Archivos de Excel malintencionados ejecutan software malicioso que roba contraseñas
Un nuevo grupo de malware está propagando malware a través de archivos de Microsoft Excel inteligentemente ensamblados. Los documentos de Office maliciosos son sorprendentemente difíciles de detectar y representan un riesgo significativo.
El nuevo grupo de malos actores ha sido nombrado Epic Manchego por los investigadores de seguridad que trabajan con NVISO Labs que los descubrieron. El grupo ha estado activo desde mediados del verano de 2020 y ha estado intentando infiltrarse en las redes de las empresas de todo el mundo utilizando correos electrónicos de phishing que contienen archivos de Excel maliciosos .
La razón por la que los archivos de Excel maliciosos tienen tasas de detección tan sorprendentemente bajas es que no se crearon ni guardaron con MS Office. En su lugar, las hojas de cálculo se compilaron utilizando una biblioteca .NET poco común llamada EPPlus. El proyecto EPPlus es de código abierto y puede exportar datos de aplicaciones en archivos de Excel, entre otros formatos de hojas de cálculo. Según los investigadores, los archivos compilados con EPPlus utilizaron el formato Open Office XML. Sin embargo, los archivos no tenían una sección de código compilado de Visual Basic para aplicaciones que sea particular de las hojas de cálculo guardadas a través de MS Office.
Detección de disparos de código VBA con formato personalizado
Es solo ese fragmento de código VBA que utilizan varias herramientas antivirus para encontrar macros y contenido malicioso en archivos de Excel. Con este bit potencialmente sospechoso faltante y siendo utilizado como marcador por herramientas antimalware, los archivos resultaron tener tasas de evasión sorprendentemente altas. Los ladrones de Epic Manchego usaron su propio formato personalizado para el código VBA malicioso e incluso hicieron que el código fuera ilegible sin una contraseña, de modo que las herramientas antivirus que intentaran escanearlo chocarían contra una pared.
A pesar del vehículo diferente para el componente malicioso utilizado por los piratas informáticos, el bit personalizado de los archivos aún contenía macros maliciosas. El proceso es el mismo que con los archivos de Office infectados habituales: se solicita al usuario que permita la ejecución de macros haciendo clic en un botón inmediatamente después de abrir el archivo. Permitir macros ejecuta el script malicioso y descarga la carga útil, que luego se ejecuta.
Las cargas útiles que los investigadores encontraron que se usaban con los archivos de Excel maliciosos eran varios troyanos robadores de información conocidos como Matiex, njRat y Azorult. Aquellos actúan extrayendo la información de inicio de sesión de los navegadores y el software de la víctima y devolviéndola a los malos.
El código personalizado utilizado en el ataque permitió a los investigadores mirar hacia atrás en detecciones anteriores y documentos de Excel sospechosos. El descubrimiento realizado por NVISO Labs mostró que Epic Manchego ha estado activo desde al menos finales de junio de 2020 y que los malos actores han mejorado constantemente sus métodos, lo que significa que podrían seguir llegando con ataques más nuevos y sofisticados en el futuro.
