هجوم تصيّد مباشر يُنصّب برمجيات خبيثة مستخدماً تقنية إصابة مبتكرة

يحذر باحثو "ماكافي" (McAfee) من أن حملة تصيد احتيالي حديثة تقوم بنشر برمجيات خبيثة عبر مستندات "وورد" تبدو غير ضارة. فبمجرد أن يفتح المستند المستخدم ويسمح بتمكين المحتوى، يقوم بتحميل ملف "إكسل" يُستخدم لبناء ماكرو خبيث بمجرد استقرار المستند على النظام، مما يتيح لهذه وحدات الماكرو التملص من فلاتر الأمان.

ويكتب الباحثون: "يتم توزيع البرمجية الخبيثة عبر رسالة بريد إلكتروني احتيالية تحمل مرفقاً على شكل مستند مايكروسوفت وورد". ويضيفون: "عند فتح المستند وتفعيل وحدات الماكرو، يقوم مستند الوورد بتحميل وفتح مستند آخر من مايكروسوفت إكسل محمي بكلمة مرور".

وبعد انتهاء تحميل ملف XLS، تقرأ لغة VBA الخاصة بـ "وورد" محتويات خلايا ملف الإكسل، وتقوم بإنشاء ماكرو جديد لنفس الملف، ثم تكتب تلك المحتويات داخل وحدات الماكرو الخاصة بملف الإكسل على شكل دوال برمجية. وحالما تُكتب وتُجهز وحدات الماكرو، يقوم مستند الوورد بتعديل سياسات "سجل النظام" (Registry Policy) لتعطيل تحذيرات ماكرو إكسل، ثم يستدعي الدالة الخبيثة الكامنة في ملف الإكسل. وفي هذه المرحلة، يقوم ملف الإكسل بتحميل الحمولة البرمجية الخاصة ببرنامج Zloader، ليتم بعد ذلك استخدام أداة Rundll32[dot]exe لتنفيذ تلك الحمولة.

ومن الجدير بالذكر أن المستخدم لا يزال مضطراً لتمكين وحدات الماكرو في المستند الأول لكي يتم تحميل المستند الثاني. وعليه، فإن تدريب المستخدمين على عدم تفعيل وحدات الماكرو في مستندات أوفيس مطلقاً من شأنه أن يكسر حلقة العدوى.

يذكر الباحثون أن: "المستندات الخبيثة شكلت نقطة الدخول لغالبية عائلات البرمجيات الخبيثة، وقد طورت هذه الهجمات تقنيات العدوى والتعتيم الخاصة بها، متحولة بعيداً عن التنزيلات المباشرة للحمولات عبر VBA ونحو التنزيلات الديناميكية، كما تمت مناقشته في هذه التدوينة".

ويضيفون: "إن استخدام مثل هذه الوسائط في سلسلة العدوى لا يقتصر على برامج وورد أو إكسل فحسب؛ إذ قد تلجأ تهديدات أخرى إلى تحميل حمولاتها باستخدام أدوات أخرى تعتمد على مكونات النظام (Off-the-land)".

وبسبب المخاوف الأمنية، يتم تعطيل وحدات الماكرو افتراضياً في تطبيقات مايكروسوفت أوفيس، لذا نقترح عليك عدم تفعيلها إلا عند استلام مستند من مصدر موثوق.

وفي العصر الحديث، يهدف تدريب الوعي الأمني إلى تعليم الموظفين الالتزام بأفضل ممارسات الأمان السيبراني.