Опубликованный PoC-код демонстрирует загрузку CoinHive в Excel

Опубликованный PoC-код демонстрирует загрузку CoinHive в Excel

Спустя всего несколько дней после того, как Microsoft объявила о внедрении функции кастомного JavaScript в Excel, исследователь безопасности сообщил, что нашел способ использования этого метода для загрузки скрипта для майнинга CoinHive внутрь таблицы Excel.

Когда о новых возможностях еще только было заявлено, эксперты уже предупреждали о том, что они могут использоваться в злонамеренных целях.

Об этом говорит серия твитов экспертов:

В течение нескольких часов исследователь безопасности Чейз Дардаман разработал способ использования новой функции Microsoft для загрузки майнера CoinHive с помощью специальной функции JavaScript в Excel.

Справедливости ради, стоит отметить, что в нынешнем виде атака сработает только в том случае, если цель загрузить новые функции Excel в качестве надстройки.

Кастомные функции JavaScript работают через создание и размещение на доступном веб-сервере трех файлов. Этими файлами являются: JS-файл, содержащий пользовательское уравнение, html-файл, который загружает ваши файлы JavaScript, и файл JSON, который играет роль файла конфигурации.

Также будет необходимо создать XML-файл, который будет локально использоваться Excel для загрузки кастомной функции в качестве надстройки.

Таким образом, Excel будет создавать скрытый браузер, который загружает различные файлы, а затем выполняет пользовательские функции JavaScript. После быстрого изучения механизма работы этой функции Дардаман легко смог создать собственную надстройку, которая загрузила CoinHive в этот скрытый браузер.

Специалист уточнил, что создание такой надстройки заняло у него крайне мало времени — «это очень легко осуществить». Еще одна важная особенность — возможность сохранения, то есть при сохранении таблицы, а затем последующем открытии, документ снова запустит эту функцию.

Эксперт приложил скриншот использования ресурсов процессора, на котором видно, что скрипт для майнинга использует 50 % мощности процессора компьютера.

Теперь специалист ждет активного использования этого метода различными злоумышленниками in the wild.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Новая версия Ideco UTM 9.0 поддерживает передовые технологии ядра Linux

Компания «Айдеко» выпустила новый релиз шлюза безопасности Ideco UTM 9.0. Данная версия основана на новейшей платформе, поддерживающей самые передовые технологии ядра Linux и используемых модулей: баз данных, IPS, сетевого стека, веб-интерфейса.

Среди возможностей Ideco UTM 9.0 разработчики выделили новую платформу, которая базируется на новейшем ядре Linux 5.9.13, а также структурно улучшенный и более быстрый веб-интерфейс. Помимо этого, компания «Айдеко» добавила роли администраторов сервера: полный доступ и доступ только для чтения, а файрвол получил счетчики срабатывания трафика.

Также Ideco UTM 9.0 отметился почтовым узлом с возможностью работы в качестве полноценного почтового сервера, либо фильтрации почты на спам и вирусы, веб-почтой для пользователей и антиспамом «Лаборатории Касперского».

«Новейшая платформа позволяет нам использовать самые передовые технологии по работе с трафиком, обеспечивая высокую скорость и качество защиты локальной сети. На сегодня Ideco UTM единственный межсетевой экран, базирующийся на самых новейших версиях ядра Linux и использующий их инновации», — рассказал директор по развитию компании «Айдеко» Дмитрий Хомутов.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru