Uhkatoimijat pyörivät Microsoftin makroeston ympärillä Officessa

Uhkatoimijat löytävät tiensä Microsoftin Office-ohjelmiston makrojen oletusestoon käyttämällä vaihtoehtoisia tiedostoja haitallisten hyötykuormien isännöimiseen nyt, kun ensisijainen uhkien toimittamisen kanava on katkaistu, tutkijat ovat havainneet.

Uhkatoimijoiden makro-yhteensopivien liitteiden käyttö väheni noin 66 prosenttia lokakuun 2021 ja kesäkuun 2022 välisenä aikana Proofpointin uusien tietojen mukaan. kirjoitusta Torstai. Vähennyksen alku osui samaan aikaan Microsoftin suunnitelman kanssa aloittaa XL4-makrojen oletuksena estäminen Excel-käyttäjiltä, ​​minkä jälkeen VBA-makrot estetään oletusarvoisesti Office-paketissa tänä vuonna.

Uhkatoimijat, jotka osoittavat tyypillistä kestävyyttään, näyttävät toistaiseksi pelottamattomilta siirrosta, joka on "yksi lähihistorian suurimmista sähköpostin uhkien maiseman muutoksista", tutkijat Selena Larson, Daniel Blackford ja muut Proofpoint Threat -tutkimustiimin jäsenet sanoivat. postaus.

Vaikka kyberrikolliset käyttävät toistaiseksi makroja haitallisissa asiakirjoissa, joita käytetään tietojenkalastelukampanjoissa, he ovat myös alkaneet kiertää Microsoftin puolustusstrategiaa käyttämällä muita tiedostotyyppejä haittaohjelmien alusina – nimittäin konttitiedostoja, kuten ISO- ja RAR-liitteitä sekä Windows Shortcut (LNK) -tiedostot, he sanoivat.

Tutkijat havaitsivat, että saman kahdeksan kuukauden ajanjakson aikana, jolloin makroja tukevien asiakirjojen käyttö väheni, haitallisten kampanjoiden määrä, joissa hyödynnettiin säilötiedostoja, mukaan lukien ISO-, RAR- ja LNK-liitteet, kasvoi lähes 175 prosenttia.

"On todennäköistä, että uhkatoimijat jatkavat säilön tiedostomuotojen käyttöä haittaohjelmien toimittamiseen, mutta luottavat vähemmän makro-yhteensopiviin liitteisiin", he huomauttivat.

Makroja ei enää ole?

Makrot, joita käytetään Officessa usein käytettyjen tehtävien automatisointiin, ovat olleet yksi eniten suosittuja tapoja toimittaa haittaohjelmia haitallisissa sähköpostin liitteissä vähintään vuosikymmenen parempi osa, koska ne voidaan sallia yksinkertaisella, yhdellä hiiren napsautuksella käyttäjältä pyydettäessä.

Makrot ovat pitkään olleet oletusarvoisesti pois käytöstä Officessa, vaikka käyttäjät voivat aina ottaa ne käyttöön – mikä on antanut uhkatekijöille mahdollisuuden aseistaa sekä VBA-makroja, jotka voivat suorittaa automaattisesti haitallista sisältöä, kun makrot ovat käytössä Office-sovelluksissa, että Excel-kohtaisia ​​XL4-makroja. . Yleensä näyttelijät käyttävät sosiaalisesti suunniteltu tietojenkalastelukampanjat vakuuttaa uhrit siitä, että makrot on otettava käyttöön kiireellisesti, jotta he voivat avata haitallisia liitetiedostoja, joita he eivät tiedä olevan.

Vaikka Microsoftin toimenpide estää makrot kokonaan toistaiseksi ei ole estänyt uhkien toimijoita käyttämästä niitä kokonaan, se on kannustanut tätä huomattavaa siirtymistä muihin taktiikoihin, Proofpointin tutkijat sanoivat.

Avain tähän muutokseen on taktiikka, jolla ohitetaan Microsoftin menetelmä estää VBA-makrot Mark of the Web (MOTW) -attribuutin perusteella, joka osoittaa, tuleeko tiedosto Internetistä, joka tunnetaan nimellä Zone.Identifier, tutkijat huomauttivat.

"Microsoft-sovellukset lisäävät tämän joihinkin asiakirjoihin, kun ne ladataan verkosta", he kirjoittivat. "MOTW voidaan kuitenkin ohittaa käyttämällä konttitiedostomuotoja."

Itse asiassa IT-turvayhtiö Outflank kätevästi yksityiskohtainen Proofpointin mukaan useita vaihtoehtoja eettisille hakkereille, jotka ovat erikoistuneet hyökkäyssimulaatioihin, joita kutsutaan nimellä "punaiset tiimiläiset" ohittamaan MOTW-mekanismit. Viesti ei näytä jääneen uhkatoimijoilta huomaamatta, koska he ovat myös alkaneet käyttää näitä taktiikoita, tutkijat sanoivat.

Tiedostomuoto Switcheroo

Makrojen eston ohittamiseksi hyökkääjät käyttävät yhä useammin tiedostomuotoja, kuten ISO (.iso), RAR (.rar), ZIP (.zip) ja IMG (.img), lähettääkseen makroja tukevia asiakirjoja, tutkijat sanoivat. Tämä johtuu siitä, että vaikka tiedostoilla itsessään on MOTW-attribuutti, sen sisällä olevalla asiakirjalla, kuten makroa tukevalla laskentataulukolla, ei ole, tutkijat huomauttavat.

"Kun asiakirja puretaan, käyttäjän on silti otettava makrot käyttöön, jotta haittakoodi suoritetaan automaattisesti, mutta tiedostojärjestelmä ei tunnista dokumenttia verkosta tulevaksi", he kirjoittivat viestissä.

Lisäksi uhkatoimijat voivat käyttää konttitiedostoja jakaakseen hyötykuormia suoraan lisäämällä lisäsisältöä, kuten LNK:ita, DLL, tai suoritettavat (.exe) tiedostot, joita voidaan käyttää haitallisen hyötykuorman suorittamiseen, tutkijat sanoivat.

Proofpoint on myös havainnut hieman nousua XLL-tiedostojen – Excelin dynaamisten linkkikirjastotiedostojen (DLL-tiedostojen) – väärinkäytössä myös haitallisissa kampanjoissa, vaikkakaan ei niin merkittävässä kasvussa kuin ISO-, RAR- ja LNK-tiedostojen käyttö. , he huomauttivat.