Разработчики Microsoft собираются добавить дополнительную защиту для файлов надстроек Excel (.XLL) для Microsoft 365. Новые меры будут включать автоматическую блокировку таких файлов, загруженных из интернета.
Совсем недавно исследователи предупреждали, что после того как Microsoft начала блокировать макросы VBA в загруженных из интернета документах Office (с отметкой Mark Of The Web), злоумышленникам пришлось пересматривать свои цепочки атак. Теперь хакеры все чаще используют файлы XLL в фишинговых кампаниях, маскируя их под важные документы, рекламные акции и так далее.
Хотя разработавшая недавно блокировка макросов VBA распространяется только на новейшие версии Access, Excel, PowerPoint, Visio и Word, злоумышленники уже начали экспериментировать с альтернативными путями заражения и развертывания малвари. Как сообщали исследователи Cisco Talos, одним из таких «новшеств» стало использование файлов XLL, которые Microsoft описывает как «вид файлов DLL», которые используются для расширения функциональных возможностей Microsoft Excel.
Так как файлы XLL являются исполняемыми, злоумышленники могут использовать их для запуска вредоносного кода. Еще в прошлом году эксперты предупреждали, что файлами XLL уже во всю злоупотребляют китайские хак-группы APT10 и TA410 (причем они начали еще в 2017 году); русскоязычная группировка FIN7, которая начала использовать файлы надстроек в своих кампаниях минувшим летом; известный загрузчик малвари Dridex и загрузчик FormBook; а также другие крупные семейства вредоносов, включая AgentTesla, Ransomware Stop, Vidar, Buer Loader, Nanocore, IceID, Arkei, AsyncRat, BazarLoader и так далее.
«Ради борьбы с растущим количеством атак вредоносных программ в последние месяцы мы примем меры, которые будут блокировать надстройки XLL, поступающие из интернета», — сообщают теперь разработчики Microsoft.
В компании заявили, что новая функциональность станет общедоступна по всему миру в марте 2023 года и заработает для пользователей в каналах Current, Monthly Enterprise и Semi-Annual Enterprise.
