PDF w archiwum chronionym hasłem nie był plikiem PDF

Przez większość tego roku modnym sposobem na wprowadzenie złośliwego programu na peceta było poproszenie o to samej ofiary: skopiuj tę linijkę, wciśnij Windows+R, wklej, enter. Star Blizzard, rosyjska grupa państwowa, którą Microsoft śledzi od lat, poszła w drugą stronę. Jej nowy łańcuch, opisany przez Microsoft 29 września pod nazwą RedFlick, wymaga jednego podwójnego kliknięcia.

Zaczyna się uprzejmie. E-mail wyglądający jak zaproszenie, odpowiedź z waszej strony i dopiero potem załącznik: archiwum ZIP lub RAR chronione hasłem, przy czym hasło przychodzi jako obrazek, żeby skanery nie mogły go odczytać. W środku jest plik VHDX, czyli wirtualny dysk twardy. Windows podłącza takie pliki po podwójnym kliknięciu i pokazuje je jako nowy napęd, a na tym napędzie leży plik z ikoną PDF. To skrót. Otwarcie go po cichu uruchamia polecenie, podczas gdy na ekranie otwiera się prawdziwy PDF przynęta, więc nic nie wygląda podejrzanie. Dalej wchodzi instalator MSI, powstają trzy zadania zaplanowane, które dzielą pracę i trzymają się poza zasięgiem wzroku, a na końcu łańcucha stoi tylna furtka o nazwie CosmicPulse.

Microsoft naliczył od stycznia co najmniej 13 zakrojonych na szeroką skalę kampanii, które dotknęły ponad 100 organizacji, głównie w Stanach Zjednoczonych i Wielkiej Brytanii, wymierzonych w organizacje pozarządowe, ośrodki analityczne, dziennikarzy i osoby związane ze wsparciem dla Ukrainy. Prawie na pewno nie jesteście celem. Chodzi o technikę, bo takie rzeczy w ciągu kilku miesięcy schodzą do zwykłych przestępców, a ta nie ma żadnego oczywistego sygnału ostrzegawczego.

Dwa nawyki są warte wysiłku. Włączcie wyświetlanie rozszerzeń plików w Eksploratorze, w menu Widok, a potem Pokaż, żeby skrót udający PDF czytał się jako .lnk. I traktujcie archiwum chronione hasłem przysłane mailem jako ostrzeżenie, a nie uprzejmość: hasło istnieje po to, żeby plik przeszedł obok skanera. Jeśli coś jednak się uruchomiło, kontrola bezpieczeństwa w Tendvane przegląda zadania zaplanowane i wpisy autostartu, czyli dokładnie te miejsca, w których taki łańcuch się parkuje.