Hoe e‑mail-infectieketens dit jaar zijn verbreed

De meeste inbrekers krijgen toegang tot de huizen van hun slacht­of­fers via de voordeur. Dit komt aller­eerst simpelweg omdat elk huis er een heeft – en ze worden vaak ontgren­deld gelaten. Microsoft Office-docu­menten zijn al jaren onze digitale voordeur. Bijna iedereen heeft ooit Office-docu­menten gebruikt, of het nu Word, Power­Point of Excel is, en elke dag worden duizenden e‑mails uitge­wis­seld met dit soort docu­menten als bijlage. Meestal twijfelen we niet eens aan hun bron, waardoor ze een zeer wijd open­staande deur zijn.

Het kwaad­willig gebruik van Microsoft-docu­menten komt zo vaak voor dat ze zelfs hun eigen naam hebben: maldocs. Een van de belang­rijkste tech­nieken die cyber­cri­mi­nelen gebruiken om ze te maken, is misbruik van Office-macro’s. Gelukkig is Microsoft nu gestart met het standaard blokkeren van macro’s, maar het duurde even voordat het zover was. Hoeven we ons nu geen zorgen meer te maken over verdachte bijlagen? Laten we eens kijken hoe e‑mail-infec­tie­ke­tens zich dit jaar hebben verbreed.

Het al lang bestaande probleem met macro’s

Hoewel de proof of concept (PoC) en de actieve exploits met behulp van VBA-macro’s al in 1995 verschenen, misten ze de func­ti­o­na­li­teit voor het stelen van infor­matie en werden ze meestal gebruikt voor grappen. Dit soort aanvallen stierven in 2010 uit toen Microsoft de “beschermde weergave” intro­du­ceerde – een gele banner die gebrui­kers waar­schuwt om de func­ti­o­na­li­teit van macro’s niet in te schakelen. Het gebruik van macro’s kreeg echter een opleving toen drei­gings­ac­toren zich reali­seerden dat ze gebrui­kers met behulp van een beetje social engi­nee­ring konden over­tuigen om macro’s in te schakelen en deze vervol­gens te gebruiken om andere binaire bestanden te down­lo­aden en uit te voeren.

Het kwaad­wil­lende gebruik van Office-macro’s en kwets­baar­heden is in de loop der jaren in popu­la­ri­teit toege­nomen. Doorgaans is een zorg­vul­dige socially engi­neered e‑mail met een Excel-bestand met een kwaad­aar­dige macro het favoriete wapen van zowel onervaren actoren als eerste­klas APT-groepen. Uit de laatste cijfers van Thre­at­Cloud blijkt dat alleen Excel-bestanden al 49% uitmaken van alle kwaad­aar­dige bestanden die per e‑mail worden ontvangen.

Cybercriminelen worden creatief

Hoewel Microsoft in februari dit jaar aankon­digde om VBA-macro’s op Office-docu­menten te blokkeren, kwam het begin juli op zijn beslis­sing terug. In antwoord op een gebrui­kers­klacht gaf een Microsoft-verte­gen­woor­diger toe dat ze de beslis­sing hadden terug­ge­draaid “op basis van feedback”.

Microsoft kreeg te maken met een enorme terugval van gebrui­kers en heeft sindsdien de uitrol van VBA-macro­blok­ke­ring hervat, waarbij wordt uitgelegd dat de terug­trek­king van juli slechts tijdelijk was.

Tegen deze achter­grond zijn bedrei­gings­ac­toren begonnen met het onder­zoeken van alter­na­tieven voor niet-uitvoer­bare kwaad­aar­dige e‑mailketens, die meestal beginnen met verschil­lende soorten archief­be­standen zoals .ZIP en .RAR. In veel gevallen zijn die archief­be­standen beveiligd met een wacht­woord, waarbij het wacht­woord in de hoofd­tekst van de e‑mail staat. Deze archief­be­standen bevatten meestal het scha­de­lijke bestand, of in sommige gevallen een extra goed­aardig bestand dat naar het scha­de­lijke bestand leidt.

In april werd gemeld dat Emotet OneDrive-URL-links van zip-bestanden met kwaad­aar­dige xll-bestanden per e‑mail zou sturen. Deze xll-bestanden zijn .dll-bibli­o­theken die zijn ontworpen voor Excel, en bedrei­gings­ac­toren gebruiken doorgaans een geëx­por­teerde xlAu­toOpen-functie om kwaad­aar­dige payloads te down­lo­aden en uit te voeren. Verschil­lende bestaande tools en services, zoals Excel-DNA, zijn al beschik­baar om .xll-down­lo­a­ders te bouwen.

Een ander type archief­be­standen dat een algemeen alter­na­tief voor maldocs werd, is het gebruik van ISO-archieven, die het Mark-of-the-Web-bevei­li­gings­me­cha­nisme omzeilen. Samen met een combi­natie van .hta-payload kunnen ze eruitzien als legitieme docu­menten, maar kwaad­aar­dige code op de achter­grond uitvoeren. Bumblebee, een malware-loader die in februari werd gede­tec­teerd, levert verschil­lende payloads die vaak resul­teren in ransom­ware-aanvallen, en naar verluidt gaat het in eerste instantie om .iso-bestanden die via e‑mail worden afgeleverd.

In juni werd ook ineens malware Snake Keylogger, na een lange afwe­zig­heid, weer meer ingezet. Voorheen werd deze malware meestal verspreid via e‑mails met docx- of xlsx-bijlagen met kwaad­aar­dige macro’s, maar de terugkeer was het gevolg van de versprei­ding via pdf-bestanden – mogelijk gedeel­te­lijk als gevolg van de aankon­di­ging van Microsoft.

Dus hoewel internetmacro’s nu standaard worden geblok­keerd, blijven cyber­cri­mi­nelen hun tactieken verder ontwik­kelen en crea­tiever worden met nieuwe bestands­typen, net zoals we hebben onder­vonden met Emotet, Bumblebee en Snake. Het gebruik van verschil­lende archief­be­standen is zo’n succes voor cyber­cri­mi­nelen, omdat de meeste mensen die bestanden niet als poten­tieel kwaad­aardig beschouwen en vertrouwen op de bestanden die zich in de archieven bevinden, aangezien deze niet recht­streeks van internet komen. 

Voor­uit­kij­kend kunnen we alleen maar verwachten dat meer geavan­ceerde malwa­re­fa­mi­lies de ontwik­ke­ling van nieuwe infec­tie­ke­tens zullen versnellen, met verschil­lende bestands­typen die met een wacht­woord zijn beveiligd om detectie te voorkomen, naarmate geavan­ceerde social engi­nee­ring-aanvallen toenemen.

Het is nog nooit zo belang­rijk geweest voor mede­wer­kers om de risico’s van social engi­nee­ring te begrijpen en een aanval te iden­ti­fi­ceren. Cyber­cri­mi­nelen sturen vaak een eenvou­dige e‑mail die geen malware bevat, maar zich voordoet als een bekende om het gesprek aan te gaan. Nadat het vertrouwen is gewonnen, wordt het scha­de­lijke bestand verzonden. En onthoud dat het misschien niet langer een Office-document of .exe-bestand is, maar een ander bestands­type zoals een .iso of PDF of infec­tie­ke­tens die verschil­lende bestands­typen combineren. 

Daarom is educatie een van de belang­rijkste onder­delen van een effec­tieve cyber­be­vei­li­gings­stra­tegie, maar het kan ook verstandig zijn om een ​​robuuste e‑mailbeveiligingsoplossing te hebben die bijlagen in quaran­taine plaatst en inspec­teert, en voorkomt dat een kwaad­aardig bestand het netwerk überhaupt binnenkomt.

Als bescher­mings­middel zouden orga­ni­sa­ties ook moeten overwegen om deze macro’s te blokkeren via een sitebreed bevei­li­gings­be­leid dat bestands­op­scho­ning en geavan­ceerde Sandbox-emulatie combi­neert. Dit is vooral een effectief hulp­middel voor het vroeg­tijdig detec­teren van deze download-en-uitvoer-macro­do­cu­menten. Als alter­na­tief kan de verde­di­ging bestaan ​​uit het onder­zoeken van inkomende docu­menten en het verwij­deren van de macro’s voordat ze de beoogde gebruiker bereiken. 

De toename van het gebruik van Microsoft-gere­la­teerde scams is een gevaar voor zowel indi­vi­duen als orga­ni­sa­ties. Als iemand eenmaal in het bezit is van de inlog­ge­ge­vens van een account, heeft hij toegang tot alle achter­lig­gende appli­ca­ties zoals Teams, Share­Point en natuur­lijk het Outlook e‑mailaccount. Een voorbeeld wat dit jaar opdook is een Outlook-phis­hing­mail die gebrui­kers naar een frau­du­leuze Outlook-webpagina lokt met als onder­werp­regel: “[Actie vereist] Laatste herin­ne­ring – Verifieer uw OWA (Outlook Web App)-account nu”, waarbij het slacht­offer wordt gevraagd zijn inlog­ge­ge­vens in te voeren.

Cyber­cri­mi­nelen spelen dus in op ons vertrouwen en het mense­lijke instinct om ‘de deal’ die we voor ogen hebben te sluiten.