Los investigadores de Proofpoint han alertado sobre la adopción de nueva técnica de phishing, muy sencilla de poner en práctica, por parte de determinados grupos de ciberdelincuentes.
Esta técnica, denominada inyección de plantillas RTF, aprovecha la funcionalidad legítima de las plantillas RTF para modificar las propiedades de formato del documento de texto plano de un archivo RTF y permitir el acceso a una URL en lugar de a un archivo a través de la función de palabra de control de las plantillas RTF. Esto permite a los ciberdelincuentes reemplazar el destino legítimo del archivo por una URL desde la que se puede descargar en remoto una carga útil.
La novedad de esta técnica hace que hasta el momento la tasa de detección de archivos infectados por parte de los antivirus sea más baja que las de campañas de phishing que utilizan otras técnicas, como la de inyección de plantillas en Office. Esta, junto con la sencillez de su implementación, podrían ser las razones de su reciente aumento. El uso de documentos RTF para distribuir malware ya se había documentado con anterioridad, pero nunca mediante una técnica tan simple y eficaz.
La inyección de plantillas RTF es una técnica simple. El archivo RTF que se utiliza para engañar al usuario final puede alterarse para que acceda automáticamente al contenido alojado en una URL externa. Alterando la palabra de control de formato del documento, los ciberdelincuentes pueden convertir un archivo RTF en un arma para descargar contenido desde una URL, en lugar de hacer que el documento cargue una plantilla desde un archivo.
Este método es viable tanto en los archivos ‘.rtf’ como en los ‘.doc.rtf’, permitiendo la recuperación exitosa de cargas útiles remotas alojadas en una URL externa. En el caso de los archivos ‘.doc.rtf’, la extensión especifica que el archivo RTF se abrirá utilizando Microsoft Word. Como resultado, cuando se utiliza Microsoft Word para abrir un archivo RTF con una plantilla inyectada, la aplicación recuperará el recurso de la URL especificada antes de mostrar el contenido del archivo. Esta técnica tiene éxito incluso aunque la URL insertada no sea un archivo de plantilla de documento válido.
El mínimo esfuerzo necesario para convertir en armas los archivos adjuntos RTF antes de desplegarlos en campañas de phishing activas hace prever que su adopción como vector de ataque se acelere poco a poco.
El equipo de investigadores de Proofpoint prevé que la viabilidad de los documentos de plantilla remota basados en XML Office ha demostrado que este tipo de mecanismo de entrega es un método duradero y eficaz cuando se combina con el phishing como vector de entrega inicial. La innovación por parte de los actores de amenazas para llevar este método a un nuevo tipo de archivo en RTF representa una superficie de amenaza en expansión para las organizaciones de todo el mundo.
Si bien este método es utilizado actualmente por un número limitado de actores de amenazas avanzadas persistentes, la eficacia de la técnica combinada con su facilidad de uso es probable que impulse su adopción en el panorama de las amenazas. No en vano, se trata de una técnica preparada para una adopción más amplia en el panorama de las amenazas, más allá de los ataques de phishing, siendo los actores de crimeware los que probablemente la adopten en mayor medida.
