近日，Mimecast 威脅中心的安全研究人員，發現了微軟 Excel 電子表格應用程式的一個新漏洞，獲致 1.2 億使用者易受網路攻擊。

其指出，該安全漏洞意味著攻擊者可以利用 Excel 的 Power Query 查詢工具，在電子表格上啟用遠端動態資料交換（DDE），並控制有效負載。

此外，Power Query 還能夠用於將惡意程式碼嵌入資料來源並進行傳播。

（圖自：Mimecast，via BetaNews）

Mimecast 表示，Power Query 提供了成熟而強大的功能，且可用於執行通常難以被檢測到的攻擊型別。

令人擔憂的是，攻擊者只需引誘受害者開啟一個電子表格，即可發起遠端 DDE 攻擊，而無需使用者執行任何進一步的操作或確認。

對於這項發現，Ofir Shlomo 在一篇部落格文章中寫到：

Power Query 是一款功能強大且可擴充套件的商業智慧（BI）工具，使用者可將其與電子表格或其它資料來源整合，比如外部資料庫、文字文件、其它電子表格或網頁等。

連結源時，可以載入資料、並將之儲存到電子表格中，或者動態地載入（比如開啟文件時）。

Mimecast 威脅中心團隊發現，Power Query 還可用於發起複雜的、難以檢測的攻擊，這些攻擊結合了多個方面。

Power Query 提供瞭如何豐富的控制元件選項，即便在傳送任何有效的負載之前，它也能夠用於採集受害者機器或沙箱指紋。

攻擊者具有潛在的預有效負載和預開發控制，在向受害者傳播惡意負載同時，還能夠欺騙檔案沙箱或其它安全解決方案，誤認為其是無害的。

作為協調漏洞披露（CVD）的一部分，Mimecast 與微軟合作，來鑑定操作是否是 Power Query 的預期行為，以及相應的解決方案。

遺憾的是，微軟並沒有釋出針對 Power Query 的漏洞修復程式，而是提供一種解決方案來緩解此問題。