebruiken/?lang=nl "Cambiar a Holandés(Nederlands)") [Deutsch (Alemán)](https://www2.paloaltonetworks.com/blog/2018/11/bedrohungsbeschreibung-office-dateien-koennen-gefaehrlich-sein-doch-wir-nutzen-sie-trotzdem/?lang=de "Cambiar a Alemán(Deutsch)") [Italiano](https://www2.paloaltonetworks.com/blog/2018/11/report-sulle-minacce-documenti-di-office-possono-essere-pericolosi-ma-continueremo-usarli/?lang=it "Cambiar a Italiano(Italiano)") [한국어 (Coreano)](https://www2.paloaltonetworks.com/blog/2018/10/unit42-threat-brief-office-documents-can-dangerous-well-continue-use-anyway/?lang=ko "Cambiar a Coreano(한국어)") [Türkçe (Turco)](https://www2.paloaltonetworks.com/blog/2018/11/tehdit-ozeti-office-belgeleri-tehlikeli-olabilir-ancak-yine-de-onlari-kullanmaya-devam-ederiz/?lang=tr "Cambiar a Turco(Türkçe)") Prácticamente todos utilizamos archivos de Microsoft Office, ya se trate de documentos de trabajo, recibos electrónicos o un contrato de alquiler. Nos resultan útiles en muchas ocasiones y este es uno de los motivos por los que, si nos llegan adjuntos a un mensaje de correo electrónico, la probabilidad de que los abramos es bastante alta. Así, sabiendo que mucha gente abre prácticamente cualquier documento de este tipo aunque proceda de una fuente no fiable, los adversarios eligen con frecuencia estos archivos para poner en riesgo la seguridad de un sistema. En este informe exponemos cinco maneras en que se pueden subvertir y usar de forma maliciosa para atacar y poner en riesgo la seguridad de endpoints Windows. Algunas ya las hemos comentado en otras ocasiones, mientras que otras son nuevas. **Macros** Utilizar macros es la forma más directa de convertir un documento de Office en un arma de ataque. Las aplicaciones de Office tienen un motor de scripts integrado capaz de ejecutar scripts de VBA (Visual Basic para Aplicaciones) en cuanto se abre el documento sin que el usuario haga nada (siempre que las macros estén habilitadas), con lo que se pueden aprovechar para ejecutar código malicioso. Si las macros no están habilitadas, aparecerá una ventana emergente para pedir al usuario que las habilite. Estas ventanas emergentes constituyen uno de los mecanismos de seguridad que ha añadido Microsoft para reducir el riesgo que suponen las macros. Además, Microsoft utiliza una extensión de archivo diferente (.docm en lugar de .docx) para los nuevos documentos con macros. Sin embargo, a pesar de estas medidas de seguridad, hay usuarios que deciden abrir estos archivos y habilitar su contenido, con lo que las macros siguen siendo un vector de ataque habitual, ya sea para lanzar ataques sencillos con ransomware, como [Emotet](https://autofocus.paloaltonetworks.com/#/tag/Unit42.Emotet), o con campañas avanzadas, como [Sofacy](https://www.paloaltonetworks.com/blog/2018/02/unit42-sofacy-attacks-multiple-government-entities/). ![](https://www.paloaltonetworks.com/blog/wp-content/uploads/2018/10/WordDocImage1zhCN.png) Figura 1. El documento de Sofacy antes y después de habilitar el contenido. Como se ve en este ejemplo, los atacantes recurren a técnicas de ingeniería social para convencer a los usuarios de que desactiven los mecanismos de seguridad de Microsoft si quieren ver todo el documento. En el ejemplo de Sofacy, los atacantes simplemente habían utilizado el blanco como color de la letra, así que el texto ya estaba presente antes de habilitar las macros, solo que no se veía. **Archivos de Flash incrustados** Los documentos de Office, además de capacidades integradas como las macros, también pueden incluir objetos externos incrustados, como archivos de Adobe Flash. Estos objetos se pasan al software oportuno para que los procese, con lo que cualquier vulnerabilidad que tenga dicho software también se podrá aprovechar incrustándola dentro del contenido de Adobe Flash que haya en el documento de Office. Un ejemplo de uso de este tipo de vector de ataque es ++[CVE-2018-4878](https://www.paloaltonetworks.com/blog/2018/02/unit42-traps-prevents-adobe-flash-player-zero-day/)++, una vulnerabilidad de día cero de Adobe Flash Player que se aprovechó incrustando archivos SWF maliciosos en documentos de Excel. En los ataques de este tipo, el archivo de Excel malicioso lleva incrustado contenido de Adobe Flash que puede activar la vulnerabilidad de Flash y ejecutar el código shell incrustado. **Editor de ecuaciones de Microsoft** Del mismo modo que se pueden incrustar archivos de Adobe Flash en un documento de Office, también es posible incrustar ecuaciones en documentos que se vayan a procesar con el editor de ecuaciones de Microsoft, un programa que permite escribir ecuaciones matemáticas con facilidad. ![](https://www.paloaltonetworks.com/blog/wp-content/uploads/2018/10/WordDocImage2zhCN.png) Figura 2. Editor de ecuaciones de Microsoft Como en el ejemplo anterior, se pueden aprovechar vulnerabilidades del editor de ecuaciones mediante documentos maliciosos de Office. Se han visto casos recientemente, como cuando se aprovechó la vulnerabilidad ++[CVE-2017-11882](https://www.paloaltonetworks.com/blog/2017/12/unit42-analysis-of-cve-2017-11882-exploit-in-the-wild/)++ , que allanó el camino para otros exploits como ++[CVE-2018-0802](https://www.paloaltonetworks.com/blog/2018/01/unit42-traps-prevents-microsoft-office-equation-editor-zero-day-cve-2017-11882/)++ . En ambos casos, los atacantes aprovechan fallos en el editor de ecuaciones para ejecutar un código de forma remota cuando el usuario abre un documento de Office. Aunque aún no se han observado en acción, los investigadores de Unit 42 han detectado exploits similares en el editor de ecuaciones de Microsoft, como ++[CVE-2018-0807](https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0807)++ y ++[CVE-2018-0798](https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0798)++. Cabe señalar que, como el editor de ecuaciones de Microsoft ejecuta su propio proceso (eqnedt32.exe), los mecanismos de protección específicos para Microsoft Office, como EMET y Windows Defender, no son eficaces de forma predeterminada, pues solo protegen los procesos de Microsoft Office (como winword.exe). **Objetos OLE y controladores HTA** Los objetos OLE y los controladores HTA son mecanismos que utilizan los documentos de Office para incluir otros documentos en su contenido mediante referencias. Se pueden utilizar para comprometer un endpoint del siguiente modo: * Se incrusta un objeto OLE2 en un documento de Microsoft Word. * Una vez abierto el documento, el proceso de Word (winword.exe) envía una solicitud HTTP a un servidor remoto para recuperar un archivo HTA que contiene un script malicioso. * A continuación, winword.exe buscará la aplicación/HTA en el controlador de archivos mediante un objeto COM, lo que hace que la aplicación HTA de Microsoft (mshta.exe) se cargue y ejecute el script malicioso. Esto fue lo que ocurrió cuando se aprovechó la vulnerabilidad de ejecución remota de código ++[CVE-2017-0199](https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0199)++ , un fallo de Microsoft Office/WordPad utilizado en distintas campañas, como la de [OilRig](https://www.paloaltonetworks.com/blog/2017/10/unit42-oilrig-group-steps-attacks-new-delivery-documents-new-injector-trojan/). Microsoft creó un parche para esta vulnerabilidad en septiembre de 2017. ![](https://www.paloaltonetworks.com/blog/wp-content/uploads/2018/10/WordDocImage3zhCN.png) Figura 3. Los archivos RTF tendrán exactamente el mismo aspecto que los documentos de Word normales. Además de los anteriores exploits contra OLE y HTA, los atacantes descubrieron que los archivos RTF también pueden ejecutar objetos OLE tipo MIME de texto/html mediante MSHTML. ¡Esto significa que los documentos RTF exponen la misma superficie de ataque que Internet Explorer! Esta vulnerabilidad lógica, conocida como ++[CVE-2018-8174](https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8174)++, permite a los atacantes ejecutar código HTML/JavaScript/VBScript arbitrario. Aunque el código que se ejecuta de este modo queda en un espacio aislado (donde no pueda ejecutar nuevos procesos, escribir en el sistema de archivos, etc.), como el código que se ejecuta desde Internet Explorer, este fallo se puede usar para aprovechar otras vulnerabilidades, como la vulnerabilidad UAF de corrupción de la memoria del motor VBScript, para ejecutar código arbitrario en la aplicación Word (winword.exe) y lograr así controlar el sistema. **Conclusión** Aunque el uso de documentos para atacar es una práctica habitual desde hace más de una década, últimamente está aumentando la frecuencia y la complejidad de este tipo de ataques, tal vez porque cada vez es más difícil atacar con exploits a los navegadores gracias a los avances de su seguridad. Sea cual sea el motivo de este aumento, es importante que las organizaciones sepan defenderse de estas técnicas tan habituales. **Prevención** La protección avanzada de endpoints de Traps de Palo Alto Networks ofrece varias formas de prevención contra el malware y los exploits: * Análisis de macros: Traps recurre a la Threat Intelligence Cloud de WildFire y a capacidades locales de aprendizaje automático para analizar los documentos de Office y detectar macros maliciosas. De este modo, evita que el usuario abra archivos maliciosos. * Prevención contra exploits: gracias a sus amplias capacidades de prevención contra exploits, Traps evita que se ejecute shellcode malicioso en el endpoint atacado. * De forma predeterminada, Traps supervisa las aplicaciones de Office y comprueba que no se aprovechen procesos integrados legítimos para fines maliciosos. *** ** * ** *** ## Related Blogs ### [Sin categorizar](https://www.paloaltonetworks.com/blog/category/sin-categorizar/?lang=es&ts=markdown) [#### la solución de seguridad para dispositivos IdC médicos en la que confiar cuando la vida de sus pacientes está en sus manos](https://www2.paloaltonetworks.com/blog/2022/12/medical-iot-security-la-solucion-de-seguridad-para-dispositivos-idc-medicos-en-la-que-confiar-cuando-la-vida-de-sus-pacientes-esta-en-sus-manos/?lang=es) ### [Sin categorizar](https://www.paloaltonetworks.com/blog/category/sin-categorizar/?lang=es&ts=markdown) [#### Acceso seguro a la nube: por qué elegimos Palo Alto Networks](https://www2.paloaltonetworks.com/blog/2019/07/cloud-secure-cloud-access-why-we-choose-palo-alto-networks/?lang=es) ### [Sin categorizar](https://www.paloaltonetworks.com/blog/category/sin-categorizar/?lang=es&ts=markdown) [#### The 5 Big Cloud: una estrategia de seguridad en la nube integral](https://www2.paloaltonetworks.com/blog/2019/07/cloud-big-cloud-5-holistic-cloud-security-strategy/?lang=es) ### [Sin categorizar](https://www.paloaltonetworks.com/blog/category/sin-categorizar/?lang=es&ts=markdown) [#### Todo Es Posible](https://www2.paloaltonetworks.com/blog/2019/07/todo-es-posible/?lang=es) ### [Sin categorizar](https://www.paloaltonetworks.com/blog/category/sin-categorizar/?lang=es&ts=markdown) [#### ¿Qué significa estar preparado para la tecnología 5G?](https://www2.paloaltonetworks.com/blog/2019/04/what-does-it-mean-to-be-5g-ready-es/?lang=es) ### [Sin categorizar](https://www.paloaltonetworks.com/blog/category/sin-categorizar/?lang=es&ts=markdown) [#### Simplificación de su estrategia de seguridad en entornos de varias nubes](https://www2.paloaltonetworks.com/blog/2019/04/simplifying-multi-cloud-security-strategy-es/?lang=es) ### Subscribe to the Blog! Sign up to receive must-read articles, Playbooks of the Week, new feature announcements, and more. ![spinner](https://www2.paloaltonetworks.com/blog/wp-content/themes/panwblog2023/dist/images/ajax-loader.gif) Sign up Please enter a valid email. By submitting this form, you agree to our [Terms of Use](https://www.paloaltonetworks.com/legal-notices/terms-of-use?ts=markdown) and acknowledge our [Privacy Statement](https://www.paloaltonetworks.com/legal-notices/privacy?ts=markdown). Please look for a confirmation email from us. If you don't receive it in the next 10 minutes, please check your spam folder. This site is protected by reCAPTCHA and the Google [Privacy Policy](https://policies.google.com/privacy) and [Terms of Service](https://policies.google.com/terms) apply. {#footer} {#footer} ## Products and Services * [AI-Powered Network Security Platform](https://www.paloaltonetworks.com/network-security?ts=markdown) * [Secure AI by Design](https://www.paloaltonetworks.com/precision-ai-security/secure-ai-by-design?ts=markdown) * [Prisma AIRS](https://www.paloaltonetworks.com/prisma/prisma-ai-runtime-security?ts=markdown) * [AI Access Security](https://www.paloaltonetworks.com/sase/ai-access-security?ts=markdown) * [Cloud Delivered Security Services](https://www.paloaltonetworks.com/network-security/security-subscriptions?ts=markdown) * [Advanced Threat Prevention](https://www.paloaltonetworks.com/network-security/advanced-threat-prevention?ts=markdown) * [Advanced URL Filtering](https://www.paloaltonetworks.com/network-security/advanced-url-filtering?ts=markdown) * [Advanced WildFire](https://www.paloaltonetworks.com/network-security/advanced-wildfire?ts=markdown) * [Advanced DNS Security](https://www.paloaltonetworks.com/network-security/advanced-dns-security?ts=markdown) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.com/sase/enterprise-data-loss-prevention?ts=markdown) * [Enterprise IoT Security](https://www.paloaltonetworks.com/network-security/enterprise-device-security?ts=markdown) * [Medical IoT Security](https://www.paloaltonetworks.com/network-security/medical-device-security?ts=markdown) * [Industrial OT Security](https://www.paloaltonetworks.com/network-security/medical-device-security?ts=markdown) * [SaaS Security](https://www.paloaltonetworks.com/sase/saas-security?ts=markdown) * [Next-Generation Firewalls](https://www.paloaltonetworks.com/network-security/next-generation-firewall?ts=markdown) * [Hardware Firewalls](https://www.paloaltonetworks.com/network-security/hardware-firewall-innovations?ts=markdown) * [Software Firewalls](https://www.paloaltonetworks.com/network-security/software-firewalls?ts=markdown) * [Strata Cloud Manager](https://www.paloaltonetworks.com/network-security/strata-cloud-manager?ts=markdown) * [SD-WAN for NGFW](https://www.paloaltonetworks.com/network-security/sd-wan-subscription?ts=markdown) * [PAN-OS](https://www.paloaltonetworks.com/network-security/pan-os?ts=markdown) * [Panorama](https://www.paloaltonetworks.com/network-security/panorama?ts=markdown) * [Secure Access Service Edge](https://www.paloaltonetworks.com/sase?ts=markdown) * [Prisma SASE](https://www.paloaltonetworks.com/sase?ts=markdown) * [Application Acceleration](https://www.paloaltonetworks.com/sase/app-acceleration?ts=markdown) * [Autonomous Digital Experience Management](https://www.paloaltonetworks.com/sase/adem?ts=markdown) * [Enterprise DLP](https://www.paloaltonetworks.com/sase/enterprise-data-loss-prevention?ts=markdown) * [Prisma Access](https://www.paloaltonetworks.com/sase/access?ts=markdown) * [Prisma Browser](https://www.paloaltonetworks.com/sase/prisma-browser?ts=markdown) * [Prisma SD-WAN](https://www.paloaltonetworks.com/sase/sd-wan?ts=markdown) * [Remote Browser Isolation](https://www.paloaltonetworks.com/sase/remote-browser-isolation?ts=markdown) * [SaaS Security](https://www.paloaltonetworks.com/sase/saas-security?ts=markdown) * [AI-Driven Security Operations Platform](https://www.paloaltonetworks.com/cortex?ts=markdown) * [Cloud Security](https://www.paloaltonetworks.com/cortex/cloud?ts=markdown) * [Cortex Cloud](https://www.paloaltonetworks.com/cortex/cloud?ts=markdown) * [Application Security](https://www.paloaltonetworks.com/cortex/cloud/application-security?ts=markdown) * [Cloud Posture Security](https://www.paloaltonetworks.com/cortex/cloud/cloud-posture-security?ts=markdown) * [Cloud Runtime Security](https://www.paloaltonetworks.com/cortex/cloud/runtime-security?ts=markdown) * [Prisma Cloud](https://www.paloaltonetworks.com/prisma/cloud?ts=markdown) * [AI-Driven SOC](https://www.paloaltonetworks.com/cortex?ts=markdown) * [Cortex XSIAM](https://www.paloaltonetworks.com/cortex/cortex-xsiam?ts=markdown) * [Cortex XDR](https://www.paloaltonetworks.com/cortex/cortex-xdr?ts=markdown) * [Cortex XSOAR](https://www.paloaltonetworks.com/cortex/cortex-xsoar?ts=markdown) * [Cortex Xpanse](https://www.paloaltonetworks.com/cortex/cortex-xpanse?ts=markdown) * [Unit 42 Managed Detection \& Response](https://www.paloaltonetworks.com/cortex/managed-detection-and-response?ts=markdown) * [Managed XSIAM](https://www.paloaltonetworks.com/cortex/managed-xsiam?ts=markdown) * [Threat Intel and Incident Response Services](https://www.paloaltonetworks.com/unit42?ts=markdown) * [Proactive Assessments](https://www.paloaltonetworks.com/unit42/assess?ts=markdown) * [Incident Response](https://www.paloaltonetworks.com/unit42/respond?ts=markdown) * [Transform Your Security Strategy](https://www.paloaltonetworks.com/unit42/transform?ts=markdown) * [Discover Threat Intelligence](https://www.paloaltonetworks.com/unit42/threat-intelligence-partners?ts=markdown) ## Company * [About Us](https://www.paloaltonetworks.com/about-us?ts=markdown) * [Careers](https://jobs.paloaltonetworks.com/en/) * [Contact Us](https://www.paloaltonetworks.com/company/contact-sales?ts=markdown) * [Corporate Responsibility](https://www.paloaltonetworks.com/about-us/corporate-responsibility?ts=markdown) * [Customers](https://www.paloaltonetworks.com/customers?ts=markdown) * [Investor Relations](https://investors.paloaltonetworks.com/) * [Location](https://www.paloaltonetworks.com/about-us/locations?ts=markdown) * [Newsroom](https://www.paloaltonetworks.com/company/newsroom?ts=markdown) ## Popular Links * [Blog](https://www.paloaltonetworks.com/blog/?ts=markdown) * [Communities](https://www.paloaltonetworks.com/communities?ts=markdown) * [Content Library](https://www.paloaltonetworks.com/resources?ts=markdown) * [Cyberpedia](https://www.paloaltonetworks.com/cyberpedia?ts=markdown) * [Event Center](https://events.paloaltonetworks.com/) * [Manage Email Preferences](https://start.paloaltonetworks.com/preference-center) * [Products A-Z](https://www.paloaltonetworks.com/products/products-a-z?ts=markdown) * [Product Certifications](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance?ts=markdown) * [Report a Vulnerability](https://www.paloaltonetworks.com/security-disclosure?ts=markdown) * [Sitemap](https://www.paloaltonetworks.com/sitemap?ts=markdown) * [Tech Docs](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.com/) * [Do Not Sell or Share My Personal Information](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![PAN logo](https://www.paloaltonetworks.com/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [Privacy](https://www.paloaltonetworks.com/legal-notices/privacy?ts=markdown) * [Trust Center](https://www.paloaltonetworks.com/legal-notices/trust-center?ts=markdown) * [Terms of Use](https://www.paloaltonetworks.com/legal-notices/terms-of-use?ts=markdown) * [Documents](https://www.paloaltonetworks.com/legal?ts=markdown) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![Youtube](https://www.paloaltonetworks.com/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![Podcast](https://www.paloaltonetworks.com/content/dam/pan/en_US/images/icons/podcast.svg)](https://www.paloaltonetworks.com/podcasts/threat-vector?ts=markdown) * [![Facebook](https://www.paloaltonetworks.com/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![LinkedIn](https://www.paloaltonetworks.com/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![Twitter](https://www.paloaltonetworks.com/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * EN Select your language