{"vulnerability": "cve-2017-8570", "sightings": [{"uuid": "c7fb239a-294b-4fe1-827a-fbbba2803b32", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/39f3133c-25fe-4ac9-b1d6-0193f14f0e45", "content": "", "creation_timestamp": "2020-10-13T15:51:01.000000Z"}, {"uuid": "76780220-7bee-4c73-a74c-7bebd62f01c5", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/5ace0cf8-de70-4e7b-85bf-7a34ac12042b", "content": "", "creation_timestamp": "2018-04-11T13:45:45.000000Z"}, {"uuid": "26da6f6a-b731-464d-a5c0-a3500f1615c6", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/5b61a496-b034-4321-9406-e0330acd0835", "content": "", "creation_timestamp": "2018-08-01T12:22:29.000000Z"}, {"uuid": "ac0797a6-6697-4f43-bf16-9aafc55f980e", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/5a955d28-c2e8-4016-beaa-41ed950d210f", "content": "", "creation_timestamp": "2018-02-27T14:00:30.000000Z"}, {"uuid": "435098ce-f6b7-4a2a-90a7-f4b426f72111", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/5ab3b89e-7514-41b4-b842-402f02de0b81", "content": "", "creation_timestamp": "2018-03-22T14:09:47.000000Z"}, {"uuid": "e142a98a-52bb-4ccb-9b6f-c2caed37ff4d", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/5aafa3d9-cf3c-49fe-9c4e-2e52ac100a5a", "content": "", "creation_timestamp": "2018-03-20T06:51:20.000000Z"}, {"uuid": "beee19ff-27f3-4362-a7fc-b14cf7dd5abd", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/5aba062a-8118-4885-afe0-469402de0b81", "content": "", "creation_timestamp": "2018-03-27T09:03:26.000000Z"}, {"uuid": "3b095004-4abf-4e6d-a70e-5d7b57974685", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/5b0d3b84-c848-45f3-84ba-3cd60a950b0c", "content": "", "creation_timestamp": "2018-05-29T12:11:33.000000Z"}, {"uuid": "63b3a908-4334-4ad6-bd88-0d1a2fff5bf7", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/5c7d25ff-b630-4256-a64f-0a540a950b0c", "content": "", "creation_timestamp": "2019-03-04T13:33:22.000000Z"}, {"uuid": "f6116ef7-d7b6-43b0-9263-67b0e060e34c", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/36b8470b-ace9-416e-9994-ca272e4e6f1e", "content": "", "creation_timestamp": "2020-11-06T15:42:22.000000Z"}, {"uuid": "8a5db144-ab50-4c78-a74b-8724ea6f985d", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/0cbad1e3-4b6d-413f-a234-8939127e7112", "content": "", "creation_timestamp": "2020-10-09T13:51:49.000000Z"}, {"uuid": "40371ae8-0ed0-4d93-9d7f-f4b6b8bf573f", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/6156260c-d3a1-4055-aaa9-e856b15171e1", "content": "", "creation_timestamp": "2020-10-09T13:29:44.000000Z"}, {"uuid": "6e74785f-edf9-4309-9693-862455eaad85", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/5e9bc178-87c4-4e6a-9108-45fd79f742e8", "content": "", "creation_timestamp": "2020-10-13T15:51:03.000000Z"}, {"uuid": "17ee7c36-326e-4586-82cf-3b4eef872c3f", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/7be1b70f-0f74-4e54-9a75-441653b92cab", "content": "", "creation_timestamp": "2020-10-09T16:16:48.000000Z"}, {"uuid": "b4d8e149-a001-45be-bcdd-c7a471a26f50", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/7ea48e81-db85-4da4-9cc0-7a43192e04de", "content": "", "creation_timestamp": "2020-10-09T16:21:59.000000Z"}, {"uuid": "1b0c014e-53e7-4bea-b27c-76e1688d7349", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/2a330185-520a-4481-b9f3-928cd6c2dc8d", "content": "", "creation_timestamp": "2020-10-09T16:07:49.000000Z"}, {"uuid": "9efd87a7-fbe0-445e-9c9e-213f0d8112d4", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/686724b9-8fa4-43ac-b20b-c2598629c6d4", "content": "", "creation_timestamp": "2020-10-09T15:49:32.000000Z"}, {"uuid": "77450264-9054-4938-84f1-14f75d11592e", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/292c8ff0-f4d9-40b6-ac72-e44392d6cc31", "content": "", "creation_timestamp": "2020-10-09T16:31:53.000000Z"}, {"uuid": "bc70b351-19e5-4cc7-a46d-f8b9477021f7", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/0264baf8-cabb-4965-b54d-a793c07d93f8", "content": "", "creation_timestamp": "2020-10-09T16:01:47.000000Z"}, {"uuid": "6a36d5b8-ead8-4f2c-b63f-a30125994934", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/e2f94d40-1ef8-488a-98f9-8d6261ee230e", "content": "", "creation_timestamp": "2020-10-09T16:28:21.000000Z"}, {"uuid": "87decf3c-b2c1-4535-a48b-fff75561d74a", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/3c5c6bf8-4c3d-48de-8eb3-49f0d290a01a", "content": "", "creation_timestamp": "2020-10-09T16:26:28.000000Z"}, {"uuid": "61b66b81-65f5-4618-8498-f8dbc4acd6ad", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/70675c00-0d49-423c-969c-398fdf463d53", "content": "", "creation_timestamp": "2020-10-09T16:19:21.000000Z"}, {"uuid": "620eaea2-9eae-4719-ab13-48514a15bf23", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/95706ca1-e4d5-4714-b130-7c78ea222049", "content": "", "creation_timestamp": "2020-11-12T03:00:10.000000Z"}, {"uuid": "d129afa5-2da2-4c58-badc-3f1f1fa526cb", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/e7ba6328-3c18-4578-a7c2-96a151170246", "content": "", "creation_timestamp": "2022-08-19T07:27:40.000000Z"}, {"uuid": "ce7463bd-1f5f-4827-a8c0-93d5eb44c50f", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/3c19819c-1dac-4ef2-bfed-be5efa7e0123", "content": "", "creation_timestamp": "2023-06-14T21:10:03.000000Z"}, {"uuid": "80d80c7c-946a-4b8d-84af-0dfe1debc124", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "https://feedsin.space/feed/CISAKevBot/items/2971266", "content": "", "creation_timestamp": "2024-12-24T20:26:44.802036Z"}, {"uuid": "061bcdda-7a5a-4370-a5b5-f61335e36418", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/3c19819c-1dac-4ef2-bfed-be5efa7e0123", "content": "", "creation_timestamp": "2025-02-23T02:10:17.000000Z"}, {"uuid": "e98da085-d766-4574-90f7-00420f7effca", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/ab0b745f-bbd5-338e-8b92-97dd0c757e9d", "content": "", "creation_timestamp": "2025-08-31T03:00:48.000000Z"}, {"uuid": "7876154e-d2dc-4e37-ace9-04ab7d1cd1b5", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "af0120d0-3dac-4a6a-974b-a9f33d2a9846", "vulnerability": "CVE-2017-8570", "type": "exploited", "source": "https://vulnerability.circl.lu/known-exploited-vulnerabilities-catalog/9a6e76e0-b2b3-46f4-a5ac-279c2c201401", "content": "", "creation_timestamp": "2026-02-02T12:28:22.193497Z"}, {"uuid": "e8ab62b6-315c-4148-b59d-c4a519d6fafe", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "https://t.me/codeby_sec/1765", "content": "\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c Microsoft Office CVE-2017-8570\n\n\u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0440\u0430\u0437\u0431\u0435\u0440\u0435\u043c \u0442\u0430\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a\u0430\u043a Microsoft Office CVE 2017 8570.\n\u0414\u0430\u043d\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b PowerPoint.\n#vulnerability", "creation_timestamp": "2018-09-19T18:18:26.000000Z"}, {"uuid": "a2789ed1-45db-417f-a51c-896e80212873", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "published-proof-of-concept", "source": "https://t.me/w2hack/271", "content": "\u0420\u0430\u0437\u0431\u043e\u0440 \u0441\u0442\u0430\u0440\u044b\u0445, \u043d\u043e \u0442\u0430\u043a\u0438 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u044e\u0449\u0438\u0445\u0441\u044f \u0438\u0437 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0438 \u043f\u0435\u043d-\u0442\u0435\u0441\u0442\u0430, \u0443\u044f\u0437\u0432\u0438\u0441\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u043e\u043c \u043f\u0430\u043a\u0435\u0442\u0435 \u043e\u0444\u0438\u0441\u043d\u044b\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 MS Office. \u0422\u0435\u043e\u0440\u0438\u044f \u0438 \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u044f \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0434\u0432\u0443\u0445 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0431\u0430\u0433\u043e\u0432 \u043d\u0430 \u0431\u0430\u0437\u0435 OLE \u0438 HTA- \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0439\n\nhttps://telegra.ph/Otravlennyj-dokumenty-MS-Office-ili-bol-is-radaniya-OLE-Razbor-nashumevshih-bagov-CVE-2017-8570-i-CVE-2017-11882-08-08", "creation_timestamp": "2023-07-03T14:48:42.000000Z"}, {"uuid": "fa338f87-feac-46be-a212-dd2fee80229c", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "Telegram/Gx416Q2BmTSaUBfWSGZFkujncdZHUrwRXSuKXJPhLhoidtjy", "content": "", "creation_timestamp": "2025-02-14T09:47:00.000000Z"}, {"uuid": "c1a0d378-81d7-40ad-92d5-ca9856004c60", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "https://t.me/arpsyndicate/1010", "content": "#ExploitObserverAlert\n\nCVE-2017-8570\n\nDESCRIPTION: Exploit Observer has 97 entries related to CVE-2017-8570. Microsoft Office allows a remote code execution vulnerability due to the way that it handles objects in memory, aka \"Microsoft Office Remote Code Execution Vulnerability\". This CVE ID is unique from CVE-2017-0243.\n\nFIRST-EPSS: 0.973390000\nNVD-IS: 5.9\nNVD-ES: 1.8", "creation_timestamp": "2023-12-03T19:26:39.000000Z"}, {"uuid": "27996193-d980-421c-8086-a642350d8c32", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "https://t.me/information_security_channel/8407", "content": "RT @shotgunner101: Very interesting and troubling PowerPoint Downloader. - CVE-2017-8570\n\nShortlink to Hybrid-Analysis Link:\nhttps://t.co/X\u2026", "creation_timestamp": "2017-09-02T13:40:38.000000Z"}, {"uuid": "ceaff1d9-a6b0-4fa9-a3b1-98aadfe63f28", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "exploited", "source": "https://t.me/information_security_channel/16197", "content": "RTF Design, Office Flaw Exploited in Multi-Stage Document Attack\nhttps://www.darkreading.com/vulnerabilities---threats/rtf-design-office-flaw-exploited-in-multi-stage-document-attack/d/d-id/1331482?_mc=rss_x_drr_edt_aud_dr_x_x-rss-simple\n\nThreat actors chained CVE-2017-8570 with known design behaviors in .docx and RTF to launch a multi-stage document attack.", "creation_timestamp": "2018-04-09T18:53:10.000000Z"}, {"uuid": "1c09dbc2-e453-4215-b536-f7b843a9a583", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "exploited", "source": "https://t.me/information_security_channel/15313", "content": "New \"ThreadKit\" Office Exploit Builder Emerges\nhttp://feedproxy.google.com/~r/Securityweek/~3/7de3m_eM7i8/new-threadkit-office-exploit-builder-emerges\n\nA newly discovered Microsoft Office document exploit builder kit has been used for the distribution of a variety of malicious payloads, including banking Trojans and backdoors, Proofpoint reports.\nThe exploit builder kit was initially discovered in October 2017, but Proofpoint's researchers have linked it to activity dating back to June 2017. The builder kit shows similarities to Microsoft Word Intruder (MWI), but is a new tool called ThreadKit.\nIn June 2017, the kit was being advertised in a forum post as being able to create documents with embedded executables and embedded decoy documents, and several campaigns featuring such documents were observed that month. The documents would perform an initial check-in to the command and control (C&C) server, a tactic also used by MWI. \nThe documents were targeting CVE-2017-0199 and were focused on downloading and executing a HTA file that would then download the decoy and a malicious VB script to extract and run the embedded executable. The payload was Smoke Loader, which in turn downloaded banking malware.\nIn October, ThreadKit started targeting CVE 2017-8759 as well, but continued to use the initial C&C check-in and the HTA file to execute the embedded executable, Proofpoint says (https://www.proofpoint.com/us/threat-insight/post/unraveling-ThreadKit-new-document-exploit-builder-distribute-The-Trick-Formbook-Loki-Bot-malware). However, changes were made to the manner in which the exploit documents operate and new exploits were integrated as well. \nIn November, ThreadKit was quick to incorporate exploits for new Microsoft Office vulnerabilities, and started being advertised as capable of targeting CVE 2017-11882 too. Soon after, campaigns that featured the previously observed check-in already started to emerge. \nIn February and March 2018, the kit was embedding new exploits, targeting vulnerabilities such as an Adobe Flash zero-day (CVE-2018-4878) and several new Microsoft office vulnerabilities, including CVE-2018-0802 and CVE-2017-8570. \nAt the same time, the researchers noticed a large spike in email campaigns featuring ThreadKit-generated Office attachments packing these exploits. The exploits appear copied from proofs of concept available on a researcher\u2019s GitHub repo. \nAs part of these attacks, the attachments would drop the contained packager objects into the temp folder, then the exploits would execute the dropped scriptlet file, thus leading to the execution of the dropped batch files, which in turn run the executable.\nProofpoint found that not all ThreadKit documents contain a valid URL for the statistics check-in (some contain placeholder URLs). Furthermore, not all documents followed the same execution chain, with some scripts modified to perform other actions, a customization that may be provided as a service by the kit author.\n\u201cIn 2017, several new vulnerabilities entered regular use by threat actors and the first months of 2018 have added to that repertoire. Document exploit builder kits like ThreadKit enable even low-skilled threat actors to take advantage of the latest vulnerabilities to distribute malware. Organizations and individuals can mitigate the risk from ThreadKit and other document exploit-based attacks by ensuring that clients are patched for the latest vulnerabilities in Microsoft office and other applications,\u201d Proofpoint concludes. \nRelated: Microsoft Patches Zero-Day Vulnerability in Office\nRelated: Microsoft Manually Patched Office Component: Researchers", "creation_timestamp": "2018-03-27T17:57:22.000000Z"}, {"uuid": "c46f3744-e6bd-494c-848c-3bda3909be79", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "exploited", "source": "https://t.me/canyoupwnme/3661", "content": "CVE-2017-8570 and CVE-2018-0802 exploits being used to spread LokiBot\nhttps://www.zscaler.com/blogs/research/cve-2017-8570-and-cve-2018-0802-exploits-being-used-spread-lokibot", "creation_timestamp": "2018-04-28T00:27:03.000000Z"}, {"uuid": "e5ca6ff0-1228-4ea5-af53-75eaa96e1131", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "https://t.me/haccking/2787", "content": "#\u041e\u0431\u0443\u0447\u0435\u043d\u0438\u0435 \n\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c Microsoft Office CVE-2017-8570.", "creation_timestamp": "2018-08-31T16:47:03.000000Z"}, {"uuid": "200c0159-8a89-4a21-8056-1e07c48e72b6", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "published-proof-of-concept", "source": "https://t.me/CyberSecurityTechnologies/60", "content": "#exploit\nNew vulnerabilities in Microsoft products\n\n1. CVE-2018-0802:\nEquation Editor in MS Office 2007, 2010, 2013, 2016 - RCE\nhttps://github.com/zldww2011/CVE-2018-0802_POC\n]-> https://github.com/rxwx/CVE-2018-0802\nGenerate RTF exploit payload uses CVE-2017-11882, CVE-2017-8570, CVE-2018-0802, CVE-2018-8174\nhttps://github.com/dcsync/rtfkit\n\n2. CVE-2018-0824:\nRCE in \"Microsoft COM for Windows\"\nhttps://github.com/codewhitesec/UnmarshalPwn\n// This affects Win7, 8.1, 10, RT 8.1, Server 2012 R2, 2008/2008 R2, 2012, 2016\n\n3. CVE-2018-0886:\nCredSSP protocol in MS Windows Server 2008 SP2/R2 SP1, Win7 SP1, 8.1, RT 8.1, Server 2012/R2, Win10 Gold, 1511, 1607, 1703, 1709, Server 2016, 1709 - RCE\nhttps://github.com/preempt/credssp", "creation_timestamp": "2024-10-10T21:06:31.000000Z"}, {"uuid": "efbeed73-7151-4583-a891-2911687e00b8", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "MISP/39f3133c-25fe-4ac9-b1d6-0193f14f0e45", "content": "", "creation_timestamp": "2026-05-07T22:15:09.000000Z"}, {"uuid": "d27f1e65-57e3-4db9-a894-ec993d14b470", "vulnerability_lookup_origin": "caeb2787-0d58-4236-9039-7c86c3e566f3", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "exploited", "source": "https://vulnerability.circl.lu/known-exploited-vulnerabilities-catalog/60fa79a1-620c-48c7-b751-f4555b734a3e", "content": "", "creation_timestamp": "2026-06-19T12:47:37.543887Z"}, {"uuid": "c0342c61-6e95-4f70-a822-2d4ec4772846", "vulnerability_lookup_origin": "caeb2787-0d58-4236-9039-7c86c3e566f3", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "exploited", "source": "https://vulnerability.circl.lu/known-exploited-vulnerabilities-catalog/4e60e523-22ff-4b83-88a4-77a80e431db9", "content": "", "creation_timestamp": "2026-06-23T14:04:58.020586Z"}, {"uuid": "83628cb6-5b26-40ff-89f9-44c6a2102f50", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "seen", "source": "https://t.me/vpntester/60", "content": "Agent Tesla TrojanerAgent Tesla ist ein gef\u00e4hrlicher Trojaner.Wie Forscher festgestellt haben, hat sich der Agent Tesla RAT (Remote Access Trojaner) in der ersten H\u00e4lfte des Jahres 2020 zu einer der am weitesten verbreiteten und bedrohlichsten Malware-Familien entwickelt.\u00a0 Auch OpenVPN kann Opfer des Trojaners werden! Agent Tesla war in mehr Cyber-Attacken verwickelt als bspw. Trickbot oder Emotet, noch aggressiver war nur Dridex. Obwohl es den Trojaner bereits seit zumindest sechs Jahren gibt, entwickelt er sich immer weiter bzw. passt sich an und zerst\u00f6rt damit die Sicherheitsvorkehrungen vieler Unternehmen. W\u00e4hrend der COVID-19-Pandemie kamen wieder neue Varianten mit zus\u00e4tzlichen Features zutage, die gro\u00df angelegt f\u00fcr spezielle Coronavirus-Phishingkampagnen genutzt wurden.Was ist & kann Agent Tesla?In seinem Kern ist Agent Tesla ein ausgekl\u00fcgelter Keylogger und Infostealer, der die Tastatureingaben \u00fcberwacht sowie aufzeichnet, Daten mitliest, Screenshots erstellt und App-Zugangsdaten abf\u00e4ngt. Agent Tesla wurde erstmals 2014 entdeckt, in den letzte beiden Jahren wurde der Trojaner vermehrt eingesetzt. Die Malware wurde zu Beginn in verschiedenen Untergrundforen und -marktpl\u00e4tzen sowie der eigenen, mittlerweile deaktivierten AgentTesla.com Seite verkauft. Agent Tesla hat, wie viele seiner \u201eKonkurrenten\u201c sowohl die Malware an sich angeboten als auch ein Managementpanel zur Verwaltung und Datensammlung. Auf diesem Panel hat der Cyberkriminelle schnell Zugriff auf die abgegriffenen/gestohlenen Informationen und Daten.G\u00fcnstiger Trojaner mit vollem FunktionsumfangAls Agent Tesla seinerzeit gelauncht wurde, gab es verschiedene \u201ePackages\u201c zu kaufen. Jedes dieser Packages unterschied sich durch die Lizenzdauer und den Built-/Update-Zugriff. F\u00fcr damalige Verh\u00e4ltnisse war der Trojaner recht g\u00fcnstig zu haben \u2013 1 Monatslizenz kostete 12 USD, 6 Monatslizenzen 35 USD. Aber nat\u00fcrlich gab es recht schnell auch gecknackte und geleakte Agent Tesla Versionen.Fr\u00fche Versionen von Agent Tesla warben bereits mit dem vollen Funktionsumfang eines modernen Trojaners wie bspw.:verschiedene SprachenPHP-Web-Panelautomatische Aktivierung bei Zahlung (f\u00fcr Direktkunden)24/7-Supportstabile und schnelle Ausf\u00fchrungverschiedene Arten der Bereitstellung von Tastatureingabeprotokolle, Screenshots und Clipboard-PullsUnterst\u00fctzung f\u00fcr mehrere Windows-Versionen (XP aufw\u00e4rts)ZustellmechanismusWie bei vielen anderen Bedrohungen ist auch bei Agent Tesla die prim\u00e4re Zustellungsmethode E-Mail (Phishing-Nachrichten). Die Angreifer kommen mit ihren Social Engineering-K\u00f6dern oft gerade zur rechten Zeit und die momentane Pandemie ist f\u00fcr die Cyberkriminellen keineswegs tabu. Im Gegenteil: In den letzten Monaten wurde verst\u00e4rkt beobachtet, dass Angreifer Agent Tesla \u00fcber Nachrichten mit COVID-Themen verbreitet haben \u2013 oft getarnt als Informationen oder Update der WHO.B\u00f6sartige Office-Dokumente nutzten Schwachstellen ausDie Akteure hinter Agent Tesal-Kampagnen verwenden oft auch b\u00f6sartige Office-Dokumente, um die erste Phase der Auslieferung zu erleichtern. Speziall angefertigte Dokumente, die Office-Schwachstellen wie CVE-2017-11882 und CVE-2017-8570 ausnutzen, werden auch in heutigen Kampagnen genutzt. Diese und \u00e4hnliche Schwachstellen erm\u00f6glichen eine schnelle Zustellung und Ausf\u00fchrung mit minimaler Nutzerinteraktion (\u00fcber das \u00d6ffnen der b\u00f6sartigen Dokumente und die Weiterleitung aktiver Inhalte hinaus).Features der neuen Agent Tesla VariantenIm Laufe der Zeit wurde Agent Tesla um zus\u00e4tzliche Funktionen erweitert. Diese Verbesserungen umfassen robustere Verbreitungs- und Injektionsmethoden sowie die Entdeckung und den Diebstahl von WLAN-Informationen und -Zugangsdaten. Derzeit wird Agent Tesla weiterhin in verschiedene Angriffsstufen eingesetzt. Die\u2026", "creation_timestamp": "2026-08-06T20:00:04.263517Z"}, {"uuid": "f698b33b-3dc5-4478-afa3-66f1f9f74f8b", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2017-8570", "type": "exploited", "source": "https://t.me/vpntester/60", "content": "Agent Tesla TrojanerAgent Tesla ist ein gef\u00e4hrlicher Trojaner.Wie Forscher festgestellt haben, hat sich der Agent Tesla RAT (Remote Access Trojaner) in der ersten H\u00e4lfte des Jahres 2020 zu einer der am weitesten verbreiteten und bedrohlichsten Malware-Familien entwickelt.\u00a0 Auch OpenVPN kann Opfer des Trojaners werden! Agent Tesla war in mehr Cyber-Attacken verwickelt als bspw. Trickbot oder Emotet, noch aggressiver war nur Dridex. Obwohl es den Trojaner bereits seit zumindest sechs Jahren gibt, entwickelt er sich immer weiter bzw. passt sich an und zerst\u00f6rt damit die Sicherheitsvorkehrungen vieler Unternehmen. W\u00e4hrend der COVID-19-Pandemie kamen wieder neue Varianten mit zus\u00e4tzlichen Features zutage, die gro\u00df angelegt f\u00fcr spezielle Coronavirus-Phishingkampagnen genutzt wurden.Was ist & kann Agent Tesla?In seinem Kern ist Agent Tesla ein ausgekl\u00fcgelter Keylogger und Infostealer, der die Tastatureingaben \u00fcberwacht sowie aufzeichnet, Daten mitliest, Screenshots erstellt und App-Zugangsdaten abf\u00e4ngt. Agent Tesla wurde erstmals 2014 entdeckt, in den letzte beiden Jahren wurde der Trojaner vermehrt eingesetzt. Die Malware wurde zu Beginn in verschiedenen Untergrundforen und -marktpl\u00e4tzen sowie der eigenen, mittlerweile deaktivierten AgentTesla.com Seite verkauft. Agent Tesla hat, wie viele seiner \u201eKonkurrenten\u201c sowohl die Malware an sich angeboten als auch ein Managementpanel zur Verwaltung und Datensammlung. Auf diesem Panel hat der Cyberkriminelle schnell Zugriff auf die abgegriffenen/gestohlenen Informationen und Daten.G\u00fcnstiger Trojaner mit vollem FunktionsumfangAls Agent Tesla seinerzeit gelauncht wurde, gab es verschiedene \u201ePackages\u201c zu kaufen. Jedes dieser Packages unterschied sich durch die Lizenzdauer und den Built-/Update-Zugriff. F\u00fcr damalige Verh\u00e4ltnisse war der Trojaner recht g\u00fcnstig zu haben \u2013 1 Monatslizenz kostete 12 USD, 6 Monatslizenzen 35 USD. Aber nat\u00fcrlich gab es recht schnell auch gecknackte und geleakte Agent Tesla Versionen.Fr\u00fche Versionen von Agent Tesla warben bereits mit dem vollen Funktionsumfang eines modernen Trojaners wie bspw.:verschiedene SprachenPHP-Web-Panelautomatische Aktivierung bei Zahlung (f\u00fcr Direktkunden)24/7-Supportstabile und schnelle Ausf\u00fchrungverschiedene Arten der Bereitstellung von Tastatureingabeprotokolle, Screenshots und Clipboard-PullsUnterst\u00fctzung f\u00fcr mehrere Windows-Versionen (XP aufw\u00e4rts)ZustellmechanismusWie bei vielen anderen Bedrohungen ist auch bei Agent Tesla die prim\u00e4re Zustellungsmethode E-Mail (Phishing-Nachrichten). Die Angreifer kommen mit ihren Social Engineering-K\u00f6dern oft gerade zur rechten Zeit und die momentane Pandemie ist f\u00fcr die Cyberkriminellen keineswegs tabu. Im Gegenteil: In den letzten Monaten wurde verst\u00e4rkt beobachtet, dass Angreifer Agent Tesla \u00fcber Nachrichten mit COVID-Themen verbreitet haben \u2013 oft getarnt als Informationen oder Update der WHO.B\u00f6sartige Office-Dokumente nutzten Schwachstellen ausDie Akteure hinter Agent Tesal-Kampagnen verwenden oft auch b\u00f6sartige Office-Dokumente, um die erste Phase der Auslieferung zu erleichtern. Speziall angefertigte Dokumente, die Office-Schwachstellen wie CVE-2017-11882 und CVE-2017-8570 ausnutzen, werden auch in heutigen Kampagnen genutzt. Diese und \u00e4hnliche Schwachstellen erm\u00f6glichen eine schnelle Zustellung und Ausf\u00fchrung mit minimaler Nutzerinteraktion (\u00fcber das \u00d6ffnen der b\u00f6sartigen Dokumente und die Weiterleitung aktiver Inhalte hinaus).Features der neuen Agent Tesla VariantenIm Laufe der Zeit wurde Agent Tesla um zus\u00e4tzliche Funktionen erweitert. Diese Verbesserungen umfassen robustere Verbreitungs- und Injektionsmethoden sowie die Entdeckung und den Diebstahl von WLAN-Informationen und -Zugangsdaten. Derzeit wird Agent Tesla weiterhin in verschiedene Angriffsstufen eingesetzt. Die\u2026", "creation_timestamp": "2026-08-07T00:04:31.159805Z"}]}