Nový phishingový útok zneužívá soubory PowerPoint k šíření malwaru

Aktéři hrozeb přišli s dalším způsobem, jak infiltrovat cílové systémy a šířit malware. V nové kampani, kterou sledují bezpečnostní výzkumníci, špatní herci používají málo známý formát souborů PowerPoint k šíření malwaru a ovládnutí systémů obětí.

Méně známý typ souboru používaný k zabalení malwaru

Útoky sleduje společnost, která je součástí bezpečnostní firmy Check Point Software. V této nové kampani používají aktéři hrozeb souborový formát, který patří do skupiny rozšíření, se kterými pracuje a otevírá Microsoft PowerPoint, ale který se příliš často nepoužívá.

Útoky využívají soubory .ppam – doplňkový souborový formát pro prezentace v PowerPointu. Typ souboru obsahuje další příkazy a makra, která se nenacházejí v jiných typech souborů PowerPoint.

Výzkumníci sledují útoky na soubory PowerPoint od ledna 2022. Zlí herci používají soubory .ppam k zabalení spustitelných souborů používaných k převzetí systémů. Soubory se šíří pomocí phishingových e-mailů s textem souvisejícím s falešnou objednávkou a žádostí, aby oběť odpověděla fakturou.

Škodlivý spustitelný soubor zabalený do souboru .ppam má schopnost zapisovat hodnoty registru Windows a dosáhnout stálosti při sledování paměti systému oběti. Málo známý typ souboru znamená, že užitečné zatížení obsažené v souboru .ppam se může vyhnout bezpečnostním opatřením v cílovém systému.

Soubory .PPAM mohou poskytovat ransomware

Bezpečnostní výzkumníci nastínili nebezpečí, které méně často používaný typ souboru představuje. Zabalením škodlivého datového obsahu do souboru, který není obvykle skenován automatickými bezpečnostními opatřeními, mohou špatní herci doručit jakýkoli spustitelný datový obsah, který si přejí, včetně ransomwaru . Ve skutečnosti výzkumníci sledující současnou kampaň zmínili, že soubor .ppam byl použit při ransomwarovém útoku v říjnu 2021.

Kromě vylepšení opatření sandboxingu a filtrování všech stažených souborů přes sandbox před jejich otevřením v cílovém systému výzkumníci doporučují, aby zaměstnanci společnosti vždy kontaktovali IT specialisty, když poprvé narazí na neznámou příponu souboru.