Skadliga Excel-filer kör skadlig programvara som stjäl lösenord
En helt ny malware-grupp sprider skadlig programvara genom smart sammanställda Microsoft Excel-filer. De skadliga kontordokumenten är förvånansvärt svåra att upptäcka och utgör en betydande risk.
Den nya gruppen dåliga skådespelare har fått namnet Epic Manchego av säkerhetsforskarna som arbetar med NVISO Labs som upptäckte dem. Gruppen har varit aktiv sedan mitten av sommaren 2020 och har försökt att infiltrera företagsnätverk över hela världen med phishing-e-postmeddelanden med de skadliga Excel-filerna .
Anledningen till att de skadliga Excel-filerna har så överraskande låga detekteringsgrader är att de inte skapades och sparades med MS Office. Istället sammanställdes kalkylarken med ett ovanligt .NET-bibliotek som heter EPPlus. EPPlus-projektet är öppen källkod och kan exportera data från applikationer i Excel-filer, bland annat kalkylarkformat. Enligt forskare använde filerna som sammanställts med EPPlus Open Office XML-format. Filerna hade emellertid inte en del av den sammanställda Visual Basic for Applications-koden som är speciell för kalkylblad som sparats via MS Office.
Anpassad formaterad VBA-kod utlöser upptäckt
Det är bara den biten av VBA-kod som ett antal antivirusverktyg använder för att hitta makron och skadligt innehåll i Excel-filer. Eftersom denna potentiellt misstänkta bit saknas och används som en markör av antimalwareverktyg, visade sig filerna ha överraskande höga undandragningshastigheter. Skurkarna från Epic Manchego använde sitt eget anpassade format för den skadliga VBA-koden och gjorde till och med koden oläslig utan lösenord, så att AV-verktyg som skulle försöka skanna den skulle träffa en vägg.
Trots det olika fordonet för den skadliga komponenten som används av hackarna innehöll den anpassade biten av filerna fortfarande skadliga makron. Processen är densamma som med vanliga infekterade kontorsfiler - användaren uppmanas att låta makron köras genom att klicka på en knapp direkt efter att filen har öppnats. Att tillåta makron kör det skadliga skriptet och hämtar nyttolasten, som sedan körs.
Nyttolasten som forskare fann använda med de skadliga Excel-filerna var ett antal kända infostjälande trojaner som Matiex, njRat och Azorult. De agerar genom att skrapa inloggningsinformation från offrets webbläsare och programvara och mata tillbaka den till de dåliga aktörerna.
Den anpassade koden som används i attacken gjorde det möjligt för forskare att se tillbaka på tidigare upptäckter och misstänkta Excel-dokument. Upptäckten gjord av NVISO Labs visade att Epic Manchego har varit aktiv sedan åtminstone i slutet av juni 2020 och att de dåliga aktörerna har förbättrat sina metoder stadigt, vilket innebär att de kan fortsätta komma med nyare, mer sofistikerade attacker i framtiden.
