Техника MalDoc in PDF позволяет прятать вредоносный Word-файл в PDF

Техника MalDoc in PDF позволяет прятать вредоносный Word-файл в PDF

Техника MalDoc in PDF позволяет прятать вредоносный Word-файл в PDF

Группа японских специалистов, занимающаяся обработкой срочных киберинцидентов (JPCERT), рассказала о новом векторе атаки — «MalDoc in PDF», позволяющем уйти от детектирования путём встраивания вредоносных документов Word в PDF.

Один из таких файлов, который попался в руки JPCERT, выглядит в глазах большинства антивирусных движков документом в формате PDF. При этом офисные приложения могут открыть его как обычный Word-файл (.doc).

Такие файлы называются «полиглотами» и включают два разных формата, что позволяет открыть их несколькими приложениями. Участвующий в этой кампании файл, например, представляет собой смесь PDF и Word и может быть открыт как любой из этих типов файлов.

Как правило, злоумышленники используют «полиглоты» для ухода от детектирования или запутывания различных анализаторов. В одной части такого файла может находиться абсолютно безобидный код, в другой — вредоносная нагрузка.

Атака MalDoc in PDF отличается тем, что PDF-файл содержит документ в формате Word. В последний встроен VBS-макрос, загружающий и устанавливающий вредоносный файл MSI.

 

Стоит отметить, что техника MalDoc in PDF бессильна перед настройками, отключающими автоматическое выполнение макросов в Office. Команда JPCERT опубликовала видеодемонстрацию MalDoc in PDF на YouTube:

 

Исследователи отметили, что новый вектор может запутать распространенные инструменты для анализа PDF вроде pdfid, однако тулза OLEVBA способна детектировать пейлоад во вредоносной части файла.

В WhatsApp появился режим защиты от шпионских атак

Meta (корпорация признана в России экстремистской и запрещена) добавила в WhatsApp новый режим повышенной защиты — Strict Account Settings. Он предназначен для пользователей, которые могут быть интересны злоумышленникам по роду своей деятельности. В первую очередь речь идёт о журналистах, общественных деятелях, активистах и пр.

По сути, это «режим изоляции» по аналогии с Lockdown Mode в iOS или Advanced Protection в Android. Идея простая: часть удобств приносится в жертву безопасности, зато резко снижается риск атак с использованием шпионских инструментов.

После включения Strict Account Settings WhatsApp автоматически переводит ряд параметров в самые жёсткие положения. Приложение начинает блокировать вложения и медиафайлы от незнакомых отправителей, заглушает звонки от людей вне списка контактов и ограничивает другие функции, которые потенциально могут быть использованы для атаки. В Meta подчёркивают, что всё это включается буквально «в несколько нажатий».

Найти новую опцию можно по пути Настройки Конфиденциальность Расширенные. Выкатывать её будут постепенно — в течение ближайших недель.

 

Параллельно Meta рассказала и о менее заметных, но не менее важных изменениях «под капотом». Компания переводит обработку медиа в WhatsApp на код, написанный на Rust — языке программирования, который считается гораздо более безопасным с точки зрения работы с памятью.

Новая кросс-платформенная библиотека для обмена медиа получила название wamedia. Она отвечает за обработку фото, видео и других вложений и должна существенно усложнить жизнь шпионским инструментам, которые часто эксплуатируют ошибки в управлении памятью.

RSS: Новости на портале Anti-Malware.ru