I ricercatori Proofpoint hanno osservato l’adozione di una nuova tecnica di phishing, facilmente implementata dagli attori APT nel corso di Q2 e Q3 del 2021. L’injection di formati RTF sfrutta la funzione legittima dei formati RTF, sovvertendo le proprietà di formattazione del documento di testo semplice di un file RTF, consentendo il recupero di una risorsa URL, invece di un file, attraverso la capacità di controllo delle parole del modello RTF.
In questo modo, un malintenzionato può sostituire una destinazione legittima del file con un URL da cui può essere recuperato un payload remoto.
I file campione di injection RTF analizzati dai ricercatori hanno attualmente un tasso di rilevazione inferiore da parte dei motori antivirus pubblici, rispetto alla ben nota tecnica di template injection basata su Office.
Proofpoint ha identificato diverse campagne di phishing che utilizzano questa tecnica, attribuite a diversi attori APT in the wild. Nonostante questa tecnica sembri circolare all’interno della cerchia degli attori APT in diverse nazioni, per Proofpoint il recente aumento del suo utilizzo e la estrema semplicità della sua implementazione potrebbero presto portare a un’ulteriore adozione anche da parte dei criminali informatici.
Il blog completo è disponibile QUI.
