Detectada una nueva técnica muy fácil de utilizar para la distribución de malware a través de archivos RTF

Una nueva técnica de phishing ha sido detectada por los investigadores de Proofpoint. Se trata de una técnica muy sencilla y que consiste en la inyección de plantillas RTF, aprovechando la funcionalidad que ofrece estas plantillas para modificar las propiedades de formato del documento. De esta forma, se permitiría el acceso a una URL en lugar de a un archivo a través de la función de palabras de control de las plantillas RTF. De esta forma, el atacante podrá reemplazar el destino legítimo del archivo por una URL desde la cual lanzar su ataque.

La novedad de esta técnica hace que hasta el momento la tasa de detección de archivos infectados por parte de los antivirus sea más baja que las de campañas de phishing que utilizan otras técnicas, como la de inyección de plantillas en Office. Esta, junto con la sencillez de su implementación, podrían ser las razones de su reciente aumento. El uso de documentos RTF para distribuir malware ya se había documentado con anterioridad, pero nunca mediante una técnica tan simple y eficaz.

Cómo funciona la amenaza

La inyección de plantillas RTF es una técnica simple. El archivo RTF que se utiliza para engañar al usuario final puede alterarse para que acceda automáticamente al contenido alojado en una URL externa. Alterando la palabra de control de formato del documento, los ciberdelincuentes pueden convertir un archivo RTF en un arma para descargar contenido desde una URL, en lugar de hacer que el documento cargue una plantilla desde un archivo.

Este método es viable tanto en los archivos ‘.rtf’ como en los ‘.doc.rtf’, permitiendo la recuperación exitosa de cargas útiles remotas alojadas en una URL externa. En el caso de los archivos ‘.doc.rtf’, la extensión especifica que el archivo RTF se abrirá utilizando Microsoft Word. Como resultado, cuando se utiliza Microsoft Word para abrir un archivo RTF con una plantilla inyectada, la aplicación recuperará el recurso de la URL especificada antes de mostrar el contenido del archivo. Esta técnica tiene éxito incluso aunque la URL insertada no se un archivo de plantilla de documento válido.

Qué se puede esperar

El mínimo esfuerzo necesario para convertir en armas los archivos adjuntos RTF antes de desplegarlos en campañas de phishing activas hace prever que su adopción como vector de ataque se acelere poco a poco.

El equipo de investigadores de Proofpoint prevé que la viabilidad de los documentos de plantilla remota basados en XML Office ha demostrado que este tipo de mecanismo de entrega es un método duradero y eficaz cuando se combina con el phishing como vector de entrega inicial. La innovación por parte de los actores de amenazas para llevar este método a un nuevo tipo de archivo en RTF representa una superficie de amenaza en expansión para las organizaciones de todo el mundo.

Si bien este método es utilizado actualmente por un número limitado de actores de amenazas avanzadas persistentes, la eficacia de la técnica combinada con su facilidad de uso es probable que impulse su adopción en el panorama de las amenazas. No en vano, se trata de una técnica preparada para una adopción más amplia en el panorama de las amenazas, más allá de los ataques de phishing, siendo los actores de crimeware los que probablemente la adopten en mayor medida.