Emotet : les macros sous Excel et le protocole Ms-AppInstaller MSIX sont désactivés par Microsoft ! (coup-double et coup dur…)

En fin d’année, une réminiscence d’Emotet tendait à se confirmer à travers des indices troublant dont, globalement, une adaptativité accrue qui permettait au malware de s’émanciper via de nouvelles versions et fonctionnalités, quitte à raccourcir certains schémas d’infections ou de propagation. Toujours évolutif, Emotet s’est récemment concentré, en Janvier 2022, à intensifier les exploits depuis les macros-commandes sous Excel voire directement sous Ms-AppInstaller MSIX…

Assignée CVE-2021-43890, la vulnérabilité relative au protocole MSIX, découverte originellement le 14 Décembre 2021, visait à permettre à Emotet (Bazaloader, Trickbot) de se propager dans des packages spécifiques : pour l’heure, le protocole est désactivé et les utilisateurs et ces derniers devront intégralement télécharger un package vers le terminal avant de pouvoir utiliser AppInstaller pour exploiter le package en question. Il est également recommandé, faute de mieux, de changer l’URL jointée avec l’application, via une suppression de “ms-appinstaller:?source=“.

Toujours pour mieux se passer sous les radars, Emotet exploite, également, les macros sous Excel : selon le billet sécuritaire de l’équipe TrendMicro, la viralité prend sa source depuis un document (pièce jointe) envoyé par mail et intégrant une macro-commande du tableur (versionné 4.0) et qui permet d’actionner une tâche redondante. Celle-ci est détourné par les cyber-attaquants qui opère une sorte de boucle pour permettre, en réalité, d’automatiser la chaîne de malwares découlant d’Emotet. Ces macros reposent sur l’usage de routine d’adresses IPs hexadécimales et octales. Dans un billet du 19 Janvier 2022, Microsoft a indiqué, dans l’immédiat et par défaut, que les macros sous Excel en v4.0 seront désactivées avec une activation qui restera possible mais à utiliser avec parcimonie par les administrateurs-systèmes ou utilisateurs… A veiller !

Sources :

• Microsoft TechCommunity – 4 Février 2022 – Ms-AppInstaller MSIX : désactivation + recommandations,
• Microsoft TechCommunity – 19 Janvier 2022 – Excel v4.0 (XML) : macro-commandes désactivées par défaut,
• TrendMicro – 21 Janvier 2022 – Emotet : diffusion par mail avec, en PJ, un bouton-macro Excel (ancienne version).

Signaler une erreur

Raison: *
Erreur(s) dans l'informationFaute(s) d'orthographe(s)

Votre nom: *

Votre email: *

Détails: *

Envoyer votre message