นักวิจัยจากศูนย์ป้องกันมัลแวร์ของ Microsoft เป็นคำเตือนผู้ใช้เกี่ยวกับกลโกงใหม่ที่มีความเสี่ยงสูงซึ่งแฮ็กเกอร์ใช้เพื่อเปิดใช้งานโปรแกรม ransomware มาโครมุ่งร้ายมุ่งเป้าไปที่แอป Office และเป็นไฟล์ Word ที่มีโมดูล VBA เจ็ดรายการที่ซ่อนเร้นและรูปแบบผู้ใช้ VBA

เมื่อนักวิจัยตรวจสอบมาโครที่เป็นอันตรายครั้งแรกพวกเขาไม่สามารถตรวจพบได้เนื่องจากโมดูล VBA ดูเหมือนโปรแกรม SQL ที่ถูกต้องซึ่งขับเคลื่อนโดยมาโคร หลังจากดูครั้งที่สองพวกเขารู้ว่าแมโครเป็นรหัสที่เป็นอันตรายซึ่งรวมสตริงที่เข้ารหัสไว้

อย่างไรก็ตามไม่มีข้อมูลประจำตัวที่ชัดเจนว่าไฟล์นี้เป็นอันตรายจริง ๆ เป็นไฟล์ Word ที่มีโมดูล VBA เจ็ดรายการและแบบฟอร์มผู้ใช้ VBA พร้อมปุ่มไม่กี่ปุ่ม (ใช้องค์ประกอบ CommandButton) อย่างไรก็ตามหลังจากการตรวจสอบเพิ่มเติมเราสังเกตเห็นสตริงแปลก ๆ ในฟิลด์ คำอธิบายภาพ สำหรับ CommandButton3 ในแบบฟอร์มผู้ใช้

เรากลับไปและตรวจสอบโมดูลอื่น ๆ ในไฟล์และแน่นอน - มีบางอย่างผิดปกติเกิดขึ้นใน Module2 แมโครที่มี (UsariosConectados) ถอดรหัสสตริงในฟิลด์ คำอธิบายภาพ สำหรับ CommandButton3 ซึ่งกลายเป็น URL มันใช้แมโคร deault autoopen () เพื่อเรียกใช้โครงการ VBA ทั้งหมดเมื่อเปิดเอกสาร

แมโครเชื่อมต่อกับ URL (hxxp: //clickcomunicacion.es/ ) เพื่อดาวน์โหลดข้อมูลที่ตรวจพบว่าเป็น Ransom: Win32 / Locky (SHA1: b91daa9b78720acb2f008048f5844d8f1649a5c4) มันเปิดใช้งานเมื่อผู้ใช้เปิดใช้งานแมโครในไฟล์ Office

วิธีเดียวที่จะหลีกเลี่ยงการทำให้คอมพิวเตอร์ของคุณติดไวรัสผ่านทางมัลแวร์ที่ใช้การกำหนดเป้าหมายจากมาโครคือการเปิดใช้งานมาโครเฉพาะเมื่อคุณเขียนด้วยตนเองหรือคุณเชื่อมั่นในบุคคลที่เขียนไว้ คุณยังสามารถติดตั้งเครื่องมือ AntiRansomware ของ BitDefender ซึ่งเป็นเครื่องมือสแตนด์อโลนที่ไม่ต้องติดตั้งความปลอดภัยของ Bitdefender ซึ่งแตกต่างจากเครื่องมือความปลอดภัยฟรีอื่น ๆ BDAntiRansomware จะไม่รบกวนโฆษณาของคุณ

หากคุณเคยเป็นเป้าหมายของการโจมตี ransomware คุณสามารถใช้เครื่องมือนี้ ID Ransomware เพื่อระบุ ransomware ที่เข้ารหัสข้อมูลของคุณ สิ่งที่คุณต้องทำคืออัพโหลดไฟล์ที่ถูกรบกวนหรือข้อความที่มัลแวร์แสดงขึ้นบนหน้าจอของคุณ ID Ransomware สามารถตรวจจับแรนซัมแวร์ 55 ประเภทในปัจจุบัน แต่ไม่มีบริการกู้คืนไฟล์ใด ๆ