ESET varuje: Podvodníci zneužívají Microsoft OneNote pro šíření spywaru

Útočníci zkouší v Česku nový způsob šíření spywaru
Činí tak přes poznámkové soubory programu OneNote
Kromě toho zkouší i nové metody v obcházení zabezpečení

Společnost ESET, která se zabývá kybernetickou bezpečností, odhalila v únoru nebývale silný útok na české uživatele. Kromě klasického spywaru Agent Tesla byl odhalen také spyware Formbook a downloader Agent.PLI, jenž byl šířen prostřednictvím škodlivých skriptů v poznámkových souborech programu OneNote.

Agent Tesla jako nejrozšířenější spyware

Tento spyware se v únoru objevil zhruba v 15 % všech případů kybernetických útoků, přičemž aktivní byl hlavně ke konci měsíce. Nejrozšířenější emailová příloha se pak jmenovala „IMG_Evaluate_AWB_HBL & CHECKLIST Docs.exe“. Mimo výše zmíněný spyware se hojně vyskytoval také Spyware Formbook, který se objevil s přílohou „Booking Details!!.exe“.

Cílem těchto emailů se stali uživatelé, kteří v měsíci únoru objednávali dovolenou. Dalším, často se vyskytujícím typem, byl Agent.PLI, u kterého byl k vidění nový trend v útočných kampaních – zasílání poznámkových dokumentů programu OneNote se škodlivými skripty. Tento downloader se nejčastěji vyskytoval ve formě dokumentu se jménem „Invoice 575367.bat“.

Nejčastější kybernetické hrozby za únor 2023:

MSIL/Spy.AgentTesla trojan (15,14 %)
Win32/Formbook trojan (9,61 %)
BAT/Agent.PLI trojan (3,54 %)
Win32/PSW.Fareit trojan (1,96 %)
MSIL/Spy.Agent.AES trojan (1,95 %)
Win32/Shafmia trojan (1,43 %)
BAT/Runner trojan (1,22 %)
MSIL/Disdroth trojan (1,17 %)
MSIL/Spy.RedLine trojan (1,15 %)
Win32/Warzone trojan (1,01 %)

Čtěte také: Riot Games bojuje s hackery. Ukradli zdrojový kód League of Legends a požadují výkupné

Sdílené poznámky OneNote místo přílohy v e-mailu

Bezpečnostní specialisté upozorňují, že hackeři budou mít letos zájem přehodnotit současné strategie a investovat do nových typů útoků. I když útoky s poznámkami pro OneNote aktuálně slábnou, což naznačuje, že nebyly moc úspěšné, princip této strategie se může znovu objevit. Jedná se totiž o velmi jednoduchý útok.

Do poznámkového dokumentu s příponou .one bylo vloženo několik škodlivých .bat skriptů, jenž překrýval obrázek. Obrázek pak nabádal uživatele ke kliknutí a následnému otevření dokumentu, přičemž kliknutím na něj se spustil jeden ze škodlivých skriptů a začal do zařízení stahovat malware.

Osobní data v ohrožení

Tyto Infostealery aktuálně patří mezi nejhojněji se vyskytující útoky v Česku a útočníci je používají ke krádeži osobních dat uživatelů. Nejvíce zranitelná jsou pak hesla ukládaná přímo v prohlížeči, která nejsou před těmito útoky skoro vůbec chráněná. Bezpečnostní specialisté proto doporučují používat správce hesel – programy, které hesla ukládají v zašifrované podobě.