Исследователи из Microsoft Malware Protection Center предупреждают пользователей о потенциально опасном новом макро-трюке, используемом хакерами для активации программ-вымогателей. Вредоносный макрос предназначен для приложений Office и представляет собой файл Word, который содержит семь очень искусно скрытых модулей VBA и пользовательскую форму VBA.

Когда исследователи впервые проверили вредоносный макрос, они не смогли его обнаружить, поскольку модули VBA выглядели как законные программы SQL, работающие на макросе. После второго просмотра они поняли, что макрос на самом деле представляет собой вредоносный код, включающий зашифрованную строку.

Тем не менее, не было немедленной, очевидной идентификации того, что этот файл действительно был вредоносным. Это файл Word, который содержит семь модулей VBA и пользовательскую форму VBA с несколькими кнопками (с использованием элементов CommandButton). Однако после дальнейшего исследования мы заметили странную строку в поле Caption для CommandButton3 в пользовательской форме.

Мы вернулись и рассмотрели другие модули в файле, и, конечно же, в Module2 происходит нечто необычное. Макрос там (UsariosConectados) расшифровывает строку в поле Caption для CommandButton3, которая оказывается URL-адресом. Он использует макрос deault autoopen () для запуска всего проекта VBA при открытии документа.

Макрос подключается к URL (hxxp: //clickcomunicacion.es/ ) для загрузки полезных данных, определенных как Ransom: Win32 / Locky (SHA1: b91daa9b78720acb2f008048f5844d8f1649a5c4). Он активируется, когда пользователи включают макросы в файлах Office.

Единственный способ избежать заражения вашего компьютера вирусами с помощью вредоносных программ на основе макросов Office - это включать макросы только в том случае, если вы написали их самостоятельно или полностью доверяете тому, кто их написал. Вы также можете установить инструмент BitRefender AntiRansomware, автономный инструмент, для которого не требуется установка безопасности Bitdefender. В отличие от других бесплатных инструментов безопасности, BDAntiRansomware не приставает к вам с рекламой.

Если вы когда-нибудь станете объектом атаки вымогателей, вы можете использовать этот инструмент, ID Ransomware, чтобы идентифицировать вымогателей, которые зашифровали ваши данные. Все, что вам нужно сделать, это загрузить зараженный файл или сообщение, которое вредоносная программа отображает на вашем экране. ID Ransomware в настоящее время может обнаружить 55 типов вымогателей, но не предлагает никаких услуг по восстановлению файлов.