Cyberangreb7. juni
Sophos: Ransomware er hoppet fra Word-dokumenter til JavaScript-filer
Cyberkriminelle har ændret fremgangsmåde efter stærk sikkerhedsfokus på macro-malware i Office-dokumenter. Nu spredes ransomware gennem JavaScript-filer.
29. april 2016 kl. 14:36
Ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.
Indsatsen mod macro-malware gemt i Office-filer har nedbragt antallet af succesfulde ransomware ved at sende inficerede dokumenter i mails. Til gengæld bruger de cyberkriminelle i stigende grad JavaScripts i stedet, oplyser sikkerhedsfirmaet Sophos i en meddelelse.
JavaScript-filerne sendes i ZIP-arkiver, og udstyres som standard af Windows med et simpelt tekstfil-ikon, når de pakkes ud. De skadelige filer udstyres yderligere med en ekstra - og falsk - filendelse.
Det betyder, at når Windows som vanligt skjuler filendelsen, kan malwaren fremstå med en falsk fil-endelse som for eksempel .txt eller .pdf.
I en browser holdes uønsket malware typisk i skak af den såkaldte Same Origin Policy, som sørger for, at scriptet kun kan hente filer fra den hjemmeside, den kører fra.
Artiklen fortsætter efter annoncen
Den sikkerhedsfeature hjælper i sagens natur ikke, når scriptet i stedet kører direkte på computeren i Windows Script Host. Det betyder ifølge Sophos, at filen samtidig oprette forbindelse til en server, hente malware og installere det lokalt.
Når de skadelige filer ikke umiddelbart opfanges af sikkerhedsscans, er det fordi bagmændene bruger JavaScript-fiflerier til at skjule det domæne, den gerne vil hente ransomware fra. I et eksempel udnytter hackerne funktionen String.fromCharCode til at lave en kodet version af domænet, hvor hvert tal erstattes med prædefineret stykke tekst.
