Вредоносные Excel-файлы обходят антивирусы с помощью .NET-библиотеки

Вредоносные Excel-файлы обходят антивирусы с помощью .NET-библиотеки

Вредоносные Excel-файлы обходят антивирусы с помощью .NET-библиотеки

Киберпреступная группировка использует хитрую тактику для обхода антивирусных сканеров с помощью вредоносных таблиц в формате Excel. В своих атаках злоумышленники прибегают к помощи .NET-библиотеки.

На активность группы обратили внимание специалисты компании NVISO Labs, они же присвоили ей имя — Epic Manchego. Это относительно новая группировка, действующая с июня.

Под прицелом злоумышленников находятся компании по всему миру, которым направляются специальные фишинговые письма с вложенной вредоносной таблицей.

Казалось бы, на первый взгляд ничего необычного — таких атак тысячи. Однако команда NVISO отметила особенность вложенных Excel-документов, которым удавалось обходить антивирусные проверки.

Дело в том, что операторы Epic Manchego задействовали .NET-библиотеку под названием EPPlus, с помощью которой компилировали таблицы. Как правило, разработчики используют эту библиотеку в своих приложениях, чтобы добавить функции вроде «Сохранить как таблицу» или «Экспортировать в Excel».

EPPlus можно использовать для создания файлов в различных форматах таблиц. Поддерживается даже Excel 2019. Именно этим и пользуются киберпреступники — сохраняют свои вредоносные документы в формате Office Open XML (OOXML). Этот подход отличается тем, что у таких сгенерированных таблиц отсутствует секция со скомпилированным VBA-кодом.

Как известно, антивирусные программы ищут признаки вредоносного содержимого как раз в VBA-коде. В этом случае логично объясняется низкий процент детектирования вложенных в фишинговые письма Excel-файлов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Атака Mice-E-Mouse: прослушка через геймерскую мышь

Исследователи из Калифорнийского университета в Ирвайне доказали, что высокопроизводительная оптическая мышь вроде Razer Viper может слить на сторону секреты, озвученные пользователем во время работы на компьютере.

Разработанная ими атака Mic-E-Mouse полагается на высокую частоту опроса и чувствительность датчиков мыши, способных улавливать вибрации рабочей поверхности, создаваемые акустическими волнами.

Для сбора таких данных в сыром виде использовался опенсорсный софт, для их очистки — цифровая обработка сигналов, для анализа и воссоздания речи — ИИ-модель Whisper разработки OpenAI, обученная на готовых наборах аудиозаписей (англоязычных).

 

Тестирование показало точность распознавания от 42 до 62%; этого достаточно для скрытной прослушки, и микрофон в этом случае не понадобится.

Наиболее уязвимы к Mice-E-Mouse оптические мыши 1-8 кГц, оборудованные датчиками с разрешением 20 000 DPI (точек на дюйм) и выше.

В качестве сборщика сырых данных годятся видеоигры, приложения для творчества и прочий высокопроизводительный софт. Злоумышленнику придется лишь получить к нему доступ, а обработку и реконструкцию можно выполнять удаленно и в удобное время.

 

Издавна известно, что беспроводные мыши также уязвимы к Mousejacking — подмене пользовательского ввода с целью развития атаки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru