Langkah Microsoft tahun lalu untuk memblokir makro secara default di aplikasi Office memaksa penjahat untuk menemukan alat lain yang dapat digunakan untuk meluncurkan serangan siber, termasuk file LNK vendor perangkat lunak yang digunakan Windows untuk menunjuk ke file lain.
Menurut Guilherme Venere, peneliti ancaman di Talos, dalam sebuah laporan dijelaskan bahwa file LNK umumnya digunakan oleh malware jenis worm seperti Raspberry Robin untuk menyebar ke disk yang dapat dilepas atau berbagi jaringan.
File-file tersebut membantu penjahat mendapatkan akses awal ke sistem korban sebelum menjalankan ancaman.
Pergeseran ke teknik dan alat lain setelah gerakan makro VBA Microsoft berlangsung cepat. Penjahat siber sedang mencari alternatif, termasuk lampiran ISO dan RAR, ditambah file LNK.
Pada bulan Desember, peneliti Talos mengatakan bahwa beberapa grup APT dan keluarga malware berpindah ke file XLL di Excel.
Mike Parkin, insinyur teknis senior di Vulcan Cyber menambahkan bahwa Makro Office telah menjadi vektor favorit, tidak heran jika aktor ancaman berevolusi cepat sebagai respons terhadap perubahan pertahanan target mereka atau perubahan permukaan serangan.
Format LNK menyimpan banyak informasi tentang objek target, perilaku aplikasi, dan metadata sistem tempat file LNK dibuat yang berisi data lain tentang atribut file target.
Ada juga alat yang tersedia untuk umum untuk mem-parsing dan menganalisis struktur LNK seperti Parser LNK gratis dari Google yang juga dapat digunakan oleh penjahat.
Penyerang sedang mengembangkan file LNK jahat mereka sendiri melalui alat pembangun yang tersedia untuk umum seperti MLNK Builder, Quantum Builder, dan RustLNKBuilder, yang membantu mereka menghindari deteksi.
Selengkapnya: The Register
