Злоумышленники эксплуатируют три сравнительно свежие уязвимости в пакете MS Office в спам-кампаниях, направленных на телекоммуникационные фирмы, а также предприятия в страховом и финансовом секторе. В рамках атак злоумышленники распространяют вредоносное ПО Zyklon – полноценный бэкдор, способный записывать нажатия клавиш, собирать пароли, а также загружать и устанавливать дополнительные плагины для майнинга криптовалют и извлечения паролей.
Речь идет о трех уязвимостях: CVE-2017-8759 в .NET Framework, CVE-2017-11882 в редакторе формул Microsoft Equation, а также функции Dynamic Data Exchange (DDE). Первые две уязвимости были исправлены в сентябре и ноябре 2017 года. Хотя Microsoft не рассматривает Dynamic Data Exchange как уязвимость и настаивает на том, что DDE — это функция, в минувшем декабре компания все же выпустила обновление пакета MS Office, отключающее функционал в приложении Word, для предотвращения кибератак.
В рамках атак злоумышленники используют один и тот же домен для загрузки закодированного в Base64 скрипта PowerShell (Pause.ps1), отвечающего за резолвинг API, нужных для выполнения произвольного кода. Скрипт также загружает конечный вредоносный модуль, отмечают специалисты FireEye.
Помимо загрузки дополнительных плагинов, Zyklon может осуществлять DDoS-атаки и извлекать пароли из браузеров и ПО электронной почты. Вредонос использует сеть Tor для маскировки коммуникаций со своим управляющим сервером. Как пояснили эксперты, Zyklon содержит зашифрованный файл под названием tor. После расшифровки данный файл внедряется в InstallUtiil.exe и работает как анонимайзер Tor.

Источник: securitylab.ru