Зловредов прячут в надстройках Office, созданных с помощью Visual Studio

Зловредов прячут в надстройках Office, созданных с помощью Visual Studio

Зловредов прячут в надстройках Office, созданных с помощью Visual Studio

Эксперты Deep Instinct зафиксировали несколько атак, авторы которых используют надстройки VSTO (Microsoft Visual Studio Tools for Office) для доставки NET-зловредов в обход защиты Windows.

Вредоносная сборка чаще всего упакована вместе с документом, реже — загружается со стороннего сервера. Исполнение кода происходит при открытии файла в соответствующем офисном приложении (Word, Excel и проч.).

Согласно блог-записи Deep Instinct, присутствие VSTO-надстройки в файле можно определить по наличию пользовательских данных XML (custom.xml), по которым приложение находит и устанавливает целевую сборку.

 

Зависимости полезной нагрузки (скомпилированной в NET динамической библиотеки) хранятся вместе с документом, обычно внутри контейнера ISO. Злоумышленники задают этим файлам свойство «скрытый», чтобы создать видимость, будто архив содержит только документ Office.

При его запуске на экране появляется предложение включить режим редактирования — как в случае с макросом, только здесь еще требуется разрешение на установку надстройки для просмотра документа. Если пользователь даст согласие, система выведет предупреждение с кнопками выбора:

 

Образец пейлоада, обнаруженный в ходе одной из атак, исполнял закодированный и сжатый PowerShell-код, загружающий дополнительный скрипт с C2. Другой семпл хранился отдельно от документа на удаленном сервере; в его задачи входила доставка запароленного ZIP-архива с вшитого URL, распаковка содержимого в папку %\AppData\Local\ и запуск высвобожденного conhost.exe.

Финальную полезную нагрузку в обоих случаях определить не удалось: на момент анализа C2-серверы были недоступны.

Для демонстрации VSTO как вектора атаки аналитики создали PoC-код, умышленно выбрав пейлоад с высоким уровнем детектирования. Остальные компоненты с успехом обошли Microsoft Defender.

Атаки с использованием VSTO пока редки, однако исследователи не исключают, что этот вектор возьмут на вооружение APT-группы и другие хорошо обеспеченные хакеры. Это еще одна альтернатива макросам VBA, для которых Microsoft ввела дефолтную блокировку. Злоумышленники теперь опробуют другие методы доставки вредоносов, отдавая предпочтение форматам файлов, не вызывающим подозрение у защиты — таким как ISO, VHD, RAR, XLL.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Разбойники украли у подростка 60 тыс. рублей через Telegram

Гастролировавшее в Москве криминальное трио обманом выманило у 16-летней жертвы цифровые открытки Telegram на сумму 60 тыс. руб. и попыталось отнять криптовалюту. Подозреваемые задержаны и вскоре, вероятно, предстанут перед судом.

Следствием установлено, что 3 ноября трое молодых людей предложили юному жителю столицы совместно снять видеоролик и с этой целью встретиться у выхода из метро «Пушкинская».

В ходе встречи его пригласили в автомобиль и, угрожая пистолетом, потребовали выдать цифровые открытки из мессенджера.

Забрав у жертвы мобильник, злоумышленники перевели на свой аккаунт виртуальные активы на общую сумму 60 тыс. рублей. Их внимание также привлекло криптовалютное приложение; подросток не растерялся и соврал, что в кошельке скопилось более 9 млн рублей.

В итоге его отправили домой для совершения перевода. Вместо этого находчивый юнец вызвал полицию.

Уголовное дело возбуждено по признакам совершения преступлений, предусмотренных ч. 2 ст. 162 УК РФ (разбой в составе ОПГ, до 10 лет лишения свободы) и п. «б» ч. 3 ст. 163 УК РФ (вымогательство с целью получения имущества в особо крупном размере, до 15 лет лишения свободы).

Фигуранты идентифицированы как молодые люди 2003, 2007 и 2010 годов рождения. Их удалось задержать на территории Калужской области; для проведения следственных действий все переправлены в столицу.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru