Naukowcy z Centrum ochrony przed złośliwym oprogramowaniem firmy Microsoft ostrzegają użytkowników przed nową sztuczką makr o wysokim ryzyku wykorzystywaną przez hakerów do aktywacji programów ransomware. Złośliwe makro atakuje aplikacje pakietu Office i jest to plik programu Word zawierający siedem bardzo umiejętnie ukrytych modułów VBA i formularz użytkownika VBA.

Kiedy badacze po raz pierwszy sprawdzili złośliwe makro, nie mogli go wykryć, ponieważ moduły VBA wyglądały jak legalne programy SQL oparte na makrze. Po drugim spojrzeniu okazało się, że makro to w rzeczywistości złośliwy kod zawierający zaszyfrowany ciąg.

Jednak nie było natychmiastowej, oczywistej identyfikacji, że ten plik był rzeczywiście złośliwy. Jest to plik programu Word zawierający siedem modułów VBA i formularz użytkownika VBA z kilkoma przyciskami (za pomocą elementów CommandButton). Jednak po dalszym dochodzeniu zauważyliśmy dziwny ciąg znaków w polu Podpis dla CommandButton3 w formularzu użytkownika.

Wróciliśmy i przejrzeliśmy pozostałe moduły w pliku i oczywiście - w Module2 dzieje się coś niezwykłego. Makro (UsariosConectados) odszyfrowuje ciąg w polu Podpis dla CommandButton3, który okazuje się być adresem URL. Używa makra deault autoopen () do uruchomienia całego projektu VBA po otwarciu dokumentu.

Makro łączy się z adresem URL (hxxp: //clickcomunicacion.es/ ), aby pobrać ładunek wykryty jako Ransom: Win32 / Locky (SHA1: b91daa9b78720acb2f008048f5844d8f1649a5c4). Aktywuje się, gdy użytkownicy włączą makra w plikach Office.

Jedynym sposobem na uniknięcie zainfekowania komputera wirusami za pomocą szkodliwego oprogramowania opartego na makrach jest włączenie makr tylko wtedy, gdy sam je napisałeś lub w pełni ufasz osobie, która je napisała. Możesz także zainstalować narzędzie BitRefomomware BitDefender, samodzielne narzędzie, które nie wymaga zainstalowania zabezpieczeń Bitdefender. W przeciwieństwie do innych bezpłatnych narzędzi bezpieczeństwa, BDAntiRansomware nie męczy Cię reklamami.

Jeśli kiedykolwiek staniesz się celem ataku ransomware, możesz użyć tego narzędzia, ID Ransomware, aby zidentyfikować ransomware, które szyfrują twoje dane. Wszystko, co musisz zrobić, to przesłać zainfekowany plik lub wiadomość wyświetlaną na ekranie przez złośliwe oprogramowanie. ID Ransomware może obecnie wykrywać 55 rodzajów oprogramowania ransomware, ale nie oferuje żadnych usług odzyskiwania plików.