Na seznam nebezpečných přípon si přidejte: IQY

Tvůrci havěti hledají stále nové způsoby jak ošálit uživatele. Řada z nás už ví, že soubor s příponou EXE v příloze e-mailu je fuj, ale kolik z nás tuší, co se skrývá pod příponou IQY? Co takový soubor spustit a zjistit to? 😉

Nevinný „Excel Web Query“

Soubory s příponou IQY jsou obvykle nevinné a souvisí s Microsoft Excelem. Konkrétně jde o soubory „Excel Web Query“ a jejich úkolem je dotáhnout pro Excel externí data ke zpracování. Data ke zpracování mohou bohužel obsahovat i funkce Excelu třeba pro spuštění programového kódu, v tomto případě škodlivého…

Pokud uživatel IQY soubor spustí, Microsoft Excel zobrazí několik varování. Pokud je uživatel ignoruje, dojde nejprve ke stažení „datového souboru“ ze serveru útočníka a následně spuštění příkazů PowerShellu (funkce cmd) v něm obsažených. To vede k tomu, že se do počítače stáhne a zavede jakákoliv další havěť.

Zdrojem informací a obrázků je www.bleepingcomputer.com

Makroviry se vrací…

Možná si říkáte, že útoky, kde musí uživatel odklikat tolik varovných hlášek, nemohou být úspěšné. Omyl! Třeba úspěšné odrůdy havěti ransomware se šířily podobnou cestou. Skrze nevinně vypadající dokument Wordu (přípona .DOCX / .DOC) taktéž s nutností odsouhlasit ze strany uživatele několik varování. Konkrétní případ byl popsán ve zprávě o ransomware Locky, kde jsou i obrázky z chování Wordu. Ke spuštění havěti se v takovém případě využívají makra.

DDE – Dynamic Data Exchange

A když už jsme u těch alternativních způsobech šíření motajících se okolo Microsoft Word / Microsoft Excel, neměl bych zapomenout ani na „kostlivce“ DDE (Dynamic Data Exchange). Speciální pole vložené v textu dokumentu Wordu (DDEAUTO) dokáže zajistit, že ke spuštění škodlivého kódu dojde i bez použití maker. Pochopitelně opět po několika souhlasech uživatele. Pak hlášení vypadají nějak takto (zdrojem je https://www.securitysift.com/abusing-microsoft-office-dde/):

Dejte si tak pozor s čím souhlasíte! Pár kliknutí může zadělat na velký problém!