Malicious File

Outre les collecteurs d'informations d'identification, les e-mails qui convainquent les cibles d'ouvrir des fichiers malveillants constituent les catégories d'e-mails de phishing les plus courantes. Cette leçon explique comment des acteurs malveillants peuvent amener les destinataires à ouvrir des fichiers malveillants, et ce que cela peut inclure. Il existe deux méthodes principales pour diffuser un logiciel malveillant par hameçonnage, sous forme de pièce jointe ou sous forme de lien hypertexte redirigeant la cible vers un serveur Web hébergeant un logiciel malveillant pouvant être téléchargé.

Pièces jointes malveillantes

Ce n'est pas aussi simple que d'envoyer du spam à des adresses e-mail aléatoires avec votre dernier fichier .exe malveillant. Non seulement la plupart des fournisseurs de messagerie interdisent l'envoi de pièces jointes contenant certains types de fichiers, mais ils peuvent également effectuer des analyses de base des pièces jointes afin d'identifier les logiciels malveillants et de vous empêcher de les envoyer. Si vous receviez un e-mail d'une adresse aléatoire contenant un fichier .vbs, l'ouvririezvous ? Il est fort probable que vous ne manipuliez pas les fichiers .vbs, et comme c'est inattendu, vous devriez immédiatement faire preuve de prudence.

Mais que se passerait-il si quelqu'un vous envoyait un document Microsoft Office, tel qu'un document Word ou Excel ? Ces fichiers sont utilisés quotidiennement au sein des organisations, et leur réception serait moins suspecte au premier abord. Ces fichiers ne peuvent pas être des logiciels malveillants, n'est-ce pas ? Ils le peuvent, en quelque sorte.

Macros pour Microsoft Office

Les documents MS Office tels que Word et Excel offrent la possibilité d'inclure des macros. Il s'agit d'une série de commandes et d'instructions qui peuvent être exécutées automatiquement une fois activées. Les malwares de type macro étaient assez courants il y a quelques années car les macros s'exécutaient automatiquement à l'ouverture d'un document. Toutefois, dans les versions récentes de Microsoft Office, les macros sont désactivées par défaut. Cela signifie que les auteurs de programmes malveillants doivent convaincre les utilisateurs d'activer les macros pour que leur programme malveillant puisse s'exécuter. Pour ce faire, ils affichent de faux avertissements lorsqu'un document malveillant est ouvert.

La capture d'écran ci-dessus montre un exemple de document Microsoft Word malveillant. En haut se trouve le ruban légitime, dans lequel les utilisateurs peuvent cliquer sur « Activer le contenu » pour déverrouiller le document, permettant ainsi aux macros de s'exécuter automatiquement. Tout ce qui se trouve sous ce ruban est faux et a été créé par l'acteur malveillant, y compris le second ruban intitulé « SOMETHING WRONG ». L'attaque tente de convaincre le destinataire que ce document est une ancienne version et qu'il doit le convertir vers la dernière version pour fonctionner correctement.

Une fois exécutées, ces macros peuvent se connecter à des domaines sur Internet et télécharger des malwares directement sur le système. Cela peut aller des virus aux chevaux de Troie, des ransomwares aux rootkits.

Il est essentiel que des mesures défensives appropriées soient prises et que les utilisateurs soient formés pour détecter les e-mails suspects et y répondre. Microsoft a publié quelques suggestions intéressantes pour vous protéger contre les macromalwares :

• Assurez-vous que les macros sont désactivées dans vos applications Microsoft Office. Dans les entreprises, les administrateurs informatiques définissent le paramètre par défaut pour les macros : activer ou désactiver les macros dans les documents Office
• N'ouvrez pas de courriels ou de pièces jointes suspects.
• Supprimez tous les e-mails provenant de personnes inconnues ou dont le contenu est suspect. Les spams sont le principal moyen de propagation des macromalwares.
• Les entreprises peuvent empêcher les macromalwares d'exécuter du contenu exécutable à l'aide de règles ASR.

Malware hébergé

L'autre méthode principale de diffusion des malwares consiste à les héberger sur des sites Web et à convaincre les utilisateurs de cliquer sur un lien hypertexte, de télécharger un fichier, puis de l'exécuter. Il est très similaire aux macromalwares, mais les utilisateurs doivent accéder manuellement au logiciel malveillant et le télécharger eux-mêmes.

Domaines malveillants

Les domaines peuvent être créés par n'importe qui en quelques minutes, et pour un prix aussi bas que le prix d'un café. Il n'est donc pas surprenant que SC Magazine ait annoncé en août 2019 que 200 000 nouveaux domaines étaient enregistrés chaque jour, et que « 70 % d'entre eux sont malveillants ou suspects et utilisés pour un large éventail d'activités néfastes ». Cela représente 140 000 domaines malveillants par jour. Il suffit ensuite à l'attaquant d'héberger un fichier malveillant sur une URL et de l'inclure dans des e-mails de phishing.

Domaines compromis

Des sites légitimes peuvent être compromis par des attaquants, puis utilisés pour héberger des logiciels malveillants. Souvent, le site légitime reste complètement intact, de sorte que le propriétaire du site et les visiteurs ne se rendent pas compte que leur site a été piraté et qu'il est utilisé à des fins malveillantes. Un lien hypertexte vers l'URL malveillante hébergeant le logiciel malveillant est ensuite diffusé dans les e-mails de phishing.