Küberkurjategijad muudavad Microsoft Exceli oma tarvikuks uue nipiga, millega kasutajaid rünnata

Taasavaldanud Platon

järgijaid: 0

küberkurjategijad Lugemisaeg: 4 protokoll

Kurjategijad leiutavad kasutajate ründamiseks kavalaid tehnikaid. Üks populaarsemaid nippe arvuti nakatamiseks on mürgitatud MS Office failid, mille sees on pahatahtlik skript. Äsja ilmus seda tüüpi rünnakutega seotud uus ohtlik oht. Häkkerid kasutavad kogusumma saamiseks .IQY-faile Remote Access ohvri arvutisse. Ja ohu teeb eriti ohtlikuks see, et paljud viirusetõrjed ei suuda seda tuvastada.

Siin on näide sellise rünnaku puhul kasutatud andmepüügimeilidest.

mozilla äikeselind

Meili kasutati andmepüügimeilidele lisatud kaughaldustööriista (RAT) FlawedAmmyy levitamiseks. Kuid antud juhul pole kõige huvitavam andmepüügimeil ise. Ja isegi mitte kandevõimet. Sest nagu hiljem näete, saab siin kasuliku koormana kasutada peaaegu iga pahavara. Nii et kõige intrigeerivam on arvuti nakatamise protsess.

Vaatame kapoti alla, et mõista, kuidas see täpselt töötab.

Alustame .IQY-failidega.

.IQY failid on mõeldud Interneti-päringu tegemiseks MS Excelist, seega sisaldab .IQY URL-i ja muid seotud parameetreid. See võib faile alla laadida ja otse MS Excelisse käivitada.

Mõelge lihtsalt sellele: paar koodijada saab teie arvutis alla laadida ja käivitada ükskõik mida Internetist. Muidugi ei saanud pahatahtlikud häkkerid nii muljetavaldavatest küberkuritegude toimepanemise võimalusest mööda minna.

Nüüd vaatame andmepüügimeilile lisatud pahatahtlikku faili 14459.Iqy. Pange tähele URL-i linki.

Kui käivitame faili, avatakse see Exceliga koos turvateatisega protsessi blokeerimise kohta. Jätkamiseks peame selle lubama, klõpsates nuppu "Luba". Nii on turvakaalutlustel vaikimisi konfigureeritud MS Office.

MS Office

Kuid kas seda võib pidada usaldusväärseks kaitseks? Ilmselgelt ei. Ja siin on põhjus.

Pole üllatav, et enamik turvalisusest hoolimatuid kasutajaid klõpsavad lihtsalt nupul Luba, isegi mõtlemata. Kuid veelgi šokeerivam on see, et paljudel tehniliselt haritud inimestel läheb veelgi halvemini. Nad muudavad tahtlikult turvasätteid, et lubada kõik andmeühendused ilma loata. Miks? Lihtsalt selle eest, et te ei näinud neid "tüütuid hoiatusaknaid".

Nad teevad seda Exceli seadetes:

Exceli avaleht -> Exceli suvandid -> Usalduskeskuse seaded -> Välissisu

usalduskeskus

Ja see pole veel kõik. Küberkurjategijad saavad varjatult muuta registriseadete vaikevalikut DataConnection Warnings, kasutades selleks malware et selle väärtus 1-st 0-ni üle kirjutada.

HKEY_CURRENT_USERSOFTWAREMicrosoftOfficeExcelSecurity

Kui parameeter "hoiatused" on sisse lülitatud, näeb kasutaja seda hüpikakent .IQY-faili käivitamisel.

Exceli hoiatusparameeter

Kuid kui see on keelatud, hoiatust ei kuvata.

Nüüd klõpsake nuppu "Luba" ja vaatame, mis järgmisena toimub.

Siin on käivitatud kood.

windowsi kood

Nagu näete, käivitab 14459.iqy täitmine faili „2.dat” sisu, mis laadib alla faili nimega „1.dat”.

Lõpuks vaatame faili “1.dat” sisu.

fail1.dat

Fail doc.xls, mida näete pahatahtlikul lingil, on tegelikkuses binaarne pahavara. Selle pahatahtliku skripti alla laadides käitab see PowerShelli.

excel exe-fail

Kui PowerShell on kontrolli all, saab see alla laadida ja käivitada mis tahes pahatahtliku rakenduse mis tahes soovitud asukohas. Kuna pahavara kasutab arvutite nakatamiseks legitiimseid Microsofti tööriistu, muudab see üsna palju raskemaks viirusevastased ravimid rünnaku tuvastamiseks.

Kordame seda veel kord: selle mustriga võib levitada peaaegu iga pahatahtlikku faili. Seega on täiesti ettearvamatu, millist malware see toob järgmine kord. Seega peate looma kaitse, et neutraliseerida mitte eriline pahavara, vaid nakatamismuster ise.

Kuidas sa seda tegid?

Ärge kunagi määrake vaikimisi valikut "Luba kõik andmeühendused" ega keelake hoiatusfunktsioone MS Office'is ja süsteemiregistris
Ärge kunagi käivitage tundmatutest allikatest pärit faile
Kasutage usaldusväärseid ja ajakohaseid pahavaratõrjelahendusi
Kasutage eksklusiivset Comodot automaatse piiramise tehnoloogia mis võimaldab teil eraldatud keskkonnas avada ebakindla faili, nii et see ei saa teie arvutit kahjustada.

Elage Comodoga turvaliselt!

Seotud ressursid: