Hotaktörer svänger runt Microsofts makroblockering i Office

Hotaktörer letar sig runt Microsofts standardblockering av makron i sin Office-svit, och använder alternativa filer för att vara värd för skadliga nyttolaster nu när en primär kanal för hotleverans stängs av, har forskare funnit.

Användningen av makroaktiverade bilagor av hotaktörer minskade med cirka 66 procent mellan oktober 2021 och juni 2022, enligt nya data från Proofpoint som avslöjades i ett blogginlägg torsdag. Början av minskningen sammanföll med Microsofts plan att börja blockera XL4-makron som standard för Excel-användare, följt upp med blockering av VBA-makron som standard i Office-paketet i år.

Hotaktörer, som visar sin typiska motståndskraft, verkar än så länge oförskämda av flytten, som markerar "en av de största förändringarna i e-posthotlandskapet i nyare historia", sa forskarna Selena Larson, Daniel Blackford och andra på Proofpoint Threat Research Team. ett inlägg.

Även om cyberbrottslingar för närvarande fortsätter att använda makron i skadliga dokument som används i nätfiskekampanjer, har de också börjat vända sig kring Microsofts försvarsstrategi genom att vända sig till andra filtyper som fartyg för skadlig programvara – nämligen containerfiler som ISO- och RAR-bilagor samt Windows Shortcut (LNK) filer, sa de.

Faktum är att under samma åtta månaders tidsram som användningen av makroaktiverade dokument minskade, ökade antalet skadliga kampanjer som utnyttjade containerfiler inklusive ISO-, RAR- och LNK-bilagor med nästan 175 procent, fann forskare.

"Det är troligt att hotaktörer kommer att fortsätta att använda containerfilformat för att leverera skadlig programvara, samtidigt som de förlitar sig mindre på makroaktiverade bilagor", noterade de.

Inga fler makron?

Makron, som används för att automatisera ofta använda uppgifter i Office, har varit bland de mest populära sätt att leverera skadlig programvara i skadliga e-postbilagor i minst den bättre delen av ett decennium, eftersom de kan tillåtas med ett enkelt, enda musklick från användarens sida när du uppmanas.

Makron har länge varit inaktiverade som standard i Office, även om användare alltid kunde aktivera dem – vilket har gjort det möjligt för hotaktörer att beväpna båda VBA-makron, som automatiskt kan köra skadligt innehåll när makron är aktiverade i Office-appar, såväl som Excel-specifika XL4-makron . Vanligtvis använder skådespelarna socialt konstruerad phishing-kampanjer för att övertyga offer om att det är brådskande att aktivera makron så att de kan öppna det de inte vet är skadliga filbilagor.

Även om Microsofts drag att blockera makron helt hittills inte har avskräckt hotaktörer från att använda dem helt, har det sporrat denna anmärkningsvärda övergång till andra taktiker, sa Proofpoint-forskare.

Nyckeln till denna förändring är taktik för att kringgå Microsofts metod för att blockera VBA-makron baserat på ett Mark of the Web-attribut (MOTW) som visar om en fil kommer från internet, känd som Zone.Identifier, noterade forskare.

"Microsoft-applikationer lägger till detta i vissa dokument när de laddas ner från webben", skrev de. "Men MOTW kan kringgås genom att använda containerfilformat."

Faktum är att IT-säkerhetsföretaget Outflank bekvämt detaljerad flera alternativ för etiska hackare som specialiserat sig på attacksimulering – så kallade "red teamers" – för att kringgå MOTW-mekanismer, enligt Proofpoint. Inlägget verkar inte ha gått obemärkt förbi av hotaktörer, eftersom de också har börjat använda denna taktik, sa forskare.

Filformat Switcheroo

För att kringgå blockering av makron använder angripare allt oftare filformat som ISO (.iso), RAR (.rar), ZIP (.zip) och IMG (.img)-filer för att skicka makroaktiverade dokument, sa forskare. Detta beror på att även om filerna själva kommer att ha MOTW-attributet, kommer dokumentet inuti, såsom ett makroaktiverat kalkylblad, inte att göra det, noterade forskare.

"När dokumentet extraheras måste användaren fortfarande aktivera makron för att den skadliga koden ska köras automatiskt, men filsystemet kommer inte att identifiera dokumentet som kommer från webben", skrev de i inlägget.

Dessutom kan hotaktörer använda containerfiler för att distribuera nyttolaster direkt genom att lägga till ytterligare innehåll som LNKs, DLL, eller körbara (.exe) filer som kan användas för att köra en skadlig nyttolast, sa forskare.

Proofpoint har också sett en liten ökning i missbruket av XLL-filer – en typ av DLL-fil (dynamic link library) för Excel – även i skadliga kampanjer, även om det inte är lika betydande ökningar som användningen av ISO-, RAR- och LNK-filer , noterade de.