Microsoft молча отказалась от блокировки макросов в Office по умолчанию

Екатерина Быстрова 08 Июля 2022 - 09:00

Домашние пользователи

...

Microsoft без объяснения причин отказалась от идеи блокировать сторонние макросы в Office по умолчанию. Использование макросов — популярный метод среди киберпреступников, поэтому вдвойне интересно узнать, почему корпорация изменила своё мнение.

В посте Microsoft, который датируется февралём 2022 года, специалисты компании объясняли, насколько мощными могут быть вредоносные макросы, написанные на Visual Basic for Applications. С их помощью злоумышленники загружают пейлоады на компьютеры пользователей.

Причём это довольно старый метод; достаточно вспомнить хотя бы зловред Melissa, который в 1999 году распространялся с помощью макросов в документе Word. За эти годы проблема только усугубилась, поэтому Microsoft в 2016 году выпустила инструмент, позволяющий системным администраторам чётко определять, когда и где макросы могут запускаться.

Microsoft также пересмотрела сам принцип работы макросов: теперь система спрашивает пользователя, действительно ли он хочет запустить такой элемент. Тем не менее это не остановило киберпреступников, поэтому в феврале 2022 года техногигант рассказал о дополнительных мерах: макросы должны быть заблокированы по умолчанию в Access, Excel, PowerPoint, Visio и Word.

Теперь Microsoft, судя по всему, изменила свои планы. Один из комментариев от некоего Винса Хардвика говорит о том, что функцию блокировки макросов по умолчанию убрали из текущей версии Office.

Позже Анджела Робертсон, работающая в штате корпорации из Редмонда, отметила следующее:

«Исходя из обратной связи, которую мы получили, функция была отозвана. Приношу извинения за любые вызванные неудобства».

При этом Робертсон не уточнила, что это была за обратная связь, однако по другим комментариям и жалобам можно сделать вывод, что дефолтная блокировка макросов приводит к определённым проблемам с другой полезной функциональностью.

Следующая главная новость »

Контейнерные среды под атакой: как защищаться в 2026 году?
Регистрируйтесь на эфир!

Екатерина Быстрова 13 Марта 2026 - 09:00

Android Трояны Домашние пользователи

RuTaxi: в России обнаружили Android-троян, отслеживающий дисплей жертвы

Эксперты Cyfirma разобрали новый Android-троян RuTaxi, который нацелен прежде всего на российских пользователей. Это уже не просто банковский зловред для кражи денег со счетов, а куда более серьёзный инструмент с возможностью почти в реальном времени следить за устройством жертвы и управлять им.

По данным исследователей, зловред маскируется под легитимные сервисы. В некоторых образцах используется идентификатор «RuTaxi».

Судя по архитектуре и набору функций, вредоносная программа изначально создавалась под конкретную аудиторию: она заточена под российский рынок и при этом старается не привлекать лишнего внимания в других регионах.

Главная особенность RuTaxi — сочетание привычных банковских сценариев с возможностями удалённого доступа. В отличие от более простых троянов, этот вредонос даёт операторам практически окно в цифровую жизнь пользователя. Для этого используются API Accessibility и MediaProjection, а передача изображения с экрана идёт через WebSocket.

На практике это позволяет злоумышленникам перехватывать коды разблокировки устройства прямо в момент ввода, сохранять их локально вместе с отметками времени, собирать нажатия клавиш и упаковывать их в структурированные JSON-пакеты с указанием приложения, текста, типа события и времени.

Кроме того, троян пытается стать приложением для СМС по умолчанию. Если это удаётся, он получает доступ ко входящим сообщениям, может перехватывать одноразовые коды, скрывать уведомления и незаметно удалять сообщения.

Авторы RuTaxi явно постарались усложнить жизнь аналитикам и антивирусным движкам. Значительная часть критически важной логики вынесена из Java-кода в нативную библиотеку sysruntime.so. Именно там, как отмечают в Cyfirma, скрываются важные данные вроде bot ID, списка серверов и ссылки для WebView.

Адрес управляющего сервера, который исследователи связали с 193.233.112.229, а также Firebase-данные собираются только во время выполнения. Для этого используются XOR-обфускация строк и нелинейные схемы доступа к памяти.

После установки избавиться от такого зловреда непросто. У него многоуровневая система закрепления, благодаря которой он старается пережить почти всё: перезагрузку устройства, потерю сети, простой смартфона и даже попытки пользователя остановить или удалить приложение.

Отдельно эксперты обратили внимание на логику выбора целей. RuTaxi не работает вслепую: он проверяет, какие приложения установлены на устройстве, и ищет банковские сервисы, маркетплейсы, госуслуги и криптокошельки, популярные в России. В расшифрованном списке целей оказались, в частности, Сбербанк, Т-Банк, ВТБ, Альфа-Банк, а также Binance и MetaMask.