Ny nätfiskeattack missbrukar PowerPoint-filer för att sprida skadlig programvara
Hotaktörer har kommit på ännu ett sätt att infiltrera målsystem och sprida skadlig programvara. I en ny kampanj som spåras av säkerhetsforskare använder dåliga aktörer ett föga känt PowerPoint-filformat för att sprida skadlig programvara och ta över offrens system.
Mindre känd filtyp som används för att radbryta skadlig programvara
Attackerna spåras av ett företag som är en del av säkerhetsföretaget Check Point Software. I den här nya kampanjen använder hotaktörer ett filformat som tillhör gruppen av tillägg Microsoft PowerPoint arbetar med och öppnar, men ett som inte används särskilt ofta.
Attackerna använder .ppam-filer – ett tilläggsfilformat för PowerPoint-presentationer. Filtypen innehåller ytterligare kommandon och makron som inte finns i andra PowerPoint-filtyper.
Forskare har spårat PowerPoint-filattackerna sedan januari 2022. De dåliga aktörerna använder .ppam-filerna för att linda in körbara filer som används för att ta över system. Filerna sprids med hjälp av nätfiske- e-postmeddelanden med text relaterad till en falsk inköpsorder och en begäran om att offret ska svara med en faktura.
Den skadliga körbara filen som är insvept inuti .ppam-filen har förmågan att skriva Windows-registervärden och uppnå uthållighet samtidigt som den övervakar offersystemets minne. Den föga kända filtypen innebär att nyttolasten i .ppam-filen kan undvika säkerhetsåtgärder på målsystemet.
.PPAM-filer kan leverera ransomware
Säkerhetsforskare beskrev faran som en mindre ofta använd filtyp utgör. Genom att linda in den skadliga nyttolasten i en fil som vanligtvis inte skannas av automatiserade säkerhetsåtgärder, kan dåliga aktörer leverera vilken körbar nyttolast de önskar, inklusive ransomware. Faktum är att forskarna som spårar den aktuella kampanjen nämnde att en .ppam-fil användes i en ransomware-attack redan i oktober 2021.
Förutom att förbättra sandlådeåtgärder och filtrera alla nedladdningar genom en sandlåda innan de öppnas på målsystemet, rekommenderar forskare att företagets personal alltid kontaktar IT-specialister när de stöter på ett okänt filtillägg för första gången.