In che modo i criminali informatici si sono adattati alle macro di blocco Microsoft per impostazione predefinita

Da quando Microsoft ha deciso di bloccare le macro di Office per impostazione predefinita, gli autori delle minacce sono stati costretti ad evolversi, adottando nuovi metodi per diffondere malware a un ritmo senza precedenti.

Per molto tempo, utilizzati dagli attori delle minacce macro dannose di Microsoft Office per ottenere un gancio all'interno dei computer del loro bersaglio. È per questo motivo che, nel 2022, Microsoft finalmente, anche se in modo non uniforme, ha iniziato a bloccare le macro per impostazione predefinita sui file scaricati da Internet.

Ora, senza il loro giocattolo preferito, gli hacker sono costretti a escogitare nuovi modi per portare il malware dove vogliono.

"In molti modi, stanno semplicemente lanciando gli spaghetti contro il muro per vedere cosa si attacca", afferma Selena Larson, autrice di un nuovo rapporto sulla tendenza. "L'energia che stanno spendendo per creare nuove catene di attacco è davvero unica" e i difensori informatici dovranno tenere il passo.

Come si sono adattati gli aggressori

Raramente un cambiamento politico così semplice ha fatto una differenza così grande nel panorama della criminalità informatica. Nel 2021, anno dell'annuncio di Microsoft, i ricercatori di Proofpoint hanno monitorato ben oltre un migliaio di campagne dannose che utilizzavano macro.

Nel 2022, anno in cui è entrato in vigore il cambiamento di politica, gli attacchi macro-abilitati sono crollati del 66%. Finora, nel 2023, le macro sono quasi scomparse a causa degli attacchi informatici.

Al loro posto, gli hacker hanno bisogno di un’altra soluzione. I file contenitore sono emersi come un'alternativa popolare l'anno scorso, consentendo agli aggressori di aggirare il tag "mark-of-the-Web" di Microsoft per i file scaricati da Internet. Una volta Microsoft affrontato quella soluzione alternativa, tuttavia, tali file hanno fatto la fine delle macro.

Da allora, gli hacker sono alla ricerca della loro nuova gallina dalle uova d'oro.

Ad esempio, nella seconda metà del 2, i ricercatori di Proofpoint hanno osservato un aumento significativo del Contrabbando HTML — inserendo uno script codificato in un allegato HTML. Nel 2023, i cari vecchi PDF si sono rivelati un formato di file popolare tra gli aggressori. E lo scorso dicembre, alcune campagne dannose hanno iniziato a utilizzare OneNote, l'app di Microsoft per prendere appunti, come mezzo per diffondere il proprio malware. A gennaio, decine di autori di minacce si sono uniti a questa tendenza e, negli ultimi mesi, oltre 120 campagne hanno utilizzato OneNote.

Niente è rimasto bloccato, però. "Non abbiamo visto nulla che abbia lo stesso tipo di durabilità dell'accessorio abilitato per le macro", afferma Larson.

Cosa significa questo per i team di sicurezza

"Gli aggressori devono essere più creativi ora, il che offre loro maggiori opportunità di sbagliare o commettere errori", afferma Larson.

Tuttavia, costringere i criminali informatici a uscire dalla loro zona di comfort comporta un costo. "La velocità, il ritmo e la portata dei cambiamenti che stanno apportando - tutte le diverse catene di attacco che stanno sperimentando - risaltano", afferma.

Pertanto, i difensori informatici dovranno muoversi altrettanto velocemente per tenere il passo. "Dobbiamo essere proattivi nei confronti del comportamento degli autori delle minacce e elaborare nuovi rilevamenti, regole e simili, perché gli autori delle minacce stanno cercando modi diversi per aggirare i rilevamenti esistenti", afferma.

Anche le organizzazioni dovranno mantenersi aggiornate con le ultime tendenze. Partecipa a corsi di formazione sulla sicurezza: “So che la maggior parte delle volte le persone vengono formate su documenti abilitati per le macro. Ora devi sensibilizzare i tuoi utenti sui nuovi metodi PDF e utilizzare esempi reali di potenziali minacce da incorporare nella formazione sulla sicurezza", afferma.

"Ma da un punto di vista della sicurezza globale e olistico, non credo che ci sia nulla che debba cambiare drasticamente, purché si garantisca che gli utenti ne siano consapevoli", afferma Larson. "Semplicemente dire, 'Ehi, fai attenzione a questo genere di cose!'"

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoAiStream. Intelligenza dei dati Web3. Conoscenza amplificata. Accedi qui.
• Coniare il futuro con Adryenn Ashley. Accedi qui.
• Acquista e vendi azioni in società PRE-IPO con PREIPO®. Accedi qui.
• Fonte: https://www.darkreading.com/application-security/how-malware-delivery-adapted-to-microsoft-blocking-macros-by-default