Detecção de pontos cegos: formatos de arquivo fora do padrão em campanhas de e-mail maliciosas

Imagens de disco, arquivos atípicos do Office, gráficos vetoriais, arquivos poliglotas e outras técnicas para iniciar malware de forma oculta, conforme observado em ciberataques reais. Analisamos formatos de arquivo menos conhecidos para alguns usuários, que nem sempre são verificados por soluções de segurança, mas podem representar ameaças cibernéticas.

Uma imagem de disco pode conter um conjunto de arquivos totalmente preparado e corretamente estruturado, adaptado a uma ampla variedade de cenários de ataque. Os threat actors também usam VHD , um formato de disco virtual nativo do Windows que também funciona em máquinas Linux (via qemu-nbd ou guestmount).

Além disso, como não são reconhecidos como formatos perigosos, imagens de disco oferecem aos invasores outra vantagem: arquivos extraídos delas no Windows geralmente carecem do sinalizador Mark of the Web, e podem ser iniciados sem nenhum alerta adicional do sistema. A Microsoft bloqueou completamente as macros em documentos baixados , exigindo um esforço considerável do usuário para ativá-las, e ativá-las requer um esforço considerável do usuário.