Los atacantes cambian de macros de Office a archivos LNK para la entrega de malware
Durante años, los atacantes han utilizado documentos de Office con macros maliciosas como una de las principales formas de infectar equipos con malware. Microsoft finalmente tomó medidas para deshabilitar dichos scripts de forma predeterminada en los documentos descargados de Internet, lo que obligó a muchos grupos a cambiar de táctica y elegir cada vez más los archivos LNK (acceso directo) como mecanismo de entrega.
Esta tendencia ha llevado al desarrollo de herramientas y servicios pagos dedicados a crear archivos LNK maliciosos. Algunos de estos constructores incluyen MLNK Builder, Quantum Builder, Macropack, LNKUp, Lnk2pwn, SharPersist y RustLnkBuilder, pero su uso puede brindar oportunidades para una detección más fácil por parte de los productos de seguridad.
Por qué los atacantes están cambiando a LNK
LNK, abreviatura de Microsoft’s Shell Link Binary File Format, es un formato que permite que el sistema operativo o una aplicación acceda a un objeto de datos en el sistema. Los archivos LNK se usan comúnmente para accesos directos de aplicaciones, un archivo que abre una aplicación desde una ubicación específica en el sistema de archivos. Sin embargo, los archivos LNK son más complejos. Pueden contener configuraciones que controlan el comportamiento de la aplicación, pasar parámetros de configuración especiales a la aplicación y contener otros metadatos en diferentes secciones.
El uso de archivos LNK para propagar malware no es nuevo. Solía ser muy común en gusanos que se copiaban a sí mismos en memorias USB y dependían de los usuarios para abrirlos. En los últimos años, las técnicas para cargar aplicaciones no autorizadas o DLL (bibliotecas binarias) maliciosas a través de archivos LNK han evolucionado significativamente.
Las macros VBA (Visual Basic Application), por otro lado, son una tecnología que los usuarios de Office pueden usar para automatizar procesos y flujos de trabajo en sus documentos. Es una característica poderosa que es muy popular entre las empresas, especialmente en departamentos como contabilidad y finanzas. Debido a esto, Microsoft se mostró reacio a interrumpir las operaciones comerciales al realizar cambios en la experiencia del usuario de macros.
Durante años, Microsoft Office ha deshabilitado automáticamente las macros y ha mostrado una advertencia sobre los riesgos de contenido malicioso en la parte superior del documento, lo que permite a los usuarios volver a habilitarlas. Luego, los atacantes comenzaron a usar varios trucos de ingeniería social sobre el contenido de sus documentos maliciosos para alentar a los usuarios a ejecutar macros manualmente.
El año pasado, la empresa dio un paso más serio y decidió deshabilitar las macros de forma predeterminada, sin la posibilidad de anularlas para los documentos descargados de fuentes de Internet, como el correo electrónico o el navegador. El sistema operativo ya puede etiquetar dichos documentos con una «Marca de la Web». La nueva restricción alcanzó la disponibilidad general en junio, pero Microsoft revirtió rápidamente el cambio, solo para volver a habilitarlo un mes después. A medida que más usuarios actualizaron sus versiones de Office, los atacantes tuvieron menos éxito con sus campañas de documentos habilitadas para macros, por lo que recurrieron a otras técnicas, como: B. Archivos LNK o archivos de complementos de Excel (XLL).
Los complementos de Excel son esencialmente archivos DLL creados con el kit de desarrollo de software de Excel que permiten a los usuarios o desarrolladores ampliar la funcionalidad de Excel y agregar funciones personalizadas. Sin embargo, también existen herramientas gratuitas como Excel-DNA que permiten a los usuarios crear complementos de Excel utilizando otros lenguajes de programación como .NET.
«Particularmente porque es gratis, los autores de malware han adoptado Excel-DNA como una de las herramientas populares para crear archivos XLL maliciosos», dijeron los investigadores de Cisco Talos en un informe En diciembre. «Un archivo XLL escrito en un lenguaje .NET se compila en un archivo independiente que contiene funciones shim que asignan exportaciones nativas a las funciones CLR contenidas en un archivo DLL de ensamblaje personalizado que se incluye en la sección de recursos del archivo generado por Excel DNA. incorporado.»
La buena noticia es que Microsoft también planea restringir esta función para los archivos descargados de Internet de la misma manera que restringió las macros en los documentos de Word. Se espera que este cambio se implemente en marzo, según una nueva entrada. Hoja de ruta de Microsoft para Excel. Es probable que esto lleve a más atacantes a abusar de formatos de archivo alternativos como LNK.
Metadatos LNK y metadatos faltantes como métodos de detección
El abuso de LNK ha aumentado desde el año pasado, según los investigadores de Cisco Talosque han visto a varios grupos de atacantes cambiar a él. Uno de estos grupos está detrás de la antigua familia de malware Qakbot (también conocida como Qbot o Pinkslipbot).
«Qakbot es conocido por adaptar sus operaciones a los métodos de entrega y técnicas de defensa actuales», dijeron los investigadores en un nuevo informe. “Recientemente, en mayo de 2022, su método de proliferación preferido era secuestrar hilos de correo electrónico recopilados de computadoras comprometidas e insertar archivos adjuntos que contenían documentos de Office XLSB con macros maliciosas incrustadas. Sin embargo, después de que Microsoft anunciara cambios en la forma predeterminada en que se ejecutaban las macros en el contenido web descargado, Talos descubrió que Qakbot se alejaba cada vez más de los archivos XLSB en favor de los archivos ISO que contenían un archivo LNK que descarga y ejecuta la carga útil.
Sin embargo, los archivos LNK tienen muchas secciones y contienen una gran cantidad de metadatos sobre las máquinas que los generaron, lo que deja rastros únicos que pueden atribuirse a campañas de ataque específicas o grupos de atacantes. Por ejemplo, una campaña de phishing del año pasado que usó archivos LNK contra empresas ucranianas, inicialmente atribuida a un nuevo grupo atacante, finalmente se vinculó a Gamaredon, un grupo APT ruso activo desde al menos 2013 y que usa archivos LNK para su ataque desde al menos 2017. .
«Al analizar el contenido de metadatos del archivo LNK en el informe, Talos vinculó las identificaciones de las máquinas en las que se generaron los archivos con los archivos asociados con Gamaredon APT», dijeron los investigadores. «Además, según estos metadatos, Talos identificó una nueva campaña dirigida a organizaciones ucranianas que comenzó alrededor del 8 de agosto de 2022».
Los metadatos de LNK no solo se pueden usar para hacer coincidir nuevos ataques con grupos conocidos, sino que también se pueden usar para descubrir campañas de ataque completamente nuevas mediante la búsqueda de muestras recopiladas por servicios como VirusTotal.
En una investigación separada, los metadatos del archivo LNK se usaron para establecer vínculos entre una familia de malware llamada Bumblebee y los troyanos IcedID y Qakbot.
Conscientes de que los investigadores utilizan cada vez más los metadatos de esta manera, algunas de las herramientas maliciosas de creación de LNK eliminan parte de ellos cuando generan archivos maliciosos. Sin embargo, la falta de algunos metadatos también se puede utilizar como indicador de actividad sospechosa, ya que se dice que los archivos LNK legítimos contienen estos campos de datos.
«En el panorama de las amenazas cibernéticas, cualquier información nueva sobre el adversario podría ser crucial para mejorar las defensas», dijeron los investigadores. “Al analizar y rastrear la información filtrada a través de los metadatos y correlacionar esa información con las tácticas, técnicas y procedimientos de otros actores, los defensores pueden desarrollar mejores detecciones e incluso predecir el comportamiento futuro para prepararse para un ataque”.
Derechos de autor © 2023 IDG Communications, Inc.
Hemos recibido este contenido de ciberseguridad de: CSO Online
Puedes encontrar la noticia original en el enlace que se encuentra a continuación: https://www.csoonline.com/article/3686468/attackers-move-away-from-office-macros-to-lnk-files-for-malware-delivery.html#tk.rss_news
