थ्रेट एक्टर्स ऑफिस में माइक्रोसॉफ्ट के मैक्रो-ब्लॉकिंग के इर्द-गिर्द घूमते हैं

शोधकर्ताओं ने पाया है कि दुर्भावनापूर्ण पेलोड को होस्ट करने के लिए वैकल्पिक फ़ाइलों का उपयोग करते हुए, धमकी देने वाले अभिनेता माइक्रोसॉफ्ट के अपने ऑफिस सूट में मैक्रोज़ को डिफ़ॉल्ट रूप से अवरुद्ध करने के लिए अपना रास्ता खोज रहे हैं, शोधकर्ताओं ने पाया है।

प्रूफपॉइंट के नए आंकड़ों के अनुसार, अक्टूबर 66 और जून 2021 के बीच खतरे वाले अभिनेताओं द्वारा मैक्रोज़-सक्षम अनुलग्नकों का उपयोग लगभग 2022 प्रतिशत कम हो गया। एक ब्लॉग पोस्ट में गुरुवार। कमी की शुरुआत एक्सेल उपयोगकर्ताओं के लिए डिफ़ॉल्ट रूप से XL4 मैक्रोज़ को ब्लॉक करना शुरू करने की Microsoft की योजना के साथ हुई, इसके बाद इस साल पूरे ऑफिस सूट में डिफ़ॉल्ट रूप से VBA मैक्रोज़ को ब्लॉक किया गया।

प्रूफ़पॉइंट थ्रेट रिसर्च टीम के शोधकर्ता सेलेना लार्सन, डैनियल ब्लैकफ़ोर्ड और अन्य ने कहा, थ्रेट एक्टर्स, अपने विशिष्ट लचीलेपन का प्रदर्शन करते हुए, अब तक इस कदम से निडर दिखाई देते हैं, जो "हाल के इतिहास में सबसे बड़े ईमेल खतरे के परिदृश्य में से एक है।" एक पद।

हालाँकि साइबर अपराधी अभी भी फ़िशिंग अभियानों में उपयोग किए जाने वाले दुर्भावनापूर्ण दस्तावेज़ों में मैक्रोज़ को नियोजित करना जारी रखते हैं, उन्होंने अन्य फ़ाइल प्रकारों को मैलवेयर के लिए जहाजों के रूप में बदलकर Microsoft की रक्षा रणनीति के इर्द-गिर्द घूमना शुरू कर दिया है - अर्थात्, आईएसओ और आरएआर अटैचमेंट जैसी कंटेनर फाइलें और साथ ही साथ। विंडोज शॉर्टकट (एलएनके) फाइलें, उन्होंने कहा।

वास्तव में, उसी आठ महीने की समय सीमा में जिसमें मैक्रोज़-सक्षम दस्तावेज़ों का उपयोग कम हो गया, आईएसओ, आरएआर और एलएनके अटैचमेंट सहित कंटेनर फ़ाइलों का लाभ उठाने वाले दुर्भावनापूर्ण अभियानों की संख्या में लगभग 175 प्रतिशत की वृद्धि हुई, शोधकर्ताओं ने पाया।

उन्होंने कहा, "यह संभावना है कि मैक्रो-सक्षम अनुलग्नकों पर कम भरोसा करते हुए, अभिनेता मैलवेयर वितरित करने के लिए कंटेनर फ़ाइल स्वरूपों का उपयोग करना जारी रखेंगे।"

मैक्रोज़ नो मोर?

कार्यालय में अक्सर उपयोग किए जाने वाले कार्यों को स्वचालित करने के लिए उपयोग किए जाने वाले मैक्रोज़ सबसे अधिक में से रहे हैं लोकप्रिय तरीके कम से कम दुर्भावनापूर्ण ईमेल अटैचमेंट में मैलवेयर डिलीवर करने के लिए एक दशक का बेहतर हिस्सा, क्योंकि उन्हें संकेत दिए जाने पर उपयोगकर्ता की ओर से एक साधारण, एकल माउस-क्लिक के साथ अनुमति दी जा सकती है।

मैक्रोज़ को लंबे समय से कार्यालय में डिफ़ॉल्ट रूप से अक्षम कर दिया गया है, हालांकि उपयोगकर्ता हमेशा उन्हें सक्षम कर सकते हैं-जिसने खतरे वाले अभिनेताओं को वीबीए मैक्रोज़ दोनों को हथियार बनाने की इजाजत दी है, जो स्वचालित रूप से दुर्भावनापूर्ण सामग्री चला सकते हैं जब मैक्रोज़ ऑफिस ऐप्स में सक्षम होते हैं, साथ ही एक्सेल-विशिष्ट एक्सएल 4 मैक्रोज़ . आमतौर पर अभिनेता उपयोग करते हैं सामाजिक रूप से इंजीनियर फ़िशिंग अभियान पीड़ितों को मैक्रोज़ सक्षम करने के लिए मनाने के लिए ताकि वे वह खोल सकें जो वे नहीं जानते दुर्भावनापूर्ण फ़ाइल अनुलग्नक हैं।

प्रूफपॉइंट शोधकर्ताओं ने कहा कि माइक्रोसॉफ्ट के मैक्रोज़ को पूरी तरह से ब्लॉक करने के कदम ने अब तक धमकी देने वाले अभिनेताओं को पूरी तरह से इस्तेमाल करने से नहीं रोका है, लेकिन इसने इस उल्लेखनीय बदलाव को अन्य रणनीति में बदल दिया है।

इस बदलाव की कुंजी मार्क ऑफ द वेब (MOTW) विशेषता के आधार पर VBA मैक्रोज़ को ब्लॉक करने के लिए Microsoft की विधि को बायपास करने की रणनीति है जो दिखाती है कि क्या कोई फ़ाइल इंटरनेट से आती है जिसे ज़ोन के रूप में जाना जाता है। पहचानकर्ता, शोधकर्ताओं ने नोट किया।

"Microsoft एप्लिकेशन इसे वेब से डाउनलोड होने पर कुछ दस्तावेज़ों में जोड़ते हैं," उन्होंने लिखा। "हालांकि, कंटेनर फ़ाइल स्वरूपों का उपयोग करके MOTW को बायपास किया जा सकता है।"

दरअसल, आईटी सुरक्षा कंपनी आउटफ्लैंक आसानी से विस्तृत प्रूफपॉइंट के अनुसार, हमले के अनुकरण में विशेषज्ञता वाले एथिकल हैकर्स के लिए कई विकल्प - जिन्हें "रेड टीमर्स" के रूप में जाना जाता है - एमओटीडब्ल्यू तंत्र को बायपास करने के लिए। शोधकर्ताओं ने कहा कि ऐसा नहीं लगता कि धमकी देने वाले अभिनेताओं ने पोस्ट पर ध्यान नहीं दिया, क्योंकि उन्होंने भी इन युक्तियों को लागू करना शुरू कर दिया है।

फ़ाइल-प्रारूप स्विचरू

मैक्रोज़ ब्लॉकिंग को बायपास करने के लिए, हमलावर मैक्रो-सक्षम दस्तावेज़ भेजने के लिए ISO (.iso), RAR (.rar), ZIP (.zip), और IMG (.img) फ़ाइलों जैसे फ़ाइल स्वरूपों का उपयोग कर रहे हैं, शोधकर्ताओं ने कहा। इसका कारण यह है कि हालांकि फाइलों में स्वयं MOTW विशेषता होगी, लेकिन अंदर का दस्तावेज़, जैसे कि मैक्रो-सक्षम स्प्रेडशीट, नहीं होगा, शोधकर्ताओं ने नोट किया।

"जब दस्तावेज़ निकाला जाता है, तब भी उपयोगकर्ता को दुर्भावनापूर्ण कोड को स्वचालित रूप से निष्पादित करने के लिए मैक्रोज़ को सक्षम करना होगा, लेकिन फ़ाइल सिस्टम वेब से आने वाले दस्तावेज़ की पहचान नहीं करेगा," उन्होंने पोस्ट में लिखा।

इसके अतिरिक्त, धमकी देने वाले अभिनेता एलएनके जैसी अतिरिक्त सामग्री जोड़कर सीधे पेलोड वितरित करने के लिए कंटेनर फ़ाइलों का उपयोग कर सकते हैं, DLLs, या निष्पादन योग्य (.exe) फ़ाइलें जिनका उपयोग दुर्भावनापूर्ण पेलोड को निष्पादित करने के लिए किया जा सकता है, शोधकर्ताओं ने कहा।

प्रूफपॉइंट ने एक्सएलएल फाइलों के दुरुपयोग में भी थोड़ी वृद्धि देखी है - एक्सेल के लिए एक प्रकार की डायनेमिक लिंक लाइब्रेरी (डीएलएल) फाइल - दुर्भावनापूर्ण अभियानों में भी, हालांकि आईएसओ, आरएआर और एलएनके फाइलों के उपयोग के रूप में महत्वपूर्ण वृद्धि नहीं है। , उन्होंने नोट किया।