Attacco con documento Excel “armato”

Gli attacchi informatici sono sempre più sofisticati e spesso utilizzano metodi ingegnosi per infiltrarsi nei sistemi informatici. Uno dei metodi più recenti e pericolosi è l’uso di documenti Excel weaponizzati per distribuire il Fileless Remcos RAT, un malware avanzato che può evitare la detezione tradizionale. In questo articolo, esploreremo come questi attacchi funzionano e forniremo consigli pratici per proteggersi da loro.

Come Funziona l’Attacco

L’attacco inizia con un’email di phishing che contiene un documento Excel apparentemente innocuo. Tuttavia, questo documento è stato creato per sfruttare la vulnerabilità CVE-2017-0199, che consente agli attaccanti di eseguire codice arbitrario quando un utente apre un documento Microsoft Office o WordPad specificamente elaborato.

Il documento Excel contiene oggetti OLE (Object Linking and Embedding) che sembrano essere parte normale del file. Quando l’utente apre il documento, gli oggetti OLE vengono attivati e scaricano un file HTA (HTML Application) malizioso. Questo file HTA inizia una catena di comandi PowerShell obfuscati che, alla fine, iniettano il Fileless Remcos RAT nel sistema dell’utente.

Caratteristiche del Fileless Remcos RAT

Il Fileless Remcos RAT è un malware avanzato che si comporta come un trojan remoto. Non viene scritto su disco, ma viene invece caricato direttamente in memoria, rendendolo difficile da rilevare con i tradizionali strumenti di sicurezza. Una volta caricato, il malware si insinua in un processo legittimo del sistema operativo, come RegAsm, e si stabilisce sulla piattaforma, garantendo la persistenza e il controllo dell’attore malintenzionato.

Individuazione e Protezione

Per proteggersi da questi attacchi, è fondamentale essere consapevoli delle tecniche di phishing e degli oggetti OLE. Ecco alcuni consigli pratici:

• Sorveglianza degli Email: Verificare sempre l’origine degli email e non cliccare su link o aprire allegati da fonti sconosciute.
• Aggiornamenti di Sicurezza: Assicurarsi che tutti i software, inclusi Microsoft Office, siano aggiornati con le ultime patch di sicurezza.
• Antivirus e Firewall: Utilizzare un antivirus avanzato e un firewall per monitorare e bloccare il traffico malizioso.
• Formazione e Consapevolezza: Educazione degli utenti sul riconoscimento degli email di phishing e sulla sicurezza online.
• Monitoraggio dei Processi: Utilizzare strumenti di monitoraggio dei processi per identificare e intercettare attività sospette.

Esempi di Campagne Malware

Negli ultimi anni, sono state rilevate diverse campagne malware che hanno sfruttato la vulnerabilità CVE-2017-0199. Alcuni esempi includono:

• LATENTBOT: Un malware che sfrutta la stessa vulnerabilità per eseguire comandi PowerShell obfuscati.
• FINSPY: Un malware che si comporta come un keylogger e sfrutta la vulnerabilità per iniettare codice malizioso.
• WingBird/FinFisher: Un malware avanzato che sfrutta la vulnerabilità per eseguire comandi PowerShell e iniettare codice malizioso.

Suggerimenti e Consigli

• Utilizza strumenti di sicurezza avanzati: Utilizzare antivirus e firewall avanzati che possano rilevare e bloccare il traffico malizioso.
• Educazione degli utenti: Educa gli utenti sul riconoscimento degli email di phishing e sulla sicurezza online.
• Monitoraggio dei processi: Utilizza strumenti di monitoraggio dei processi per identificare e intercettare attività sospette.
• Aggiornamenti di sicurezza: Assicurati che tutti i software, inclusi Microsoft Office, siano aggiornati con le ultime patch di sicurezza.
• Formazione continua: Mantieni la formazione continua sulle ultime tecniche di attacco e sulle strategie di sicurezza.

Risorse Utili

• Trellix: “Fileless Remcos RAT Campaign Leverages CVE-2017-0199 Flaw” – Una analisi dettagliata degli attacchi con documenti Excel weaponizzati e del Fileless Remcos RAT.
• Gurucul: “Unmasking the Hidden Threat: Inside a Sophisticated Excel-Based Attack Delivering Fileless Remcos RAT” – Una analisi approfondita degli attacchi con documenti Excel e del Fileless Remcos RAT.
• Microsoft: “CVE-2024-38200 – Spoofing Vulnerability in Microsoft Office” – Una descrizione della vulnerabilità CVE-2024-38200 e come proteggersi da essa.

Note

• Vulnerabilità CVE-2017-0199: Questa vulnerabilità è stata scoperta nel 2017 e continua a essere sfruttata da attaccanti per distribuire malware avanzato.
• Fileless Malware: Il Fileless Remcos RAT non viene scritto su disco, ma viene invece caricato direttamente in memoria, rendendolo difficile da rilevare con i tradizionali strumenti di sicurezza.
• Individuazione e Protezione: Utilizzare strumenti di sicurezza avanzati, formazione degli utenti e monitoraggio dei processi sono fondamentali per proteggersi da questi attacchi sofisticati.

Gli attacchi con documenti Excel weaponizzati rappresentano una minaccia significativa per la sicurezza informatica. È fondamentale essere consapevoli delle tecniche di phishing e degli oggetti OLE, e utilizzare strumenti di sicurezza avanzati per proteggersi da malware come il Fileless Remcos RAT. Seguendo i consigli e le best practice descritte in questo articolo, è possibile ridurre significativamente il rischio di essere vittima di questi attacchi sofisticati.

Fonte: https://cybersecuritynews.com/beware-weaponized-excel-fileless-remcos-rat/