Analitycy bezpieczeństwa wydali pilny komunikat o aktywnej kampanii ransomware, która wykorzystuje pliki Excel z obsługą makr, przebrane za faktury, aby nakłonić ludzi do zainfekowania własnych urządzeń. Atak opiera się na znanym, ale wciąż skutecznym triku: dokumencie, który wygląda jak rutynowa faktura biznesowa, w połączeniu z komunikatem zachęcającym odbiorcę do „włączenia zawartości", aby ukryte makro mogło zostać uruchomione. Po aktywacji makro uruchamia skrypt, który pobiera i instaluje ransomware, dając atakującym możliwość zablokowania plików i żądania okupu.

Choć sama technika nie jest nowa, fakt, że pozostaje aktywna i wystarczająco skuteczna, by uzasadnić nowy komunikat ostrzegawczy, pokazuje, jak duże znaczenie w nowoczesnych cyberatakach wciąż ma inżynieria społeczna. Zabezpieczenia techniczne znacznie się z biegiem lat poprawiły, ale atakujący wciąż odnoszą sukcesy, celując w ludzki osąd zamiast w luki w oprogramowaniu.

Jak działa oszustwo z fakturą w Excelu

Według komunikatu kampania koncentruje się na dokumentach Excel z obsługą makr — plikach z rozszerzeniem .xlsm, które mogą uruchamiać osadzone skrypty zwane makrami. Makra zostały pierwotnie zaprojektowane do automatyzacji powtarzalnych zadań w arkuszach kalkulacyjnych, ale od dawna są nadużywane jako mechanizm dostarczania złośliwego oprogramowania, ponieważ mogą wykonywać kod w momencie, gdy użytkownik udzieli uprawnień.

W tej kampanii złośliwe arkusze kalkulacyjne są przygotowane tak, aby wyglądały jak legalne faktury — format, który naturalnie obniża czujność odbiorcy, ponieważ naśladuje rutynową korespondencję biznesową. Po otwarciu pliku Excel zazwyczaj wyświetla ostrzeżenie bezpieczeństwa i domyślnie blokuje makra. Atak udaje się tylko wtedy, gdy ofiara ręcznie obejdzie tę ochronę, zwykle dlatego, że dokument zawiera fałszywe powiadomienie twierdzące, że zawartość jest nieczytelna, dopóki makra nie zostaną włączone.

Gdy ta bariera zostanie ominięta, osadzone makro uruchamia skrypt, który łączy się z zewnętrznym serwerem, pobiera dodatkowy złośliwy kod i wdraża ransomware do systemu ofiary. Następnie pliki mogą zostać zaszyfrowane i przetrzymywane dla okupu, zakłócając dane osobowe, operacje biznesowe lub jedno i drugie, w zależności od tego, kto jest celem.

Dlaczego dostarczanie oparte na skryptach jest trudne do wykrycia

Jednym z powodów, dla których ten typ ataku pozostaje trwały, jest to, że dostarczanie oparte na skryptach może wymknąć się niektórym tradycyjnym narzędziom wykrywania. Zamiast osadzać ładunek ransomware bezpośrednio w pliku Excel, atakujący wykorzystują makro jako platformę startową, która pobiera złośliwy kod osobno. To etapowe podejście może sprawić, że początkowy dokument wyda się mniej podejrzany dla zautomatyzowanych narzędzi skanujących, ponieważ naprawdę szkodliwy komponent nie jest obecny, dopóki skrypt się nie uruchomi.

Odbija to szerszy trend, w którym atakujący stosują warstwowe lub zakamuflowane metody, aby przemycić złośliwy kod obok oprogramowania zabezpieczającego. W osobnym przypadku opisanym przez vpn.social, rosyjscy hakerzy użyli fałszywego promptu nuklearnego, aby oszukać skanery AI osadzonego w złośliwym skrypcie — kolejny przykład aktorów zagrożeń, którzy projektują swoje ładunki specjalnie po to, by zdezorientować lub ominąć zautomatyzowane zabezpieczenia, zamiast polegać wyłącznie na brutalnych exploitach technicznych.

Co to oznacza dla Ciebie

Dla zwykłych użytkowników i małych firm ta kampania jest przypomnieniem, że ransomware nie zawsze wymaga wyrafinowanego exploitu technicznego. Często wystarczy, że jedna osoba kliknie „włącz zawartość" w pliku, który wygląda na legalny. Faktury, paragony i dokumenty rozliczeniowe są szczególnie skutecznymi wabikami, ponieważ tworzą poczucie pilności lub rutynowego obowiązku, sprawiając, że ludzie rzadziej zatrzymują się i analizują plik przed jego otwarciem.

Jeśli Twoja służbowa lub prywatna poczta e-mail regularnie zawiera faktury, zamówienia lub załączniki finansowe, ta kampania jest warta poważnego potraktowania. Ransomware wdrożony przez zainfekowane urządzenie może rozprzestrzenić się na dyski współdzielone, foldery synchronizowane z chmurą i połączone sieci, co oznacza, że jedno nieostrożne kliknięcie może mieć konsekwencje daleko wykraczające poza jeden komputer.

Praktyczne wnioski

Traktuj nieoczekiwane załączniki z fakturami z ostrożnością, szczególnie od nieznanych nadawców lub nieznanych adresów e-mail naśladujących prawdziwych dostawców. Nigdy nie włączaj makr w dokumencie Office, chyba że jesteś pewien jego źródła i masz konkretny powód biznesowy, aby to zrobić. Utrzymuj ustawienia makr wyłączone domyślnie w Excelu i innych aplikacjach Office, ponieważ większość legalnych dokumentów ich nie wymaga. Prowadź regularne kopie zapasowe ważnych plików w trybie offline, aby ransomware nie mógł przetrzymywać Twoich jedynych kopii jako zakładników. Utrzymuj oprogramowanie zabezpieczające punkty końcowe i systemy operacyjne w aktualnym stanie, ponieważ wiele narzędzi wykrywających jest stale udoskonalanych, aby wychwytywać te ewoluujące metody dostarczania oparte na skryptach.

Kampanie ransomware takie jak ta odnoszą sukces, wykorzystując zaufanie i rutynę, a nie tylko słabości techniczne. Zachowanie czujności wobec nieoczekiwanych załączników, weryfikowanie nadawców przed otwarciem plików i utrzymywanie makr domyślnie wyłączonych pozostają jednymi z najprostszych i najskuteczniejszych zabezpieczeń dostępnych zarówno dla osób prywatnych, jak i organizacji.