De Japanse overheid waarschuwt internetgebruikers voor een Trojaans paard dat op een Excel bestand lijkt, maar in werkelijkheid een uitvoerbaar bestand is. De Sasfis Trojan is al een aantal maanden actief en installeert volgens Trend Micro meestal een buslading malware op geïnfecteerde systemen.

Onlangs ontdekte de virusbestrijder een nieuwe variant die de right-to-left override (RLO) techniek hanteert. De malware arriveert per e-mail als .RAR bijlage, die weer een .XLS bestand bevat. Bij het uitpakken van het bestand ziet het er ook uit als een legitiem Excel-bestand. In werkelijkheid is het een screensaver, die een Trojaans paard installeert.

Extensie
Hoewel het om een Excel worksheet lijkt te gaan, bevat het een Win32 binaire header, die alleen uitvoerbare bestanden hebben. De werkelijke bestandsnaam is phone&mail).[U+202e}slx.scr, waarbij U+202e het Unicode control karakter is, dat het systeem vertelt om alle opvolgende karakters van rechts naar links te renderen. Voor de gebruiker ziet het bestand eruit als phone&mail).xls.scr. Aangezien bij Windows standaard bestandsextensies staan uitgeschakeld, kan de gebruiker denken dat het om een Excel-bestand gaat, terwijl het in werkelijkheid een uitvoerbaar .SCR-bestand is.