Nuovo malware che si installa da solo attraverso PowerPoint

12 Giugno 2017 52

I ricercatori di TrendMicro hanno scoperto un nuovo attacco malware piuttosto pericoloso, perché non serve che l'utente clicchi su nulla per avviare download e installazione di un trojan: basta passare sopra con il mouse al link sbagliato in una presentazione PowerPoint.

Questo episodio in particolare non sembra essere più pericoloso: l'ondata di mail che lo trasportava ha raggiunto il picco di diffusione (principalmente in aziende di Europa e Medio Oriente, in particolare in Polonia, UK, Paesi Bassi e Svezia) intorno al 25 maggio, e per il 29 era già scemato. Ma la tecnica rimane rilevante e potrebbe essere ancora sfruttata in futuro.

Le mail sono strutturate per sembrare delle fatture (seguono immagini) e includono in allegato una presentazione in PowerPoint (estensione PPS o PPSX). L'utente deve decidere di sua volontà di scaricare e aprire il documento, ma a quel punto basta posizionare il cursore sopra all'unica scritta presente al suo interno per avviare automaticamente uno script PowerShell che procede a download, installazione ed esecuzione di un Banking Trojan - programma che cerca di carpire informazioni bancarie, come numero di conto, password e così via.


TrendMicro precisa che questo attacco non funziona se il programma per visualizzare il file non è installato su una macchina locale, quindi usare per esempio PowerPoint Online o la modalità Web di Office 365 è sicuro; per le versioni di Office dalla 2010 in poi, inoltre, la Visualizzazione Protetta (strumento che apre i documenti in sola lettura se provengono da località non sicure, come appunto internet; QUI più dettagli a riguardo) riesce a impedire l'esecuzione dello script.


Insomma, per un utente privato bene informato è difficile essere colpiti da questo attacco, ma le condizioni che lo rendono efficace potrebbero essere ben più comuni in ambiti aziendali dove spesso si lavora con software vecchi. In ogni caso non c'è miglior prevenzione dell'informazione - specialmente perché l'episodio di fine maggio potrebbe essere solo un "giro di prova".


52

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
Emanuele Cavallaro

Non parlo di quello, ma la sincronizzazione dei file su cloud, evidentemente non hai cercato bene...
Cerca "libreoffice nextcloud"

Apri libreoffice -> file remoti -> puoi aggiungere un account google drive, nextcloud o altri...

Il ministero non è un azienda privata, è vero, ma è uno dei casi d'uso a livello professionale.

Nelle aziende private è difficile a dimostrare cosa usano, neanche tu puoi dire che non lo usa nessuno in azienda, anche se ho sentito in molti che lo usano in azienda privata.

un altro caso d'uso è:
"MIMO, il gruppo di lavoro interministeriale francese per il software libero, utilizza LibreOffice su circa 500.000 computer. Il software viene utilizzato in numerosi dipartimenti, compresi quelli dell'energia, della difesa, dell'agricoltura e dell'educazione."

Leox91

Che non è integrato, ma è una web app. E lo sapevo già.

Ah, tanto per dirne una, il. Ministero della difesa non è un'azienda.

Ciao.

Leox91

Ti prego di fornirmi il nome di 5 aziende con più di 30 dipendenti che usano Open o Libre Office.

Grazie.

Emanuele Cavallaro

"E opero in ICT."
Allora la disinformazione che hai è ancora più grave...

Emanuele Cavallaro

Informati. Google è tuo amico, prendine uno a caso: "ministero della difesa libreoffice"
Cerca pure: "libreoffice cloud"

Shrek

Infatti. In ogni caso personalmente preferisco 1000 volte Windows, con tutti i rischi che comporta, rispetto a macOS.

al404

scusa dovevo scrivere i PC windows

MasterBlatter

Magari leggi l'articolo prima di commentare

MasterBlatter

"L'utente deve decidere di sua volontà di scaricare e aprire il documento"
[...]
"per le versioni di Office dalla 2010 in poi, inoltre, la Visualizzazione Protetta riesce a impedire l'esecuzione dello script."

PERICOLOSSISSIMOPROPRIOCOMENO

Shrek

Come se i Mac non fossero pc.

Orlaf

Il Windows Store non sense lo cag4 nessuno.

Sfido a vederlo surclassare i metodi tradizionali.

Microsoft e le sue manie di protagonismo, che non includono mai la nomea che si porta addosso.

Orlaf

Mai che primeggiasse in qualcosa di buono sta Microzozz...

yammocaccadiblog2

Sssssi convinto

yammocaccadiblog2

Sono curioso di sapere se succede sia su Windows che Mac o solo su uno dei due

L0RE15

ma chi è quello stolto che apre files a caso aenza verificarne le fonti?! Il mondo non è cambiato: una volta erano le macro di Excel passate tramite FDD, oggi un file di PowerPoint...

Andrej Peribar

In realtà la notiza è vecchia.
Non so perchè l'abbiano cacciata ora.
Sarà stato già patchato probabilmente :)

E K

Chiarissimo, ma questo non era scritto nell'articolo, si parlava solo di un malware che cercava dati bancari, non che fosse anche capace di autoriprodursi su altri ppt.

Leox91

Mai vista nessuna.
E opero in ICT.

al404

ho dimenticato di mettere i tag [ironico] :-D

Andrej Peribar

No. Non comprendete davvero a cosa si riferiscono queste segnalazioni.
Se il tuo contatto è infetto, questo virus potrebbe inserire nella macro di di PP lo script infetto e tu lo apriresti credendo sia legittimo.
Molti malware si diffondono così, non è che chi ti invia il file è sempre il responsabile attivo a volte è inconsapevole di essere un vettore.

Sono riuscito a spiegarmi ?

:)

Re Deckars

...Per chi guadagna con il malware

al404

i PC sono 1000 volte meglio dei MAC...

Emanuele Cavallaro

Tranquillo che pure le aziende usano LibreOffice...

E K

Un mio contatto, che su mia richiesta, invia un file powerpoint leggero; e proprio quel file (presumibilmente creato dal mio contatto, altrimenti che senso avrebbe richiederlo?) é stato infettato nel trasferimento tra il suo pc ed il mio, ed io lo apro con un office antecedente al 2010 senza blocco delle macro?
Se dovesse succedere tutto questo, posso fregarmene perché un attimo dopo mi colpisce un meteorite attraverso la finestra socchiusa, senza danneggiare i vetri, quindi avró problemi piú grossi.

E K

Esattamente, ed é li che impara ad usare il cervello, oppure é li che la sua attivitá informatica giunge ad estinzione.

DonatoMonty81

Si fa ancora prima ad usare penna e quaderno

DonatoMonty81

Ma poi l'utono legge gattini_pucciosi.ppt e lo apre senza nemmeno pensarci

Boronius

Azzz qui in ufficio devo farmi il backup dei salvataggi dei giochini, non vorrei che qualcuno mi criptasse informazioni vitali...

Andrej Peribar

Rileggi il mio messaggio

manu1234

la versione di office del windows store è quella win32 impacchettata, che come vedi vantaggi ne da senza compromettere nulla

sardanus

l'antivirus più potente al mondo siamo noi (cit.)

gianlu96ct

C'è sempre open office

Andrej Peribar

Quindi parli delle uwp non dello store.
Il fatto che siano commercialmente legati non li rende interscambiabili.

Andrej Peribar

Sarebbe auspicabile che si passi a GNU/Linux ma spero si faccia per l'assenza di costrizioni commerciali e per i concetti del floss.
Non per un problema tecnico.
:)

manu1234

come funzionalità no, ma è sanboxed, qualsiasi cosa venga provi ad essere eseguita senza specifici permessi viene bloccata, figurati codice javascript

Andrej Peribar

Perché la versione dello store è differente da quella che MS fornisce al di fuori di esso?

Andrej Peribar

Se te lo invia un tuo contatto su tua richiesta, che fai non lo apri?

Andrej Peribar

È vecchia la notizia.

E K

... Perché ovviamente tutti apriamo un ppt allegato ad una fattura, come si é sempre fatto in tutto il mondo vero? Bah, ad essere nabbi si deve pagare il conto piú salato. E con questo non nego che microsoft debba rivedere appena appena la sicurezza interna ai suoi software.

Sheldon!

Hanno sfruttato una falla dell'architettura "slide" di AMD

Leox91

Dillo alle aziende ^_^

irondevil

non se ti serve........

Shrek

E forse è meglio XD

manu1234

eh però con la distro Linux office mica lo usi...

gianlu96ct

Si fa prima a installare una distro di linux

manu1234

in teoria fra 3 giorni diventa visibile nello store office

Volpe

Anche perché non c'è nulla da scaricare

manu1234

per gli addon c'è il supporto a c# e js

manu1234

"il windows store non da nessun vantaggio"
sfido a prendere questo malware

ghost

Era ora, ero stufo di installarli premendo ok senza leggere

Recensione Medion Erazer Major X10: Intel ARC A730M sfida la RTX 3060 | VIDEO

Recensione Asus Zenbook S13, vale la pena comprare un notebook premium?

Recensione MSI Prestige 15, un buon notebook tuttofare

Come scegliere il notebook giusto? Ecco i nostri consigli!