PDF-ul din arhiva protejată cu parolă nu era un PDF
Aproape tot anul acesta, metoda la modă de a pune un program rău intenționat pe un calculator cu Windows a fost să i se ceară victimei să o facă singură: copiază linia asta, apasă Windows+R, lipește, enter. Star Blizzard, un grup de stat rusesc pe care Microsoft îl urmărește de ani buni, a luat-o în direcția opusă. Noul său lanț, descris de Microsoft pe 29 septembrie sub numele RedFlick, are nevoie de un singur dublu clic.
Începe politicos. Un e-mail care arată ca o invitație, un răspuns de la tine și abia apoi atașamentul: o arhivă ZIP sau RAR protejată cu parolă, parola fiind trimisă ca imagine, ca să nu o poată citi scanerele. Înăuntru se află un fișier VHDX, adică un hard disk virtual. Windows montează astfel de fișiere la dublu clic și le arată ca o unitate nouă, iar pe acea unitate stă un fișier cu pictogramă de PDF. Este o scurtătură. Deschiderea ei rulează pe tăcute o comandă în timp ce pe ecran se deschide un PDF momeală adevărat, așa că nimic nu pare în neregulă. De acolo intră un instalator MSI, se creează trei activități programate care împart munca și rămân în afara privirii, iar la capătul lanțului stă o ușă din dos numită CosmicPulse.
Microsoft a numărat din ianuarie cel puțin 13 campanii de mare amploare care au lovit peste 100 de organizații, mai ales din Statele Unite și Regatul Unit, îndreptate către organizații neguvernamentale, institute de analiză, jurnaliști și oameni legați de sprijinul pentru Ucraina. Aproape sigur nu ești o țintă. Tehnica este lucrul important, pentru că astfel de metode coboară la infractorii obișnuiți în câteva luni, iar aceasta nu are niciun semn evident.
Două obiceiuri merită efortul. Pornește afișarea extensiilor de fișier în Explorer, la Vizualizare și apoi Afișare, ca o scurtătură deghizată în PDF să se citească drept .lnk. Și tratează o arhivă protejată cu parolă venită pe e-mail ca pe un avertisment, nu ca pe o amabilitate: parola există ca fișierul să treacă pe lângă antivirus. Dacă totuși ceva a rulat, verificarea de siguranță din Tendvane trece prin activitățile programate și prin intrările de pornire, adică exact locurile unde se parchează un astfel de lanț.