Wykryto nowy atak na Ukrainie. Wykorzystuje Excela

Cyberataki na Starym Kontynencie nie ustają – nie ma bowiem miesiąca bez doniesień o nowej akcji hakerów w którymś z europejskich krajów. Jak opisywaliśmy na łamach CyberDefence24, w ostatnim czasie celem atakujących stały się niemieckie partie polityczne CDU i SPD czy brytyjski dom aukcyjny Christie’s.

W samym maju wzrosła również liczba cyberataków w Polsce. Najgłośniejszym z nich był ten wymierzony w Polską Agencję Prasową. Wcześniej zaatakowano także Ośrodek Pomocy Społecznej w Sędziszowie Małopolskim oraz Starostwo Powiatowe w Świebodzinie.

Kolejny cyberatak na Ukrainie

Poza naszym krajem, najbardziej atakowanym państwem w Europie zdecydowanie jest Ukraina. Jak podaje serwis Infosecurity Magazine, eksperci z FortiGuard Labs zidentyfikowali nową kampanię, która jest wymierzona w komputery z system operacyjnym Windows działającymi w tym kraju. Nie działa ona jednak poza Ukrainą z powodu obecności warunku co do lokalizacji.

Jak wskazują badacze z FortiGuard Labs, cyberatak został podzielony na kilka części. Przede wszystkim, ofiara musi ściągnąć na swój komputer plik .xls służący do jego przeprowadzenia, a następnie włączyć w nim makra (do czego jest zachęcana jego zawartością, dotyczącą ukraińskiego wojska). Te z kolei odpowiadają za pobranie pliku .dll, który jest uruchamiany za pomocą utworzonego .lnk.

Podczas kolejnych etapów, malware sprawdza m.in. jakie antywirusy znajdują się na atakowanym komputerze, w jakim kraju znajduje się sprzęt, a także dokonuje zmian w rejestrze systemowym. Pobierane pliki są z kolei zakodowane bądź usuwają się po wykonaniu w celu zatuszowania obecności. Cały wieloetapowy proces ma na celu dostarczenie malware Cobalt Strike.

Ostrożnie z plikami z sieci

Nie jest to pierwsza operacja wykorzystująca złośliwe makra w Excelu. W zeszłym roku o podobnej akcji informował CERT-UA; sprawcą w tamtym przypadku była grupa oznaczona UAC-0057.

FortiGuard Labs apeluje o zachowanie ostrożności podczas obchodzenia się z plikami pobranymi z sieci, zwłaszcza z nieznanych źródeł. „Dokumenty Office zapewniają mnóstwo funkcji, w tym liczne wtyczki i skrypty. Trzeba jednak zachować ostrożność, szczególnie w przypadku zauważenia podejrzanych plików lub nieznanych programów startowych w rejestrze systemowym” – napisano w oficjalnej informacji organizacji.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na :[email protected].