Jednym z najbardziej krytycznych aspektów bezpieczeństwa informatycznego jest to, że twórcy złośliwego oprogramowania nie siedzą (i nigdy nie siedzieli) z założonymi rękami. To, co kilka lat temu wydawało się niemożliwe, dziś jest nową metodą infekcji lub udoskonaleniem już istniejącej. Najnowsze wieści pochodzą od firmy Trend Micro, która odkryła trojana zdolnego do ataku za pomocą specjalnego dokumentu PowerPoint, zawierającego złośliwy link, na którym nie trzeba nawet klikać. Wystarczy najechać na niego kursorem.
Bankowość internetowa i elektroniczne zarządzanie środkami nieustannie zyskują na popularności, co czyni użytkownika końcowego coraz bardziej kuszącym celem dla niektórych złośliwych twórców, gotowych do organizowania bardziej precyzyjnych kampanii. Pomimo ogromnych szkód, jakie wyrządził, prawda jest taka, że twórcy WannaCry nie zarobili więcej niż 75 tysięcy dolarów. Innymi słowy, to zbyt wiele uwagi za niewielkie pieniądze. Chociaż wszyscy wiemy, że to tylko kwestia czasu, zanim kolejny wielki atak ransomware podpali połowę internetu, nietrudno wyobrazić sobie serię bardziej subtelnych i cichych kampanii w międzyczasie.
Jedną z nich właśnie odkryli specjaliści z Trend Micro w Europie. Downloader, wykrywany przez firmę pod nazwami TROJ_POWHOV.A i P2KM_POWHOV.A, prezentuje użytkownikowi dokument PowerPoint z osadzonym obrazem lub fragmentem tekstu z linkiem. Najciekawsze jest to, że użytkownik nie musi klikać w ten link, a samo najechanie na niego kursorem aktywuje instalację (za pomocą polecenia PowerShell) trojana bankowego znanego jako OTLARD lub Gootkit. Ten trojan zaatakował we Francji kilka lat temu, rozpowszechniając spam sądowy, a jego zdolność do kradzieży danych bankowych jest dobrze udokumentowana.
Trend Micro poinformował, że ta nowa kampania była ledwie „blipem" na ich radarze, z ograniczoną liczbą infekcji w ciągu pięciu dni. Nie jest to jednak nic niezwykłego (plan polega na zmniejszeniu śladu, aby utrudnić pracę badaczom), a pierwsze wrażenie wskazuje, że to test lotu. Teraz pytanie brzmi: jak się bronić? Trend Micro potwierdził, że trojan nie działa w PowerPoint Online ani w trybie internetowym Office 365, ale może dotknąć pozostałych. Pierwszą linią obrony jest utrzymanie włączonej funkcji Widoku chronionego w pakiecie Office oraz odmowa zaufania takiej treści (nieznana wiadomość e-mail z załącznikiem PowerPoint prawdopodobnie szuka problemów). Być może Microsoft wyda ogólną poprawkę mającą na celu zminimalizowanie lub całkowite zneutralizowanie jego wpływu, a firmy bezpieczeństwa wprowadzą odpowiednie poprawki w swoich produktach. Musimy być czujni.
