Consiguen saltarse el antivirus a través de Office y archivos de Word.

‌‌‌
La ofuscación es uno de los métodos más comunes que usan los atacantes para introducir malware en nuestros dispositivos, ya que se consiguen saltar los métodos de detección para luego ejecutarse y ya ejecutar cargas más pesadas o descargar elementos de manera remota en el ordenador. Ahora, un nuevo fallo descubierto puede saltarse el mejor antivirus e infectar nuestro PC.

Los archivos ODT pueden contener malware que se salta el antivirus

El nuevo método de ofuscación utiliza los archivos ODT para introducir las cargas. ODT, u OpenDocument, es un formato libre de archivos que usan las suites ofimáticas libres que emulan a Office, y el propio Office es compatible con estos formatos y puede abrirlos y editarlos. En el pasado, las vulnerabilidades a través de Office residían en utilizar macros dentro de archivos .docx, .zip o .jar, entre otros.

microsoft office

Sin embargo, los motores de los antivirus no gestionan de forma correcta los archivos ODT, ya que los ven como archivos normales y no los tratan como un documento de Office, por lo que algunas veces los pasan por alto. Con ello, un malware que sería detectado de ir dentro de un archivo .docx podría no ser detectado al ir dentro de un ODT.

El ataque descubierto por Cisco Talos se ha usado principalmente contra Office, ya que es la suite más usada. Para llevarlo a cabo, introducían un archivo Object Linking and Embedding (OLE), los cuales se usan para enlazar documentos para integrar datos entre aplicaciones. Ahí, el archivo ODT usaba el archivo OLE para ejecutar un script HTML Application (HTA), el cual descargaba una herramienta de control de forma remota (RAT) llamada NJRAT.

El usuario tiene que hacer doble click en el archivo y abrirlo
Para que el ataque funcione, es necesario que el usuario descargue el archivo, haga doble click en él, y le dé permiso al documento para abrirse, ya que al abrirlo aparecerá una alerta de que “este tipo de archivo puede ser inseguro”, y que “a no ser que estés totalmente seguro dela fuente y el contenido de este archivo, mejor pulsa el botón de Cancelar”.

Además de este método, también usaron otro parecido donde se incluía un elemento OLE dentro de un ODT para ejecutar el malware. El OLE escribía un archivo “Spotify.exe” al ordenador, aunque no era el programa real. Al final de proceso, se descargaba un malware de robo de datos llamado AZORult.

Ver información original al respecto en Fuente>