Los archivos ODT pueden contener malware que se salta el antivirus
El nuevo método de ofuscación utiliza los archivos ODT para introducir las cargas. ODT, u OpenDocument, es un formato libre de archivos que usan las suites ofimáticas libres que emulan a Office, y el propio Office es compatible con estos formatos y puede abrirlos y editarlos. En el pasado, las vulnerabilidades a través de Office residían en utilizar macros dentro de archivos .docx, .zip o .jar, entre otros.
Sin embargo, los motores de los antivirus no gestionan de forma correcta los archivos ODT, ya que los ven como archivos normales y no los tratan como un documento de Office, por lo que algunas veces los pasan por alto. Con ello, un malware que sería detectado de ir dentro de un archivo .docx podría no ser detectado al ir dentro de un ODT.
El ataque descubierto por Cisco Talos se ha usado principalmente contra Office, ya que es la suite más usada. Para llevarlo a cabo, introducían un archivo Object Linking and Embedding (OLE), los cuales se usan para enlazar documentos para integrar datos entre aplicaciones. Ahí, el archivo ODT usaba el archivo OLE para ejecutar un script HTML Application (HTA), el cual descargaba una herramienta de control de forma remota (RAT) llamada NJRAT.
El usuario tiene que hacer doble click en el archivo y abrirlo
Para que el ataque funcione, es necesario que el usuario descargue el archivo, haga doble click en él, y le dé permiso al documento para abrirse, ya que al abrirlo aparecerá una alerta de que “este tipo de archivo puede ser inseguro”, y que “a no ser que estés totalmente seguro dela fuente y el contenido de este archivo, mejor pulsa el botón de Cancelar”.
Además de este método, también usaron otro parecido donde se incluía un elemento OLE dentro de un ODT para ejecutar el malware. El OLE escribía un archivo “Spotify.exe” al ordenador, aunque no era el programa real. Al final de proceso, se descargaba un malware de robo de datos llamado AZORult.
Junto con Office, el ataque también está diseñado para funcionar en OpenOffice y LibreOffice, donde se usa el equivalente de los macros de la suite de Microsoft. Al final, el resultado final era el mismo: descargar malware para obtener información del ordenador infectado. A pesar de ello, la mayoría de ataques iban destinados a Office, ya que es el software de ofimática más usado del mundo. Crear malware para software popular aumenta las probabilidades de éxito.
Fuente: Cisco Talos | adslzone
