Forskere fra Microsofts Malware Protection Center advarer brugere om et potentielt højrisiko-nyt makrotrik, der bruges af hackere til at aktivere ransomware-programmer. Den ondsindede makro er målrettet mod Office-apps, og det er en Word-fil, der indeholder syv meget dygtige skjulte VBA-moduler og en VBA-brugerformular.

Når forskerne først kontrollerede den ondsindede makro, kunne de ikke registrere den, da VBA-modulerne lignede legitime SQL-programmer, der er drevet af en makro. Efter et andet blik opdagede de, at makroen faktisk var en ondsindet kode, der indeholder en krypteret streng.

Der var dog ikke en øjeblikkelig, åbenlys identifikation af, at denne fil faktisk var ondsindet. Det er en Word-fil, der indeholder syv VBA-moduler og en VBA-brugerformular med et par knapper (ved hjælp af CommandButton- elementerne). Efter yderligere undersøgelse bemærkede vi imidlertid en mærkelig streng i billedtekstfeltet til CommandButton3 i brugerformularen.

Vi gik tilbage og gennemgik de andre moduler i filen, og sikker nok - der er noget usædvanligt, der foregår i Module2. En makro der (UsariosConectados) dekrypterer strengen i billedtekstfeltet til CommandButton3, hvilket viser sig at være en URL. Den bruger makro deault autoopen () til at køre hele VBA-projektet, når dokumentet åbnes.

Makroen opretter forbindelse til URL'en (hxxp: //clickcomunicacion.es/ ) for at downloade en nyttelast, der er registreret som Ransom: Win32 / Locky (SHA1: b91daa9b78720acb2f008048f5844d8f1649a5c4). Det aktiveres, når brugere aktiverer makroer i Office-filer.

Den eneste måde at undgå at få din computer inficeret med vira via Office-målretning af makrobaseret malware er kun at aktivere makroer, hvis du skrev dem selv, eller du helt har tillid til den person, der skrev dem. Du kan også installere BitDefenders AntiRansomware-værktøj, et selvstændigt værktøj, der ikke kræver, at Bitdefender-sikkerhed er installeret. I modsætning til andre gratis sikkerhedsværktøjer, plager BDAntiRansomware dig ikke med annoncer.

Hvis du nogensinde bliver målet for et ransomware-angreb, kan du bruge dette værktøj, ID Ransomware til at identificere ransomware, der krypterede dine data. Alt hvad du skal gøre er at uploade en inficeret fil eller den besked, malware vises på din skærm. ID Ransomware kan i øjeblikket registrere 55 typer ransomware, men tilbyder ingen filgendannelsestjenester.