Bilgisayar korsanları, Windows sistemlerini hedeflemek için silahlı excel dosyaları aracılığıyla formbook kötü amaçlı yazılımları dağıtım

Windows kullanıcılarını hedefleyen kritik bir kimlik avı kampanyası FortiGuard Labs tarafından ortaya çıkarıldı ve Microsoft Office’in eski sürümlerinde uzun süredir devam eden bir güvenlik açığından yararlanmak için kötü niyetli Excel eklerinden yararlandı.

Bu sofistike saldırı, oturum açma kimlik bilgileri, tuş vuruşları ve pano bilgileri gibi hassas verileri toplamak için tasarlanmış kötü şöhretli bir bilgi çalan kötü amaçlı yazılım olan Formbook dağıtır.

Kimlik avı kampanyası eski Microsoft Office’ten yararlanır

2025 Global Tehdit Peyzaj Raporunda ayrıntılı olarak açıklanan kampanya, alıcıları ekli Excel dosyasını açmaya çağırarak satış siparişleri olarak poz veren aldatıcı e -postalarla başlıyor.

– Reklamcılık –

Fortiguard Labs raporuna göre, FortiMail tarafından virüs içerdiği için işaretlenen bu e-postalar, 2007/2010/2013/2013/2013/2016’da, yamaların mevcut olduğu, ancak güncel sistemler veya iyileştirme zorlukları nedeniyle tutarsız bir şekilde uygulandığı sekiz yaşındaki bir mantık kırılganlığı olan bu e-postalar.

Saldırı, titizlikle düzenlenmiş çok aşamalı bir süreçle ortaya çıkıyor. Kötü niyetli Excel dosyasını savunmasız bir ofis ortamında açtıktan sonra, istismar, bir HTTP isteğini uzak bir sunucuya tetikler ve bir kötü amaçlı HTA (HTML uygulama) dosyasını yeniden yönlendirilmiş bir URL (//agr.my/p6bjnr) aracılığıyla alır.

Base64 kodlu içerik içeren bu dosya, yürütme için % AppData % dizinine ek yükler indirir.

Çok aşamalı saldırı, form kitabı yükü sunar

Daha fazla analiz, belirli bayt dizileri ile tanımlanan otomatik komut dosyaları kullanılarak derlenen biçimlendirilmemiş kaynak verileri içeren “sihost.exe” adlı bir dosyanın dağıtımını ortaya koymaktadır.

Bu dosya, analizden kaçmak için IsdebuggerPresent API gibi anti-tahrip taktiklerini kullanır, “komut dosyası” adı verilen bir kaynağı çözer ve % sıcaklık % dizinine “Springmaker” başka bir dosya olan “Springmaker” çıkarır.

“Springmaker” ı, “3NQXSHDTVT2DPK06” anahtarı ile bir XOR işlemi kullanarak kodladıktan sonra, temel yük form kitabı kötü amaçlı yazılımları serbest bırakarak kurbanların cihazlarının kontrolünü ele geçirerek ve hassas bilgileri çıkararak ciddi bir tehdit oluşturur.

Fortinet’in Fortiguard’ın Antispam, Web Filtreleme, IP’leri ve antivirüs hizmetleri de dahil olmak üzere koruyucu önlemleri, ilişkili URL’leri zaten kötü niyetli olarak işaretlemiştir ve “W32/formbook.aa! Tr” gibi “W32/formbook.aa! Tr” gibi imzalarla istismarları tespit etmişlerdir.

Bu kampanya, örgütsel ihmal veya yama işlemindeki teknik kısıtlamalar nedeniyle sömürülmeye devam eden CVE-2017-0199 gibi miras güvenlik açıklarının kalıcı tehlikesinin altını çizmektedir.

Windows kullanıcılarına yazılımlarını güncellemeleri, yamaları özenle uygulamaları ve istenmeyen e -posta eklerine karşı uyanık kalmaları şiddetle tavsiye edilir.

Daha derin içgörüler için Fortinet, NSE 1 kimlik avı bilinci konusunda eğitimi gibi kaynaklar sunar ve bir ihlalden şüphelenilirse küresel FortiGuard olay müdahale ekibiyle iletişim kurmayı teşvik eder.

Uzlaşma Göstergeleri (IOCS)

Siber güvenlik becerilerinizi yükseltmek için 150’den fazla pratik siber güvenlik kursuyla elmas üyeliği alın – buraya kaydolun