Een groep aanvallers gebruikt voicemailberichten in combinatie met malware die bij Microsoft Onedrive wordt gehost om organisaties aan te vallen, zo waarschuwen verschillende beveiligingsbedrijven. De aanval op de organisaties begint met gerichte phishingmails, die een zichzelf uitpakkend archiefbestand als bijlage bevatten. De bijlage doet zich voor als voicemail.

Als een gebruiker de bijlage opent wordt er als afleiding een .wav-bestand afgespeeld, dat op een echte voicemail lijkt. In de achtergrond wordt echter verbinding met OneDrive gemaakt, de clouddienst van Microsoft. Vervolgens wordt de uiteindelijk malware gedownload. Sergey Lozhkin van het Russische anti-virusbedrijf Kaspersky Lab vraagt zich af of deze werkwijze door meer cybercriminelen zal worden toegepast.

"Het is goed mogelijk, omdat het aanvallers een eenvoudige manier biedt om kwaadaardig gedrag te verbergen. Het detecteren van kwaadaardig verkeer in legitieme clouddiensten is veel complexer, omdat het inhoudt dat legitieme diensten moeten worden geblokkeerd", aldus Lozhkin. Beveiligingsbedrijf Palo Alto Networks heeft meer details over de gebruikte malware, die op het moment van ontdekking door 3 van de 54 virusscanners op VirusTotal werd gedetecteerd.