Espionnez vos amis avec Word

Pour la majorité des utilisateurs, le champs INCLUDETEXT d'un document Word ne représente rien. Pour un pirate, cependant, c'est une magnifique opportunité d'espionnage : plus besoin d'infecter sa victime avec un cheval de Troie dans l'espoir de siphonner son disque dur : Word le fait tout seul avec le champs INCLUDETEXT.

L'attaque demande un peu de préparation, mais est imparable. Dans un premier temps, le pirate doit préparer un document Word à adresser à sa victime, et une bonne histoire pour que celle-ci ouvre le document sur son PCPC, le modifie et le lui renvoie. Aucun programme antivirusantivirus ne verra quoi que ce soit, car le document est tout à fait normal. Il ne contient aucune macro-commande. Seule différence avec un document Word traditionnel : le champs INCLUDETEXT est défini.
Concrètement, ce champs obscur et inutilisé permet de forcer Word à inclure dans le document actif un autre document, situé n'importe où sur le disque dur. Personne ne l'utilise réellement, sauf désormais les curieux, qui peuvent ainsi copier n'importe quoi dans un document Word piégé et se le faire renvoyer.

Word n'offre à ce jour aucune protection contre cette attaque : si vous ouvrez, modifiez et renvoyez un document, comme c'est souvent le cas en entreprise, vous pouvez être victime d'un siphonage en règle.
L'attaque a été confirmée sur Word 97, et semble possible sur les versions supérieures (2000 et XP), mais cela n'a pas encore été testé.
Seule parade pour l'heure : ne pas utiliser le format DOC, propre à Word, mais plutôt RTF, moins "riche" en champs inutiles.
Et pour tous ceux qui n'utilisent pas le dixième des fonctions de la suite Office, il peut-être plus rentable de passer à OpenOffice 1.1, une suite professionnelle complète et gratuite, capable de lire tous les formats propriétaires de MicrosoftMicrosoft.