La d\u00e9cision de Microsoft de bloquer par d\u00e9faut les macros Visual Basic pour Applications (VBA) pour les fichiers Office t\u00e9l\u00e9charg\u00e9s depuis Internet a conduit de nombreux acteurs de la menace \u00e0 improviser leurs cha\u00eenes d’attaque ces derniers mois.<\/p>\n
Maintenant selon Cisco Talos<\/a>les acteurs des menaces persistantes avanc\u00e9es (APT) et les familles de logiciels malveillants courants utilisent de plus en plus les fichiers de compl\u00e9ment Excel (.XLL) comme vecteur d’intrusion initial.<\/p>\n Les documents Office militaris\u00e9s livr\u00e9s via des e-mails de harponnage et d’autres attaques d’ing\u00e9nierie sociale sont rest\u00e9s l’un des points d’entr\u00e9e largement utilis\u00e9s par les groupes criminels cherchant \u00e0 ex\u00e9cuter du code malveillant.<\/p>\n Ces documents invitent traditionnellement les victimes \u00e0 activer les macros pour afficher un contenu apparemment inoffensif, uniquement pour activer l’ex\u00e9cution de logiciels malveillants furtivement en arri\u00e8re-plan.<\/p>\n Pour contrer cette utilisation abusive, le fabricant de Windows a promulgu\u00e9 un changement crucial \u00e0 partir de juillet 2022 qui bloque les macros<\/a> dans les fichiers Office joints aux e-mails, coupant efficacement un vecteur d’attaque crucial.<\/p>\n Bien que ce blocage ne s’applique qu’aux nouvelles versions d’Access, Excel, PowerPoint, Visio et Word, les acteurs malveillants ont exp\u00e9riment\u00e9 des voies d’infection alternatives pour d\u00e9ployer des logiciels malveillants.<\/p>\n Une telle m\u00e9thode s’av\u00e8re \u00eatre Fichiers XLL<\/a>qui est d\u00e9crit par Microsoft comme un “type de fichier de biblioth\u00e8que de liens dynamiques (DLL) qui ne peut \u00eatre ouvert que par Excel”.<\/p>\n “Les fichiers XLL peuvent \u00eatre envoy\u00e9s par e-mail, et m\u00eame avec les mesures habituelles d’analyse anti-malware, les utilisateurs peuvent \u00eatre en mesure de les ouvrir sans savoir qu’ils peuvent contenir du code malveillant”, a d\u00e9clar\u00e9 Vanja Svajcer, chercheuse chez Cisco Talos, dans une analyse publi\u00e9e la semaine derni\u00e8re.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que les acteurs de la menace utilisent un m\u00e9lange de compl\u00e9ments natifs \u00e9crits en C++ ainsi que ceux d\u00e9velopp\u00e9s \u00e0 l’aide d’un outil gratuit appel\u00e9 Excel-DNA, un ph\u00e9nom\u00e8ne qui a connu un pic significatif depuis la mi-2021 et s’est poursuivi jusqu’\u00e0 cette ann\u00e9e.<\/p>\n Cela dit, la premi\u00e8re utilisation malveillante publiquement document\u00e9e de XLL aurait eu lieu en 2017 lorsque l’acteur APT10 (alias Stone Panda) li\u00e9 \u00e0 la Chine a utilis\u00e9 la technique pour injecter sa charge utile de porte d\u00e9rob\u00e9e dans la m\u00e9moire via processus d’\u00e9videment<\/a>.<\/p>\n D’autres collectifs d’adversaires connus incluent TA410 (un acteur avec des liens vers APT10), DoNot Team, FIN7, ainsi que des familles de logiciels malveillants de base telles que Agent Tesla, Arkei, Buer, Dridex, Ducktail, Ekipa RAT<\/a>FormBook, IcedID, Vidar Stealer et Warzone RAT.<\/p>\n L’abus du format de fichier XLL pour distribuer AgentTesla<\/a> et Dridex<\/a> a \u00e9t\u00e9 pr\u00e9c\u00e9demment mis en \u00e9vidence par l’unit\u00e9 42 de Palo Alto Networks, notant qu’il “peut indiquer une nouvelle tendance dans le paysage des menaces”.<\/p>\n “Alors que de plus en plus d’utilisateurs adoptent de nouvelles versions de Microsoft Office, il est probable que les acteurs de la menace se d\u00e9tourneront des documents malveillants bas\u00e9s sur VBA vers d’autres formats tels que les XLL ou s’appuieront sur l’exploitation de vuln\u00e9rabilit\u00e9s r\u00e9cemment d\u00e9couvertes pour lancer du code malveillant dans l’espace de processus de Applications bureautiques \u00bb, a d\u00e9clar\u00e9 Svajcer.<\/p>\n Ekipa RAT<\/a>en plus d’incorporer des compl\u00e9ments XLL Excel, a \u00e9galement re\u00e7u une mise \u00e0 jour en novembre 2022 qui lui permet de tirer parti des macros Microsoft Publisher pour supprimer le cheval de Troie d’acc\u00e8s \u00e0 distance et voler des informations sensibles.<\/p>\n “Tout comme avec d’autres produits Microsoft Office, comme Excel ou Word, les fichiers Publisher peuvent contenir des macros qui s’ex\u00e9cuteront \u00e0 l’ouverture ou \u00e0 la fermeture [of] le fichier, ce qui en fait des vecteurs d’attaque initiaux int\u00e9ressants du point de vue de l’auteur de la menace \u00bb, Trustwave c’est not\u00e9<\/a>.<\/p>\n Il convient de noter que les restrictions de Microsoft visant \u00e0 emp\u00eacher l’ex\u00e9cution des macros dans les fichiers t\u00e9l\u00e9charg\u00e9s sur Internet ne s’\u00e9tendent pas aux fichiers Publisher, ce qui en fait une voie potentielle d’attaques.<\/p>\n “L’Ekipa RAT est un excellent exemple de la fa\u00e7on dont les acteurs de la menace changent continuellement leurs techniques pour garder une longueur d’avance sur les d\u00e9fenseurs”, a d\u00e9clar\u00e9 Wojciech Cieslak, chercheur chez Trustwave. “Les cr\u00e9ateurs de ce malware suivent les changements dans l’industrie de la s\u00e9curit\u00e9, comme le blocage des macros d’Internet par Microsoft, et modifient leurs tactiques en cons\u00e9quence.”<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEiFnQCqFUEdZwz09FePR3hG7AgLONIkxkHQShYlYG9sMAfmFEby7X_H70pQ-9LE4EGZ23DtteXmqkaRJtbEWD3LgdJDEQS_GzBo6ugwqRwVEo_kbRN9E1kruaJrfiBDjY0e2mRjaHuWU1gkUzsLRVbvt0IMXMhc3P1YIy9M0fvNOrWDRwsyC7dkMcnC1A\/s728-e365-rj\/welcome-728.png\")
<\/a><\/center><\/div>\n![\"Vecteur](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1672222059_890_Les-pirates-APT-se-tournent-vers-des-complements-Excel-malveillants.png\" "\\"Vecteur")
<\/div>\nDes macros malveillantes de Microsoft Publisher poussent Ekipa RAT<\/h2>\n