Киберпреступники обходят блокировку макросов в Office через XLL-формат

Киберпреступники обходят блокировку макросов в Office через XLL-формат

Киберпреступники обходят блокировку макросов в Office через XLL-формат

Когда Microsoft начала по умолчанию блокировать макросы в документах Office, загружаемых из интернета, киберкриминалу пришлось искать альтернативные способы доставки зловредов. По данным Cisco Talos, в прошлом году злоумышленники провели ряд вредоносных атак с использованием файлов XLL; пробный вектор заражения прижился и актуален по сей день.

Решение Microsoft усложнить активацию VBA-макросов было вызвано большим количеством злоупотреблений. Дефолтную блокировку для веб-загрузок начали развертывать в июле, однако из-за недовольства пользователей процесс пришлось откатить.

Тем не менее некий эффект эта мера все же дала: распространители вредоносов стали реже использовать документы Office на начальном этапе атаки. Злоумышленники, полагающиеся на имейл-рассылки и социальную инженерию, теперь зачастую отдают предпочтение экзотическим форматам — ISO, VHD, RAR.

Файлы надстройки Excel (.xll) тоже оказались пригодными для этой цели. Подобная динамическая библиотека вряд ли вызовет подозрение у антивируса; при открытии файла Excel выдает предупреждение о потенциальной угрозе, однако многие пользователи его игнорируют.

 

Чтобы обеспечить автоматический запуск вредоносного кода, авторы зловредов реализуют функции обработки событий — Worbook_Open, Workbook_Close, Auto_Open, Auto_Close.

Попытки использования XLL во вредоносных рассылках наблюдаются с середины 2021 года. Этот вектор заражения уже опробовали распространители Agent Tesla, Dridex, FormBook, Warzone RAT, а также некоторые APT-группы — FIN7, APT10 (она же Cicada и Stone Panda).

В прошлом месяце XLL-формат взяли на вооружение операторы грозного инфостилера RedLine и RAT-трояна Ekipa. Последний примечателен также тем, что может доставляться через макросы в файлах .pub (приложение Publisher входит в набор инструментов Microsoft Office). Для злоумышленника это большое преимущество: макрос в данном случае исполняется при открытии или закрытии файла; более того, ограничение в виде блокировки Microsoft на PUB-файлы не распространяется.

Беспилотные грузовики получат дополнительную защиту от кибератак

Система идентификации беспилотного транспорта на базе «ЭРА ГЛОНАСС» в ближайшее время получит новый функционал. Речь идёт о дополнительных мерах защиты от внешних атак, а также о механизме принудительной остановки техники в случае чрезвычайных ситуаций.

О планах по расширению возможностей «ЭРА ГЛОНАСС» рассказал ТАСС генеральный директор АО «ГЛОНАСС» Алексей Райкевич.

По его словам, к системе уже подключены все 95 беспилотных грузовых автомобилей, задействованных в эксперименте по автономным грузоперевозкам.

«Совместно с Минтрансом России мы запустили публичный счётчик безаварийного пробега робофур — для объективной оценки зрелости технологии. Следующий этап — появление новых функций в единой системе идентификации на базе “ЭРА ГЛОНАСС”. Речь идёт о защите робофур от кибератак и создании механизма централизованной принудительной остановки в случае чрезвычайных происшествий», — отметил Алексей Райкевич.

Кроме того, глава АО «ГЛОНАСС» сообщил о работе, которую Минтранс России ведёт в части правового регулирования беспилотного транспорта. По его словам, ведомство фактически выступает пионером в этой области — в том числе на мировом уровне.

Разработка нормативной базы при этом идёт параллельно с продолжением эксперимента по перевозке грузов с использованием робофур. В нём задействованы федеральные трассы М-11 «Нева», М-4 «Дон» и ЦКАД. Такой подход, по мнению Алексея Райкевича, позволяет сократить разрыв между внедрением новых технологий и их регулированием.

Согласно данным исследования АО «ГЛОНАСС», в 2025 году количество атак на автомобили всех типов выросло на 20%. При этом 93% инцидентов носили удалённый характер. Чаще всего транспорт атакуют с целью угона, реже — для вымогательства.

RSS: Новости на портале Anti-Malware.ru