Sikkerhetsanalytikere har utstedt en hasteadvarsel om en aktiv løsepengevirus-kampanje som bruker makroaktiverte Excel-filer forkledd som fakturaer for å lure folk til å infisere sine egne enheter. Angrepet bygger på et kjent, men fortsatt effektivt triks: et dokument som ser ut som en rutinemessig forretningsfaktura, kombinert med en melding som ber mottakeren om å «aktivere innhold» slik at en skjult makro kan kjøres. Når den aktiveres, starter makroen et skript som laster ned og installerer løsepengevirus, noe som gir angriperne mulighet til å låse filer og kreve betaling.

Selv om teknikken i seg selv ikke er ny, viser det faktum at den fortsatt er aktiv og effektiv nok til å rettferdiggjøre en fersk advarsel hvor mye sosial manipulering fortsatt betyr i moderne cyberangrep. Tekniske forsvar har blitt dramatisk forbedret gjennom årene, men angripere lykkes fortsatt med å utnytte menneskelig dømmekraft i stedet for programvaresårbarheter.

Hvordan Excel-fakturasvindelen fungerer

Ifølge advarselen sentrerer kampanjen rundt makroaktiverte Excel-dokumenter, filer med .xlsm-endelsen som kan kjøre innebygde skript kalt makroer. Makroer ble opprinnelig designet for å automatisere repetitive oppgaver i regneark, men de har lenge blitt misbrukt som en leveringsmekanisme for skadevare fordi de kan utføre kode i det øyeblikket en bruker gir tillatelse.

I denne kampanjen er de ondsinnede regnearkene pyntet til å se ut som legitime fakturaer, et format som naturlig senker mottakerens årvåkenhet fordi det etterligner rutinemessig forretningskorrespondanse. Når filen åpnes, viser Excel vanligvis en sikkerhetsadvarsel og blokkerer makroer som standard. Angrepet lykkes bare hvis offeret manuelt overstyrer denne beskyttelsen, vanligvis fordi dokumentet inneholder en falsk melding som hevder at innholdet ikke kan leses med mindre makroer aktiveres.

Når denne barrieren er omgått, utløser den innebygde makroen et skript som kontakter en ekstern server, laster ned ytterligere ondsinnet kode og distribuerer løsepengevirus på offerets system. Derfra kan filer krypteres og holdes som gissel, noe som forstyrrer personlige data, forretningsdrift eller begge deler avhengig av hvem som er målet.

Hvorfor skriptbasert levering er vanskelig å oppdage

En grunn til at denne typen angrep vedvarer, er at skriptbasert levering kan slipped gjennom enkelte tradisjonelle oppdagelsesverktøy. I stedet for å bygge inn løsepengevirus-nyttelasten direkte i Excel-filen, bruker angriperne makroen som en utskytningsrampe som henter ondsinnet kode separat. Denne trinnvise tilnærmingen kan få det opprinnelige dokumentet til å virke mindre mistenkelig for automatiserte skanningsverktøy, siden den virkelig skadelige komponenten ikke er til stede før skriptet har kjørt.

Dette gjenspeiler en bredere trend der angripere bruker lagdelte eller forkledde metoder for å få ondsinnet kode forbi sikkerhetsprogramvare. I en separat sak dekket av vpn.social, brukte russiske hackere en falsk atommelding for å lure AI-skannere innebygd i et ondsinnet skript, nok et eksempel på trusselaktører som konstruerer nyttelastene sine spesifikt for å forvirre eller omgå automatiserte forsvar i stedet for å stole på brute-force-tekniske utnyttelser alene.

Hva dette betyr for deg

For hverdagsbrukere og små bedrifter er denne kampanjen en påminnelse om at løsepengevirus ikke alltid krever en sofistikert teknisk utnyttelse. Det krever ofte bare at én person klikker «aktiver innhold» på en fil som ser legitim ut. Fakturaer, kvitteringer og faktureringsdokumenter er spesielt effektive lokkemidler fordi de skaper en følelse av hastverk eller rutinemessig forpliktelse, noe som gjør at folk er mindre tilbøyelige til å stoppe opp og granske filen før de åpner den.

Hvis jobb- eller person-e-posten din regelmessig involverer fakturaer, innkjøpsordrer eller finansielle vedlegg, er denne kampanjen verdt å ta på alvor. Løsepengevirus distribuert gjennom en kompromittert enhet kan spre seg til delte stasjoner, sky-synkroniserte mapper og tilkoblede nettverk, noe som betyr at et enkelt uaktsomt klikk kan få konsekvenser langt utover én datamaskin.

Handlingsrettede råd

Håndter uventede fakturavedlegg med forsiktighet, spesielt fra ukjente avsendere eller ukjente e-postadresser som etterligner ekte leverandører. Aktiver aldri makroer i et Office-dokument med mindre du er sikker på kilden og har en spesifikk forretningsmessig grunn til det. Hold makroinnstillinger deaktivert som standard i Excel og andre Office-programmer, siden de fleste legitime dokumenter ikke krever dem. Oppretthold regelmessige, frakoblede sikkerhetskopier av viktige filer slik at løsepengevirus ikke kan holde dine eneste kopier som gissel. Hold endepunktsikkerhetsprogramvare og operativsystemer oppdatert, siden mange oppdagelsesverktøy kontinuerlig forbedres for å fange opp disse utviklende skriptbaserte leveringsmetodene.

Løsepengevirus-kampanjer som denne lykkes ved å utnytte tillit og rutine, ikke bare tekniske svakheter. Å være årvåken mot uventede vedlegg, verifisere avsendere før du åpner filer, og holde makroer deaktivert som standard, forblir noen av de enkleste og mest effektive forsvarene som er tilgjengelige for både enkeltpersoner og organisasjoner.