Microsoft может заблокировать выполнение макросов по умолчанию в своем пакете программ Office, но исследователи говорят, что есть обходные пути.
Согласно новому отчету Cisco Talos, через несколько месяцев после введения запрета в киберпреступном сообществе наблюдается всплеск популярности одного конкретного обходного пути.
Команда утверждает, что киберпреступники все чаще используют файлы XLL (в отличие от XLS и XLSX) для доставки вредоносного кода в цель конечные точки.
Популярность растет
Файлы XLL — это «тип файла библиотеки динамической компоновки (DLL), который можно открыть только в Excel», — объясняют исследователи. Другими словами, с файлами XLL электронные таблицы Microsoft Excel могут использовать дополнительные функции сторонних приложений.
Хотя использование файлов XLL в качестве оружия не является чем-то новым (о первых образцах сообщалось еще в 2017 году), эти файлы использовались редко, пока Microsoft не решила заблокировать запуск макросов в файлах, загруженных с интернет. Теперь, с 2021 года, все больше семейств вредоносных программ начали развертывать альтернативное решение.
"В течение некоторого времени после [середины 2017 года] использование XLL-файлов носило спорадический характер и существенно не увеличивалось до конца 2021 года, когда начали использовать стандартные семейства вредоносных программ, такие как Dridex и Formbook. это», — отметил в отчете Ваня Свайцер, исследователь Cisco Talos.
«В настоящее время значительное число продвинутых постоянных угроз и семейств обычных вредоносных программ используют XLL в качестве вектора заражения, и это число продолжает расти. ."
> Microsoft Excel представила совершенно потрясающую новую функцию Среди групп, использующих файлы XLL, есть китайский злоумышленник APT10 (также известный как Potassium), который использовал его для распространения бэкдора Anel. Затем есть Cicada (AKA Stone Panda, TA410), группа, которая якобы «слабо связана» с APT10, а также с DoNot и Fin7. По всей видимости, злоумышленники использовали файлы XLL для доставки различных семейства вредоносных программ, такие как Warzone RAT или Ducktail. Компании предупреждены о том, что в будущем число таких угроз будет расти. Через: Реестр
> Microsoft передумала блокировать макросы Office по умолчанию
> Это лучшие брандмауэры на данный момент