Документы Microsoft Office уже давно используются для установки вредоносных программ на компьютеры пользователей. Однако злоумышленники, похоже, теперь начали использовать их для установки прокси.
Microsoft обнаружили новую атаку, которая использует функционал OLE для загрузки вредоносного контента на компьютеры пользователей. Метод далеко не новый, Microsoft уже описывали его использование.
Как эксперты Microsoft Олден Порнасдоро (Alden Pornasdoro) и Винсент Тиу (Vincent Tiu), цель этой атаки состоит в том, чтобыизменить настройки прокси в браузере пользователя. Таким образом, злоумышленники смогут похитить учетные данные или другую конфиденциальную информацию.
На данный момент этот вредонос, написанный на JavaScript, детектируется как Trojan:JS/Certor.A и распространяется через email-письма с прикрепленными к ним вредоносными документами Office. Документы представляют собой файлы .docx, содержащие OLE-объект, что значит, что по двойному клику запустится скрипт. Вредонос пытается замаскироваться меняя иконку на что-то, что напоминает счет или квитанцию.
Вредоносный скрипт обфусцирован, чтобы скрыть код. Деобфускация показывает, что содержимым являются PowerShell-скрипты и собственный сертификат, используемый для мониторинга HTTPS-контента и трафика.
После двойного клика скрипт помещает несколько компонентов в папку %Temp% и затем запускает их. Файл cert.der используется в качестве сертификата для мониторинга трафика, в то время как файл ps.ps1 отвечает за обеспечение того, чтобы сертификат был установлен на зараженном устройстве.
Существует также файл psf.ps1, отвечающий за добавление сертификата в Firefox, так как этот браузер использует собственное хранилище сертификатов, отмечает Microsoft. Файл pstp.ps1 отвечает за установку Tor-клиента, планировщика задач и Proxifier. По-видимому, это тоже часть методики по настройке прокси браузера.
Затем, чтобы изменить настройки прокси в Internet Explorer, скрипт вносит изменения в ключ реестра HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings, устанавливая значение AutoConfigURL как http://pysvonjm6a7idbkz(.)onion/rejtyahf.js?ip=<host ip address>.
«Благодаря новой схеме злоумышленники могут перенаправлять пользователей на определенные сайты, которые вполне могут оказаться фишинговыми или рекламными. Таким образом, любая конфиденциальная информация пользователя, особенно учетные данные, могут попасть в руки злоумышленников» - говорят исследователи компании Microsoft.
Пользователям рекомендуется не открывать вложений, полученных с письмами из непроверенных источников. Администраторы могут изменить ключ реестра, чтобы OLE-объекты не выполнялись: HKCU\Software\Microsoft\Office\<Office Version>\<Office application>\Security\PackagerPrompt значение должно быть установлено на 2, это отключит выполнение OLE-объектов.
C 12 ноября ряд пользователей Windows 10 столкнулись с проблемой обновления и деинсталляции пакетных приложений вроде Microsoft Teams. Microsoft подтвердила наличие бага и отозвала обновление WinAppSDK.
Судя по всему, проблема вызвана пакетом WinAppSDK версии 1.6.2, которая автоматом установилась в системы пользователей после инсталляции приложения, разработанного с использованием Win App SDK.
На затронутых устройствах, работающих под управлением Windows 10 22H2, выводилась ошибка «Something happened on our end» в разделе «Загрузки» Microsoft Store.
«Если вы системный администратор и пытаетесь управлять приложениями через PowerShell с помощью команды “Get-AppxPackage“, система может выдать вам ошибку “Deployment failed with HRESULT: 0x80073CFA“», — объясняет Microsoft.
«Вы также можете столкнуться с проблемами обновления или переустановки Microsoft Teams и других сторонних приложений».
Корпорация пока отозвала проблемную версию WinAppSDK 1.6.2. Один из разработчиков Майк Кридер уточнил, что фикс стоит ждать с выходом WinAppSDK 1.6.3.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
