آفس میں مائیکروسافٹ کے میکرو بلاکنگ کے ارد گرد دھمکی دینے والے اداکار

محققین نے پایا ہے کہ خطرناک اداکار مائیکروسافٹ کے اپنے آفس سویٹ میں میکروز کو پہلے سے طے شدہ بلاک کرنے کے ارد گرد اپنا راستہ تلاش کر رہے ہیں، متبادل فائلوں کا استعمال کرتے ہوئے بدنیتی پر مبنی پے لوڈز کی میزبانی کر رہے ہیں کہ اب خطرے کی ترسیل کا ایک بنیادی چینل منقطع ہو رہا ہے، محققین نے پایا ہے۔

پروفپوائنٹ کے سامنے آنے والے نئے اعداد و شمار کے مطابق، اکتوبر 66 اور جون 2021 کے درمیان دھمکی دینے والے اداکاروں کے ذریعہ میکروز سے چلنے والے اٹیچمنٹ کے استعمال میں تقریباً 2022 فیصد کمی واقع ہوئی ہے۔ ایک بلاگ پوسٹ میں جمعرات. کمی کا آغاز مائیکروسافٹ کے ایکسل صارفین کے لیے XL4 میکرو کو بطور ڈیفالٹ بلاک کرنا شروع کرنے کے منصوبے کے ساتھ ہوا، جس کے بعد اس سال آفس سویٹ میں VBA میکرو کو بطور ڈیفالٹ بلاک کیا گیا۔

دھمکی دینے والے اداکار، اپنی مخصوص لچک کا مظاہرہ کرتے ہوئے، اب تک اس اقدام سے بے خوف دکھائی دیتے ہیں، جو کہ "حالیہ تاریخ میں سب سے بڑے ای میل خطرے کے منظر نامے کی تبدیلیوں میں سے ایک ہے،" محققین سیلینا لارسن، ڈینیئل بلیک فورڈ اور پروف پوائنٹ تھریٹ ریسرچ ٹیم میں شامل دیگر نے کہا۔ ایک مراسلہ.

اگرچہ سائبر کرائمین ابھی تک فشنگ مہموں میں استعمال ہونے والی بدنیتی پر مبنی دستاویزات میں میکروز کو استعمال کرنا جاری رکھتے ہیں، لیکن انہوں نے مائیکروسافٹ کی دفاعی حکمت عملی کے گرد گھومنا شروع کر دیا ہے تاکہ میلویئر کے لیے دیگر فائلوں کی قسمیں یعنی کنٹینر فائلیں جیسے آئی ایس او اور آر اے آر اٹیچمنٹ کے ساتھ ساتھ ونڈوز شارٹ کٹ (LNK) فائلیں، انہوں نے کہا۔

درحقیقت، اسی آٹھ ماہ کے وقت کے فریم میں جس میں میکروز سے چلنے والی دستاویزات کا استعمال کم ہوا، کنٹینر فائلوں بشمول ISO، RAR، اور LNK منسلکات کا فائدہ اٹھانے والی بدنیتی پر مبنی مہموں کی تعداد میں تقریباً 175 فیصد اضافہ ہوا، محققین نے پایا۔

انہوں نے نوٹ کیا کہ "یہ خطرہ ہے کہ اداکار میلویئر ڈیلیور کرنے کے لیے کنٹینر فائل فارمیٹس کا استعمال جاری رکھیں گے، جبکہ میکرو فعال منسلکات پر کم انحصار کرتے ہوئے،" انہوں نے نوٹ کیا۔

میکروس مزید نہیں؟

میکرو، جو آفس میں اکثر استعمال ہونے والے کاموں کو خودکار کرنے کے لیے استعمال ہوتے ہیں، سب سے زیادہ ہیں۔ مقبول طریقے کم از کم نقصان دہ ای میل منسلکات میں میلویئر فراہم کرنے کے لیے ایک دہائی کا بہتر حصہ, کیونکہ ان کی اجازت دی جا سکتی ہے ایک سادہ، واحد ماؤس کلک کے ساتھ صارف کے حصے پر جب اشارہ کیا جائے۔

میکروز کو آفس میں ڈیفالٹ کے طور پر طویل عرصے سے غیر فعال کر دیا گیا ہے، حالانکہ صارفین ہمیشہ ان کو فعال کر سکتے ہیں — جس نے دھمکی دینے والے اداکاروں کو VBA میکرو دونوں کو ہتھیار بنانے کی اجازت دی ہے، جو آفس ایپس میں میکرو کے فعال ہونے پر خود بخود بدنیتی پر مبنی مواد چلا سکتا ہے، نیز ایکسل کے لیے مخصوص XL4 میکرو . عام طور پر اداکار استعمال کرتے ہیں۔ سماجی طور پر انجینئرڈ فشنگ مہمات میکرو کو فعال کرنے کی عجلت کے شکار افراد کو راضی کرنے کے لیے تاکہ وہ اس چیز کو کھول سکیں جس کے بارے میں وہ نہیں جانتے کہ فائل کی خرابی پر مبنی منسلکات ہیں۔

پروف پوائنٹ کے محققین نے کہا کہ اگرچہ مائیکروسافٹ کے میکرو کو مکمل طور پر بلاک کرنے کے اقدام نے اب تک خطرے کے اداکاروں کو ان کے مکمل استعمال سے نہیں روکا ہے، لیکن اس نے دیگر حربوں کی طرف اس قابل ذکر تبدیلی کی حوصلہ افزائی کی ہے۔

محققین نے نوٹ کیا کہ مارک آف دی ویب (MOTW) وصف کی بنیاد پر VBA میکرو کو بلاک کرنے کے لیے مائیکروسافٹ کے طریقہ کار کو نظرانداز کرنے کے لیے اس تبدیلی کی کلید ہے جو ظاہر کرتی ہے کہ آیا کوئی فائل انٹرنیٹ سے آتی ہے جسے Zone.Identifier کہا جاتا ہے۔

"مائیکروسافٹ ایپلی کیشنز ویب سے ڈاؤن لوڈ ہونے پر اسے کچھ دستاویزات میں شامل کرتی ہیں،" انہوں نے لکھا۔ "تاہم، کنٹینر فائل فارمیٹس کا استعمال کرکے MOTW کو نظرانداز کیا جا سکتا ہے۔"

درحقیقت، آئی ٹی سیکیورٹی کمپنی آسانی سے آؤٹ فلانک تفصیلی پروف پوائنٹ کے مطابق، ایم او ٹی ڈبلیو میکانزم کو نظرانداز کرنے کے لیے اٹیک سمولیشن میں مہارت رکھنے والے اخلاقی ہیکرز کے لیے ایک سے زیادہ اختیارات—جو کہ "ریڈ ٹیمرز" کے نام سے جانا جاتا ہے۔ محققین نے کہا کہ ایسا نہیں لگتا کہ یہ پوسٹ دھمکی دینے والے اداکاروں کی طرف سے کسی کا دھیان نہیں گئی ہے، کیونکہ انہوں نے بھی ان حربوں کو استعمال کرنا شروع کر دیا ہے۔

فائل فارمیٹ سوئچرو

محققین نے کہا کہ میکرو بلاکنگ کو نظرانداز کرنے کے لیے، حملہ آور تیزی سے فائل فارمیٹس جیسے ISO (.iso)، RAR (.rar)، ZIP (.zip)، اور IMG (.img) فائلوں کو میکرو فعال دستاویزات بھیجنے کے لیے استعمال کر رہے ہیں۔ اس کی وجہ یہ ہے کہ اگرچہ فائلوں میں خود MOTW انتساب ہوگا، لیکن اندر موجود دستاویز، جیسا کہ میکرو سے چلنے والی اسپریڈشیٹ، نہیں ہوگی، محققین نے نوٹ کیا۔

انہوں نے پوسٹ میں لکھا، "جب دستاویز نکالی جاتی ہے، تب بھی صارف کو خود بخود نقصان دہ کوڈ کے لیے میکرو کو فعال کرنا پڑے گا، لیکن فائل سسٹم اس دستاویز کو ویب سے آنے والے کے طور پر شناخت نہیں کرے گا۔"

مزید برآں، دھمکی دینے والے اداکار اضافی مواد جیسے LNKs کو شامل کرکے براہ راست پے لوڈ تقسیم کرنے کے لیے کنٹینر فائلوں کا استعمال کرسکتے ہیں، ڈی ایل ایل، یا قابل عمل (.exe) فائلیں جو ایک بدنیتی پر مبنی پے لوڈ کو انجام دینے کے لیے استعمال کی جا سکتی ہیں، محققین نے کہا۔

پروفپوائنٹ نے XLL فائلوں کے غلط استعمال میں بھی ہلکا سا اضافہ دیکھا ہے — ایکسل کے لیے ایک قسم کی ڈائنامک لنک لائبریری (DLL) فائل — بدنیتی پر مبنی مہموں میں بھی، اگرچہ ISO، RAR، اور LNK فائلوں کے استعمال کے طور پر اتنا اہم اضافہ نہیں ہوا ہے۔ ، انہوں نے نوٹ کیا۔