image

Aanvallers hernoemen bestanden om macro's te verbergen

donderdag 4 augustus 2016, 10:30 door Redactie, 5 reacties
Laatst bijgewerkt: 04-08-2016, 11:23

Aanvallers zijn begonnen met het hernoemen van Office-bestanden om kwaadaardige macro's die malware installeren te verbergen. Daarvoor waarschuwt netwerkgigant Cisco. Macro's zijn een veelgebruikte methode om malware te verspreiden. Sinds 2003 besloot Microsoft dan ook om verschillende maatregelen tegen het uitvoeren van macro's in Office-bestanden te nemen.

Zo staat het uitvoeren van macro's standaard uitgeschakeld. Met de introductie van Microsoft Office 2007 wordt er een onderscheid gemaakt tussen de bestandstypes die macro's kunnen bevatten en de bestandstypes waar dit niet mogelijk is. De handhaving van deze op bestandstype gebaseerde beveiliging is echter niet compleet, aldus Cisco. Aanvallers hebben namelijk ontdekt dat ze OOXML-documenten met macro's als andere bestandstypes kunnen opslaan en zo de bestandstypedetectie van Microsoft Office kunnen omzeilen.

DOCM-bestanden met macro's zijn daardoor te vermommen als andere bestandsformaten door alleen de bestandsextensie te veranderen. Een RTF-document ondersteunt bijvoorbeeld geen macro's. Een DOCM-document dat naar RTF wordt hernoemd zal echter binnen Microsoft Office worden geopend en de macro-code proberen uit te voeren. Deze tactiek wordt op het moment door aanvallers toegepast, aldus Cisco. Totdat Microsoft het probleem met de controle van bestandstypes heeft verholpen krijgen gebruikers het advies om voorzichtig met onverwachte Office-bestanden te zijn, aangezien "veilige" bestandstypes nog steeds kwaadaardige code kunnen bevatten.

Reacties (5)
04-08-2016, 10:54 door Anoniem
Ik kan dit niet reproduceren.
Ik krijg gewoon de melding dat macro's uitgeschakeld zijn, ook al is het geopend als CSV of RTF. Uiteraard kan ik er dan voor kiezen om die wel uit te voeren.
04-08-2016, 12:59 door buttonius - Bijgewerkt: 04-08-2016, 13:53
Door Anoniem (10:54): Ik kan dit niet reproduceren.
Ik krijg gewoon de melding dat macro's uitgeschakeld zijn, ook al is het geopend als CSV of RTF. Uiteraard kan ik er dan voor kiezen om die wel uit te voeren.
Ik vermoed dat het probleem is dat de aanvaller een DOCM bestand stuurt met RTF aan het eind van de bestandsnaam. Een simpele gebruiker die macro's ingeschakeld heeft en denkt een RTF bestand kan ik veilig openen omdat daar geen macro's in kunnen zitten is de klos omdat Microsoft Office zo'n bestand met verkeerde extensie toch opent en decodeert als DOCM bestand.
04-08-2016, 13:28 door Anoniem
Dat is wat er pas aan de hand was in NL, ransomeware als een docm bestand met een doc extensie aangeboden.

https://www.security.nl/posting/477256/Transportbedrijf+Buitink+B_V_

Alleen leek het erop dat het wel de macro melding liet weergeven maar misschien bij sommige office versies niet?
04-08-2016, 14:20 door Anoniem
Macro malware (docx format) wordt hoogst zelden verspreid met docm extensie. De extensie is meestal doc, soms rtf.
04-08-2016, 15:45 door Anoniem
Ik denk dat ze er op doelen dat bepaalde wrakkige e-mail scanners (incl. hun eigen?) de extensie van een file vertrouwen
en gebruiken om het scanproces te sturen.
Ik kom bijvoorbeeld regelmatig tegen dat een e-mail scanner als je een .exe opstuurt deze blokkeert, maar als je deze
renamed naar een .jpg extensie dan laat ie hem ineens door. De ontvanger kan deze dan weer renamen naar .exe en
uitvoeren. Op die manier krijg je wellicht geen kwaadaardige onverwachte software voorbij de scanner, maar wel .exe files
in het algemeen, ook als de policy is die te blokkeren.
Dat is natuurlijk slecht, de scanner zou het bestand moeten herkennen als .exe wat de naam ook is.
Wellicht is hetzelfde het geval als je een .docx met macro's als .rtf mailt, de scanner denkt "ik hoef niet te checken of
er macro's in zitten" en Word opent hem evengoed met macro ondersteuning. (met waarschuwingen uiteraard, maar
die klikt de gebruiker standaard weg)
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.