Будьте начеку: компьютеры атакует новый вирус в виде файлов Word

В интернете обнаружен новый вид вируса, который попадает на компьютеры пользователей через электронную почту под видом файла Word.

Видео дня

Об этом заявили в компании Trustwave SpiderLabs, передает "Максимум".

Подобный метод практикуется злоумышленниками достаточно давно, однако ключевой особенностью вируса стало полное отсутствие макросов, чего раньше не встречалось. Ранее при открытии зараженных вложений пользователи видели предупреждения или всплывающие окна. В случае с новым вирусом такого не происходит. С помощью вируса злоумышленники могут "похищать" учетные данные из электронной почты жертвы, FTP и браузеров. Кроме того, исследователи отметили еще одну его особенность — многоуровневую природу атаки. Так, эксперты Trustwave заявили, что вирус использует комбинацию методов, которые начинаются с вложения формата .DOCX. Жертвы получают по электронной почте различные письма, связанные с финансами. Все обнаруженные специалистами e-mail включали вложения с именем "receipt.docx".

Читайте: Крадет сообщения и разговоры: мессенджер WhatsApp охватил мощный вирус

Процесс атаки с четырьмя этапами начинается с открытия файла .DOCX и запуска встроенного OLE-объекта, содержащего ссылки. Это позволяет ссылаться на внешний доступ к удаленным OLE-объектам. По словам аналитиков, злоумышленники пользуются тем, что документы Word, созданные с помощью Microsoft Office 2007, используют формат Open XML, который основан на технологиях XML и ZIP-архивов. Поэтому такими файлами можно легко манипулировать программно или вручную.

Второй этап заключается в использовании Word-файла для запуска загрузки файла с расширением RTF. Последний прибегает к уязвимости редактора Office Equation Editor, закрытого Microsoft в ноябре 2017 года.

Третий этап заключается в декодировании текста внутри RTF-файла, который, в свою очередь, запускает командную строку MSHTA, а она загружает и открывает HTA-файл. Последний содержит скрипт PowerShell, который и выполняет вредоносное ПО Password Stealer. Этот вирус похищает учетные данные из программ электронной почты, FTP и браузера.

Читайте: Вирус NotPetya в Украине: ЦРУ обвинила российских военных

Специалисты отметили чрезвычайно большое количество этапов и сценариев, которые используются этим вирусом. Кроме того, файлы DOCX, RTF и HTA редко блокируются почтовыми или сетевыми шлюзами, в отличие от более очевидных, таких как VBS, JScript или WSF. Поэтому они призывают пользователей компьютеров не открывать файлы, полученные от неизвестных отправителей.

Как сообщал "Обозреватель", в конце января порядка 4 млн мобильных устройств с операционной системой Android были заражены вредоносным приложением DressCode, которое вносит устройство в единую сеть, подконтрольную хакерам.