Ya sea para phishing o para introducir una amenaza en el equipo de la víctima a través de un documento de Office, el correo electrónico sigue siendo uno de los vectores de ataque más recurrentes. Estos ciberataques no son nuevos, pero siguen diversificándose y dando en el blanco.
La gran mayoría de los ladrones acceden a las casas de sus víctimas a través de la puerta principal. Todos los hogares están equipados con ellos y, sin embargo, no siempre están cerrados.
Desde hace muchos años, Los documentos de Microsoft Office son puertas de enlace digitales. Casi todos hemos utilizado alguna vez documentos de Office, ya sea Word, PowerPoint o Excel, y cada día se envían miles de correos electrónicos con este tipo de documentos adjuntos. . La mayoría de las veces, los abrimos sin siquiera cuestionar la fuente. Lo que lo convierte en un vector de ataque.
En Francia, El 72% de los ataques en los últimos 30 días tienen como vector correos electrónicos que contienen enlaces de phishing, así como documentos como MS Word.. Los expertos lo tienen claro: este tipo de ataques solo se intensificarán.
El uso malicioso de documentos de Microsoft es un fenómeno tan común que incluso tiene su propio nombre: maldocs. Una de las principales técnicas que utilizan los ciberdelincuentes para crearlas es hacer un mal uso de las macros. Afortunadamente, Microsoft creó un sistema para bloquear macros de forma predeterminada, pero tomó un tiempo.
Entonces, veamos cómo se diversifican las cadenas de infección de correo electrónico en 2022.
El problema recurrente con las macros
Las macros de Office son programas especiales que los ciberdelincuentes han utilizado durante años para propagar malware en archivos adjuntos de correo electrónico. Las empresas de seguridad han luchado contra esta práctica durante años, pero siempre ha estado claro que la clave para prevenir el abuso de macros está en manos de Microsoft. De hecho, en febrero de este año, Microsoft anunció planes para cambiar la configuración predeterminada de Office para deshabilitar macros, antes de revertir esa decisión en julio y luego anunciar que el proceso continuaría según lo planeado.
Los PoC se realizan y los exploits activos que utilizan macros de VBA aparecieron ya en 1995, no tenían funcionalidad de robo de información y se usaban principalmente para bromas. Estos ataques desaparecieron en 2010 cuando Microsoft introdujo el «modo protegido», una cinta amarilla que advierte a los usuarios que no habiliten la funcionalidad de macros. El uso de macros se reintrodujo cuando los actores de amenazas se dieron cuenta de que, con un poco de ingeniería social, podían convencer a los usuarios de habilitar macros y luego usarlas para descargar y ejecutar otros binarios.
Aunque Microsoft ha reconocido repetidamente el problema, el uso malintencionado de macros y vulnerabilidades de Office ha ganado popularidad a lo largo de los años. En enero de 2022, nuestro análisis reveló que no menos de El 61% de todas las cargas maliciosas adjuntas a los correos electrónicos enviados a nuestros clientes eran documentos de varios tipos, como xlsx, xlsm, docx, doc, ppt, etc.. Las últimas cifras de Check Point ThreatCloud muestran que Solo los archivos de Excel representan el 49% de todos los archivos maliciosos recibidos por correo electrónico.
Por lo general, un correo electrónico cuidadosamente elaborado y elaborado por expertos que contiene un archivo de Excel con una macro maliciosa es el arma elegida por los actores legos y los principales grupos de APT.
Los ciberdelincuentes son imaginativos
Después de anunciar su intención de bloquear las macros de VBA en los documentos de Office en febrero, la situación dio un giro inesperado a principios de julio, cuando Microsoft revirtió su decisión. En respuesta a una queja de un usuario, un representante de Microsoft admitió que la empresa revirtió su decisión «a la luz de los comentarios recibidos».
Microsoft se enfrentó a una protesta de los usuarios y desde entonces ha reanudado el bloqueo de macros de VBA, explicando que la eliminación de julio fue solo temporal.
En este contexto, los actores de amenazas han comenzado a explorar alternativas a las cadenas de correo electrónico malicioso no ejecutable, que generalmente comienzan con diferentes tipos de archivos de almacenamiento, como .ZIP y RAR. En muchos casos, estos archivos de almacenamiento están protegidos con contraseña, que se incluye en el cuerpo del correo electrónico. Estos archivos de almacenamiento suelen contener el archivo malicioso o, en algunos casos, otro archivo inocuo que conduce al archivo malicioso.
En abril se informó queEmotet envió por correo electrónico enlaces URL de OneDrive de archivos zip que contenían archivos xll maliciosos. Estos archivos xll son bibliotecas .dll diseñadas para Excel, y los actores de amenazas suelen usar una función xlAutoOpen exportada para descargar y ejecutar cargas maliciosas. Varias herramientas y servicios existentes, como Excel-DNA, ya están disponibles para crear descargadores .xll.
Otro tipo de archivo de almacenamiento comúnmente utilizado como alternativa a los maldocs es usar archivos ISO, que eluden el mecanismo de seguridad Mark-of-the-Web. Combinados con una combinación de cargas útiles .hta, pueden parecer documentos legítimos pero ejecutar código malicioso en segundo plano. Abejorro, un cargador de malware detectado en febrero, entrega varias cargas útiles que a menudo resultan en ataques de ransomware. Estos son inicialmente archivos .iso transmitidos por correo electrónico.
En junio, también informamos que El malware Snake Keylogger volvió a nuestra clasificación mensual de amenazas globales después de una larga ausencia. Hasta ahora, el malware se solía propagar a través de correos electrónicos que contenían archivos adjuntos en formato docx o xlsx con macros maliciosas, pero su regreso a la clasificación se debe a que es difundido a través de archivos PDFlo que podría deberse en parte al anuncio de Microsoft.
Entonces, aunque las macros de Internet ahora están bloqueadas de forma predeterminada, los ciberdelincuentes continúan evolucionando sus tácticas y se vuelven más creativos con nuevos tipos de archivos, como vimos con Emotet, Bumblebee y Snake. El uso de diferentes archivos de almacenamiento es un verdadero éxito para los ciberdelincuentes porque la mayoría de las personas no consideran estos archivos como potencialmente maliciosos y confían en los archivos que están en los archivos porque no provienen directamente de la web. En el futuro, es de esperar que las familias de malware más sofisticadas aceleren el desarrollo de nuevas cadenas de infección, con diferentes tipos de archivos protegidos por contraseñas para evitar la detección, mientras que los ataques con técnicas avanzadas de ingeniería social van en aumento.
Es esencial que sus empleados entienden los riesgos de la ingeniería social et saber cómo identificar un ataque. Los ciberdelincuentes a menudo envían un correo electrónico simple que no contiene ningún malware, pero se hace pasar por alguien que usted conoce para iniciar la conversación. Luego, después de ganarse su confianza, envía el archivo malicioso. Y no olvides que puede que ya no sea un documento de Office o un archivo .exe, sino otro tipo de archivo, como un .iso o un PDF, o incluso infecciones de cadenas que combinan diferentes tipos de archivos.
Un buen nivel de formación de los usuarios es, por tanto, uno de los elementos más importantes de una estrategia de ciberseguridad eficaz. También puede ser una buena idea contar con un sistema de seguridad de correo electrónico efectivo, que ponga en cuarentena e inspeccione los archivos adjuntos, evitando que cualquier tipo de archivo malicioso ingrese a la red.
Para protegerse, las organizaciones también deben considerar el bloqueo de estas macros a través de una política de seguridad en todo el sitio que combina la desinfección de archivos y el uso de Sandbox. Esta es especialmente una gran herramienta para la detección temprana de esos documentos de descarga y ejecución de macros. Alternativamente, otra defensa podría ser examinar los documentos entrantes y eliminar las macros antes de que lleguen al usuario objetivo. Todas estas funciones, incluida la protección contra la mayoría de los tipos de archivos recibidos además de los archivos de oficina, son esenciales para luchar contra la amenaza real que existe.
___________________
Par Xavier Durósexperto en ciberseguridad en Software de punto de control
Lea también:
Ataques a la cadena de suministro: las pymes son una puerta de entrada indirecta
De Bitcoin a Metavers: la tendencia actual es una verdadera revolución
Cierre las puertas virtuales del ciberdelito para asegurar la nube
¿Qué tecnología para proteger eficazmente a la empresa de los ciberataques?
Ciberseguridad: Las 5 grandes tendencias a seguir de cerca
[
