Macros VBA e XL4 são pequenos programas criados para automatizar tarefas repetitivas em aplicativos do Microsoft Office, que os agentes de ameaças abusam para carregar, descartar ou instalar malware por meio de anexos de documentos maliciosos do Microsoft Office enviados em e-mails de phishing.
O motivo da mudança é a Microsoft anunciando que acabaria com o abuso massivo do subsistema Office bloqueando automaticamente as macros por padrão e tornando mais difícil ativá-las.
Embora a Microsoft tenha demorado um pouco mais para implementar essa mudança no Microsoft Office, o bloqueio finalmente entrou em vigor na semana passada.
No entanto, o anúncio inicial por si só convenceu os operadores de malware a se afastarem das macros e começarem a experimentar métodos alternativos para infectar as vítimas.
Em um novo relatório da Proofpoint, os pesquisadores analisaram as estatísticas de campanhas maliciosas entre outubro de 2021 e junho de 2022 e identificaram uma clara mudança para outros métodos de distribuição de carga útil, registrando uma diminuição de 66% no uso de macros.
Ao mesmo tempo, o uso de arquivos de contêiner, como ISOs, ZIPs e RARs, cresceu de forma constante, aumentando quase 175%.
O uso de arquivos LNK explodiu após fevereiro de 2022, a época do anúncio da Microsoft, aumentando 1.675% em comparação a outubro de 2021, e sendo a arma preferida de dez grupos de ameaças individuais rastreados pela Proofpoint.
Relatamos o uso de arquivos LNK por Emotet, Qbot e IcedID, em todos os casos disfarçados de documento do Word para enganar o destinatário e abri-lo.
No entanto, esses arquivos de link podem ser usados para executar quase qualquer comando que o usuário tenha permissão para usar, incluindo a execução de scripts do PowerShell que baixam e executam malware de fontes remotas.
Finalmente, a Proofpoint também observou um aumento significativo no uso de anexos HTML adotando a técnica de contrabando de HTML para soltar um arquivo malicioso no sistema host. No entanto, seus volumes de distribuição continuam pequenos.
Embora ver as macros se tornando um método obsoleto de distribuição de carga útil e infecção inicial seja um desenvolvimento positivo, a ameaça apenas mudou em vez de ser abordada ou reduzida.
A pergunta que precisa de respostas agora é como essa mudança afeta a eficácia das campanhas de malware, já que convencer os destinatários a abrir arquivos .docx e .xls era muito mais fácil do que pedir a eles para descompactar arquivos e abrir arquivos cujos nomes terminam com .lnk.
Além disso, para contornar a detecção pelo software de segurança, muitas campanhas de phishing agora protegem os anexos de arquivo com senha, adicionando outra etapa onerosa que um alvo deve seguir para acessar os arquivos maliciosos.
A partir dessa perspectiva, os agentes de ameaças que dependem de e-mails de phishing podem estar ficando sem boas opções e suas taxas de infecção podem ter caído como resultado.
Finalmente, as soluções de segurança de e-mail agora têm um espectro mais estreito de riscos potenciais para avaliar, aumentando suas chances de capturar um arquivo arriscado.
Pesquisa com 1.131 usuários do Character.AI e 464 mil mensagens doadas encontrou associação entre uso…
Modelo de mistura de especialistas ativa 95 bilhões de parâmetros por token e traz rastros…
Relatório técnico da Microsoft com nove universidades descreve um runtime que mantém estado durável entre…
Injeção de SQL em campo de autocompletar levou invasores a compilar um kit Java como…
Microsoft rastreou mais de 250 domínios que só mostram a isca a quem parece usar…
Sistema agêntico da Unit 42 varreu 3.915 projetos em dois meses e reportou 14.090 falhas…