Злой Скрепыш помогает вредоносным документам Office обойти антивирусы

Злой Скрепыш помогает вредоносным документам Office обойти антивирусы

Исследователи в области кибербезопасности вдохнули новую жизнь в знаменитого помощника в Microsoft Office, известного под прозвищем Скрепыш (Clippy). «Злой Скрепыш» (Evil Clippy) — именно такое имя получил новый инструмент — может значительно осложнить детектирование вредоносных макросов.

Злой Скрепыш способен модифицировать документы Office на этапе форматирования файла. На выходе получается вредоносная версия документа, которая может обойти детектирование различными антивирусными движками.

Чтобы добиться такого результата, новый инструмент задействует недокументированные функции и спецификации.

За созданием Злого Скрепыша стоит эксперт датской компании Outflank, которая занимается тестированием кибербезопасности. Инструмент был создан в процессе анализа способности одного из клиентов компании противостоять кибератакам.

Злой Скрепыш может работать в системах Windows, macOS и Linux. Инструмент поддерживает форматы Microsoft Office 97 - 2003 (файлы .DOC и .XLS), а также 2007 и более новые (файлы .DOCM и .XLSM).

Техника, используемая Злым Скрепышем для генерации вредоносных документов, называется VBA-стомпинг, в свое время ее описывала команда безопасности Walmart. Ее суть заключается в замене оригинального кода VBA-скрипта на «псевдокод».

Для избежания детектирования антивирусными продуктами новый инструмент заменяет вредоносный код макроса фейковым скриптом. В результате вредоносный документ, который изначально был детектирован 30 антивирусами, смог обойти большинство из них с помощью Злого Скрепыша:

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Код ИБ в начале июня заедет в Нур-Султан и Алма-Ату

Два крупнейших города Казахстана, Нур-Султан и Алма-Ата, встретят международную конференцию Код информационной безопасности в начале июня. Генеральным спонсором конференций выступит компания «Лаборатория Касперского».

6 июня в Нур-Султане в отеле Hilton Astana, а 4 июня в Алма-Ате в Holiday Inn соберутся профессионалы отрасли информационных технологий и кибербезопасности, чтобы обсудить основные угрозы внутренней и внешней безопасности государственных и частных предприятий страны. С докладами в рамках тематических секций «Технологии» и «Люди» выступят вендоры «StaffCop», “SearchInform”, “Falcongaze”.

Фишкой мероприятий станет формат обсуждений узких профессиональных вопросов внутри мини-групп. «Мы планируем организовать свободное обсуждение наболевших проблем среди участников конференции, разбив их на МастерМайнд группы, - комментирует продюсер конференции Ольга Поздняк, - такой формат дискуссии предполагает обмен ресурсами между участниками: знаниями, полезными контактами, личной помощью, своим опытом».

В 2019 году Код информационной безопасности проходит в 5 странах и 23 городах. Участие в конференции бесплатное для сотрудников ИТ- и ИБ-подразделений. Подать заявку на участие в Нур-Султане можно по этой ссылке: https://nur-sultan.codeib.ru/, в Алма-Ате на этом сайте: https://almaty.codeib.ru/

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru