Зафиксирована новая многоступенчатая атака через Word

Эксперты Trustwave обнаружили новую спам-кампанию, в рамках которой злоумышленники используют документы Microsoft Word для доставки крадущего пароли зловреда, пишет Threatpost.

По словам экспертов, в данном случае распространители вредоносного ПО полагаются не на макросы Microsoft Office, а на OLE-функциональность, позволяющую запустить сложную цепочку заражения.

Исследователи зафиксировали несколько тем поддельных писем с вредоносными вложениями, распространяемых злоумышленниками. Такие сообщения могут быть замаскированы под выписку из банковского счета, запрос оферты, телексное уведомление или SWIFT-копию балансового платежа. По всей видимости, за этой спам-кампанией стоит одна и та же криминальная группа, которая, впрочем, может сменить шаблоны в любую минуту.

При открытии вложения в формате.docx, содержащего встроенный OLE-объект с внешними ссылками, происходит загрузка и запуск вредоносного rtf-файла, снабженного вводящим в заблуждение расширением.doc. Анализ показал, что этот файл нацелен на эксплуатацию уязвимости CVE-2017-11882 в Office Equation Editor. В результате отработки эксплойта с удаленного сервера на машину жертвы загружается и запускается на исполнение hta-файл — с помощью командной строки MSHTA.

Этот файл содержит VBScript с обфусцированным кодом; его декодирование обнаружило скрипт PowerShell, единственным назначением которого является загрузка из внешнего источника и установка целевого PSW-зловреда. Последний, по словам экспертов, способен воровать пароли, сохраненные в браузерах, ftp-клиентах и почтовых программах. Украденные данные в итоге выгружаются на удаленный сервер злоумышленников.

Microsoft пропатчила CVE-2017-11882 еще в ноябре, однако после публикации эта уязвимость начала активно применяться в атаках. Так, из известных случаев за истекший период ею воспользовались хакерская группировка Cobalt и распространители таких зловредов, как троян TelegramRAT и многофункциональный бэкдор Zyklon.