HP: киберпреступники все чаще используют зараженные файлы Excel

16.02.2022 |

Игорь Плотников.

Скрытые методы атак и активное использование вредоносных скриптов в файлах Excel позволяют вымогателям добиваться поставленных целей.

Компания HP Inc. выпустила отчет HP Wolf Security Threat Insights Report, в котором проанализировала произошедшие в IV квартале 2021 кибератаки. Изучив угрозы, которые сумели обойти системы безопасности и добрались до конечных устройств пользователей, специалисты HP Wolf Security сделали выводы о новейших методах атак, используемых киберпреступниками.

Исследовательская группа HP Wolf Security обнаружила волну атак с использованием надстроек Excel, с помощью которых злоумышленники распространяют вредоносный код и получают доступ к устройствам и сетям, чтобы затем похитить данные предприятий или отдельных лиц. Число злоумышленников, использующих вредоносные файлы надстроек Microsoft Excel (.xll) для заражения систем своих жертв, увеличилось почти в 7 раз по сравнению с прошлым кварталом. Такие атаки оказались очень опасными, т.к. для начала работы вредоносного ПО достаточно всего лишь кликнуть по отправленному киберпреступником файлу. Команда также обнаружила в даркнете рекламу «дропперов» (программного обеспечения для доставки и запуска .xll файлов) и целых наборов для создания программ, которые облегчают проведение подобных кампаний для неопытных злоумышленников.

В ходе недавней спам-кампании QakBot злоумышленники распространяли файлы Excel через скомпрометированные учетные записи электронной почты. Преступники перехватывали электронную переписку и отправляли поддельные ответные сообщения с прикрепленным вредоносным файлом Excel(.xlsb). После доставки на устройство жертвы, QakBot внедряется в процессы ОС, чтобы таким образом избежать обнаружения. Вредоносные файлы Excel (.xls) также использовались для распространения банковского трояна Ursnif среди итальяноязычных предприятий и организаций государственного сектора посредством спама. При этом злоумышленники выдавали себя за служащих итальянской курьерской службы BRT. Новые кампании по распространению вредоносных программ Emotet теперь также используют Excel вместо файлов JavaScript или Word.

Среди других заметных угроз, выявленных специалистами по безопасности HP Wolf Security, можно выделить следующие:

Возможное возвращение TA505. Специалисты HP обнаружили фишинговую кампанию MirrorBlast, в рамках которой хакеры использовали те же тактики, методы и процедуры, что и TA505 – группа злоумышленников, известная массовыми кампаниями с рассылкой вредоносного спама и монетизацией доступа к зараженным системам с помощью программ-вымогателей. Новая кампания нацелена на организации и использует троян удаленного доступа FlawedGrace (RAT).
Поддельная игровая платформа, распространяющая вредоносный код RedLine. Специалистами HP был обнаружен поддельный веб-сайт, с клиентом Discord, зараженным кодом RedLine, который похищал данные пользователей.
Использование хакерами необычных типов файлов все еще позволяет обходить системы безопасности. Группа киберпреступников Aggah выбирает в качестве жертв корейскоговорящие организации и использует вредоносные файлы надстроек PowerPoint (.ppa), замаскированные под заказы от клиентов, чтобы заражать системы троянами удаленного доступа. Атаки через распространение зараженных файлов PowerPoint являются весьма непопулярным выбором и составляют всего 1% вредоносных программ.

«Использование стандартных функций программного обеспечения в преступных целях является обычной тактикой для злоумышленников, чтобы избежать обнаружения – равно как и использование необычных типов файлов, которые способны «просочиться» через почтовые шлюзы, не обнаружив себя. Отделам безопасности не следует полагаться исключительно на технологии обнаружения вторжений: важно внимательно следить за появлением новых угроз и соответствующим образом обновлять свою защиту. Так, учитывая всплеск распространения вредоносных файлов .xll, который мы сегодня наблюдаем, мы настоятельно рекомендуем сетевым администраторам настраивать шлюзы электронной почты для блокировки входящих вложений .xll, делая исключения только для надстроек от доверенных партнеров, или полностью отключать надстройки Excel, — комментирует Алекс Холланд (Alex Holland), старший аналитик вредоносных программ в группе исследования угроз HP Wolf Security, HP Inc. – Злоумышленники постоянно находят новые средства, позволяющие избегать обнаружения. Именно поэтому важно, чтобы предприятия выстраивали и корректировали свои системы безопасности в зависимости от ландшафта угроз и от бизнес-потребностей своих пользователей. Злоумышленники сегодня активно используют такие методы атак, как перехват переписки в электронной почте, из-за чего пользователям становится еще труднее отличить коллег и партнеров от преступников».

Представленные в отчете выводы основаны на результатах анализа многих миллионов конечных устройств, на которых работает программное обеспечение HP Wolf Security. Данное ПО от HP отслеживает вредоносные программы, открывая загружаемые файлы на изолированных микро-виртуальных машинах (микро-ВМ), чтобы изучить механику заражения. Понимание поведения вредоносных программ в их естественной среде позволяет исследователям и инженерам HP Wolf Security усиливать защиту конечных устройств и повышать стабильность системы.

Благодаря программному обеспечению HP Wolf Security клиенты смогли открыть более 10 миллиардов вложений электронной почты, веб-страниц и загруженных файлов без каких-либо зафиксированных утечек[i].

Среди других ключевых выводов исследования можно отметить следующие:

13% изолированных вредоносных скриптов, отправленных по электронной почте, обошли хотя бы один сканер безопасности на почтовом шлюзе.
В попытках заразить компьютеры организаций злоумышленники использовали 136 различных расширений файлов.
77% обнаруженных вредоносных программ были доставлены по электронной почте, при этом на загрузку из Интернета приходилось лишь 13% из них.
Наиболее распространенными вложениями, используемыми для доставки вредоносных программ, были документы (29%), архивы (28%), файлы .exe (21%) и электронные таблицы (20%).
Наиболее распространенными фишинговыми приманками стали письма, связанные с Новым годом или бизнес-операциями, например, с такими темами как «Заказ», «2021/2022», «Оплата», «Покупка», «Заявка» и «Счет».

«Сегодня злоумышленники, занимающиеся низкоуровневыми атаками, могут проводить скрытые нападения и продавать полученный доступ организованным группам киберпреступников, использующим в своей деятельности программы-вымогатели. В результате это приводит к масштабным атакам, которые могут вывести из строя ИТ-системы и привести к остановке работы всей организации, — комментирует д-р Йэн Пратт (Ian Pratt), глобальный руководитель отдела безопасности персональных систем, HPInc. – Организациям следует сосредоточиться на уменьшении поверхности атак и обеспечении быстрого восстановления работоспособности своих систем в случае их компрометации. Это означает следование принципам Zero Trust и введение строгих систем идентификации, предоставление минимальных привилегий пользователям и изоляции устройств, начиная с аппаратного уровня».

Подробнее об использованных данных

Данные для исследования были собраны специалистами HP Wolf Security с виртуальных машин клиентов в период с октября по декабрь 2021 года.

[i] Предположения основаны на собственном анализе HP информации, полученной от клиентов, а также их установленной базы.