Uno degli aspetti più critici nella sicurezza informatica è che gli sviluppatori malevoli non restano (e non sono mai rimasti) con le mani in mano. Ciò che un paio di anni fa sembrava impossibile, oggi è un nuovo metodo di infezione, o l'ottimizzazione di uno già esistente. Le ultime notizie arrivano da Trend Micro, che ha scoperto un trojan capace di attaccare utilizzando un documento speciale di PowerPoint, il quale contiene un link malevolo su cui non è necessario cliccare. Basta passare il cursore su quel link.
Un nuovo vettore di attacco
Il home banking e l'amministrazione elettronica dei fondi non smettono di guadagnare terreno, il che rende l'utente finale un bersaglio sempre più allettante per alcuni sviluppatori malevoli disposti a organizzare campagne più precise. Nonostante l'enorme danno causato, è vero che i responsabili di WannaCry non hanno superato i 75mila dollari nel loro bottino. In altre parole, è troppa attenzione per pochi soldi. Anche se tutti sappiamo che è solo questione di tempo prima che il prossimo grande attacco ransomware incendi metà del Web, non è assurdo immaginare una serie di campagne più sottili e silenziose nel frattempo.
Una di queste è stata appena scoperta da Trend Micro in territorio europeo. Il downloader, che l'azienda rileva con i nomi TROJ_POWHOV.A e P2KM_POWHOV.A, presenta all'utente un documento di PowerPoint caricato con un'immagine o un pezzo di testo collegato. La cosa più sorprendente è che l'utente non ha bisogno di cliccare su quel link, e basta passare il cursore sopra per attivare l'installazione (usando un comando PowerShell) di un trojan bancario noto come OTLARD o Gootkit. Questo trojan ha attaccato in territorio francese un paio di anni fa distribuendo spam giudiziario, e la sua capacità di rubare credenziali bancarie è ben documentata.
Come difendersi?
Trend Micro ha dichiarato che questa nuova campagna è stata solo un «blip» sul suo radar, con un numero limitato di infezioni in cinque giorni. Tuttavia, questo non è insolito (il piano è ridurre la propria impronta per rendere più difficile il lavoro degli investigatori), e la prima impressione è che si tratti di un volo di prova. Ora la domanda è: come ci difendiamo? Trend Micro ha confermato che il trojan non funziona in PowerPoint Online, né in modalità Web di Office 365, ma può colpire il resto. La prima linea di difesa è mantenere attiva la funzione di Vista Protetta di Office, e applicare un voto di sfiducia a quel contenuto (un'email sconosciuta con un allegato PowerPoint probabilmente sta cercando guai). Forse Microsoft rilascerà un hotfix generale con l'intenzione di minimizzare o annullare completamente il suo impatto, e immagino che le aziende di sicurezza faranno le corrispondenti modifiche ai loro prodotti. Dobbiamo essere vigili.
