Các tác nhân đe dọa Xoay quanh tính năng Chặn Macro của Microsoft trong Office

Các nhà nghiên cứu đã phát hiện ra rằng các tác nhân đe dọa đang tìm cách ngăn chặn việc chặn macro mặc định của Microsoft trong bộ Office của họ, sử dụng các tệp thay thế để lưu trữ các tải trọng độc hại khi kênh chính để phân phối mối đe dọa đang bị cắt, các nhà nghiên cứu đã phát hiện ra.

Việc sử dụng các tệp đính kèm hỗ trợ macro bởi các tác nhân đe dọa đã giảm khoảng 66% từ tháng 2021 năm 2022 đến tháng XNUMX năm XNUMX, theo dữ liệu mới của Proofpoint tiết lộ trong một bài đăng blog Thứ năm. Thời điểm bắt đầu giảm trùng với kế hoạch của Microsoft là bắt đầu chặn macro XL4 theo mặc định cho người dùng Excel, sau đó là việc chặn macro VBA theo mặc định trên bộ Office trong năm nay.

Các tác nhân đe dọa, thể hiện khả năng phục hồi điển hình của họ, cho đến nay dường như không bị nản lòng bởi động thái này, đánh dấu “một trong những thay đổi bối cảnh về mối đe dọa qua email lớn nhất trong lịch sử gần đây”, các nhà nghiên cứu Selena Larson, Daniel Blackford và những người khác trong Nhóm Nghiên cứu Mối đe dọa Proofpoint, cho biết trong một bài đăng.

Mặc dù tội phạm mạng hiện vẫn tiếp tục sử dụng macro trong các tài liệu độc hại được sử dụng trong các chiến dịch lừa đảo, nhưng chúng cũng đã bắt đầu xoay quanh chiến lược phòng thủ của Microsoft bằng cách chuyển sang các loại tệp khác làm nơi chứa phần mềm độc hại — cụ thể là các tệp chứa như tệp đính kèm ISO và RAR cũng như Họ cho biết các tệp Windows Shortcut (LNK).

Thật vậy, trong cùng một khung thời gian tám tháng, trong đó việc sử dụng các tài liệu hỗ trợ macro giảm xuống, số lượng các chiến dịch độc hại sử dụng các tệp vùng chứa bao gồm tệp đính kèm ISO, RAR và LNK đã tăng gần 175%, các nhà nghiên cứu nhận thấy.

Họ lưu ý: “Có khả năng các tác nhân đe dọa sẽ tiếp tục sử dụng các định dạng tệp vùng chứa để phân phối phần mềm độc hại, đồng thời dựa ít hơn vào các tệp đính kèm hỗ trợ macro”.

Macro Không còn nữa?

Macro, được sử dụng để tự động hóa các tác vụ được sử dụng thường xuyên trong Office, là một trong những những cách phổ biến để gửi phần mềm độc hại trong các tệp đính kèm email độc hại ít nhất phần tốt hơn của một thập kỷ, vì chúng có thể được cho phép chỉ bằng một cú nhấp chuột đơn giản vào phần của người dùng khi được nhắc.

Macro từ lâu đã bị tắt theo mặc định trong Office, mặc dù người dùng luôn có thể bật chúng — điều này đã cho phép các tác nhân đe dọa vũ khí hóa cả macro VBA, có thể tự động chạy nội dung độc hại khi bật macro trong ứng dụng Office, cũng như macro XL4 dành riêng cho Excel . Điển hình là các diễn viên sử dụng thiết kế xã hội chiến dịch lừa đảo để thuyết phục nạn nhân về sự cấp thiết phải bật macro để họ có thể mở những gì họ không biết là tệp đính kèm độc hại.

Các nhà nghiên cứu của Proofpoint cho biết, trong khi động thái chặn hoàn toàn các macro của Microsoft cho đến nay vẫn chưa ngăn cản được các tác nhân đe dọa sử dụng chúng hoàn toàn, nhưng nó đã thúc đẩy sự thay đổi đáng chú ý này sang các chiến thuật khác.

Chìa khóa của sự thay đổi này là các chiến thuật để vượt qua phương pháp của Microsoft để chặn macro VBA dựa trên thuộc tính Mark of the Web (MOTW) cho biết liệu một tệp có đến từ internet được gọi là Zone.Identifier hay không, các nhà nghiên cứu lưu ý.

“Các ứng dụng của Microsoft thêm điều này vào một số tài liệu khi chúng được tải xuống từ web,” họ viết. “Tuy nhiên, có thể bỏ qua MOTW bằng cách sử dụng các định dạng tệp vùng chứa.”

Thật vậy, công ty bảo mật CNTT Outflank thuận tiện chi tiết nhiều lựa chọn dành cho các tin tặc có đạo đức chuyên về mô phỏng tấn công — được gọi là “nhóm đỏ” – để vượt qua các cơ chế MOTW, theo Proofpoint. Các nhà nghiên cứu cho biết bài đăng dường như không bị các tác nhân đe dọa chú ý, vì họ cũng đã bắt đầu triển khai các chiến thuật này, các nhà nghiên cứu cho biết.

Định dạng tệp Switcheroo

Các nhà nghiên cứu cho biết, để vượt qua việc chặn macro, những kẻ tấn công ngày càng sử dụng các định dạng tệp như ISO (.iso), RAR (.rar), ZIP (.zip) và IMG (.img) để gửi các tài liệu hỗ trợ macro. Điều này là do mặc dù bản thân các tệp sẽ có thuộc tính MOTW, nhưng tài liệu bên trong, chẳng hạn như bảng tính hỗ trợ macro, sẽ không, các nhà nghiên cứu lưu ý.

“Khi tài liệu được giải nén, người dùng sẽ vẫn phải bật macro để mã độc tự động thực thi, nhưng hệ thống tệp sẽ không xác định tài liệu đến từ web,” họ viết trong bài đăng.

Ngoài ra, các tác nhân đe dọa có thể sử dụng tệp vùng chứa để phân phối tải trọng trực tiếp bằng cách thêm nội dung bổ sung như LNK, DLL, hoặc các tệp thực thi (.exe) có thể được sử dụng để thực thi tải trọng độc hại, các nhà nghiên cứu cho biết.

Proofpoint cũng đã chứng kiến ​​sự gia tăng nhẹ trong việc lạm dụng tệp XLL — một loại tệp thư viện liên kết động (DLL) cho Excel — trong các chiến dịch độc hại, mặc dù sự gia tăng không đáng kể như việc sử dụng tệp ISO, RAR và LNK , họ lưu ý.