Kiberjinoyatchilar antivirus dasturini chetlab o’tishning yangi usulini topdilar.

Ushbu usul RT formatining o’ziga xos xususiyatlaridan foydalanadi.

Cisco Talos jamoasi mutaxassislari Google Chrome, Mozilla Firefox, Microsoft Outlook va boshqa turli ilovalardan ma’lumotlarni ajratib olishga qodir Agent Tesla, Loki va Gamarue kabi bir qator zararli dasturlarni tarqatuvchi yangi kampaniyani aniqladilar. Ushbu operatsiyaning o’ziga xos xususiyati shundaki, u Microsoft Word (CVE-2017-0199 va CVE-2017-11882) dagi ma’lum zaifliklardan foydalanish uchun o’zgartirilgan jarayondan foydalanadi, bu esa unga antivirus dasturini ogohlantirmasdan tizimni yuqtirish imkonini beradi.

Birinchi bosqichda tajovuzkorlar RTF faylini o’z ichiga olgan zararli MS Word hujjatlarini yuborishadi. Ushbu RTF fayli xavfsizlik yechimlari tomonidan aniqlanmagan holda oxirgi zararli modulni yuklab oladi. Mutaxassislarning fikriga ko’ra, 58 ta antivirus yechimidan faqat ikkitasi faylni shubhali deb hisoblagan va ular shunchaki hujjat noto’g’ri formatlanganligi haqida ogohlantirgan.

Hujum Object Linking and Embedding (OLE) texnologiyasidan foydalangan holda ob’ektlarni joylashtirish qobiliyatini qo’llab-quvvatlaydigan va mavjud tarkibni aniqlash uchun ko’p sonli boshqaruv so’zlaridan foydalanadigan RT formatining xususiyatlaridan foydalanadi. Odatda, RTF tahlilchilari noma’lum tarkibni e’tiborsiz qoldirib, ekspluatatsiyani yashirish uchun ajoyib imkoniyat yaratadi. Natijada, tajovuzkorlar foydalanuvchini Microsoft Word-dagi sozlamalarni o’zgartirishga majburlashlari yoki kodni ishga tushirish uchun biron bir variantni bosishlari shart emas.

Boshqa narsalar qatorida, zararli hujjatni aniqlashdan yashirish uchun tajovuzkorlar OLE obyekti sarlavhasi qiymatlarini o’zgartiradilar va <FONT> tegiga o’xshash, ammo aslida Microsoft Office-dagi CVE-2017-11882 zaifligi uchun ekspluatatsiya bo’lgan ma’lumotlarni qo’shadilar.

Hujum jarayoni bu yerda batafsilroq tasvirlangan.