Злоумышленники теперь используют вложения OneNote в фишинговых электронных письмах, заражающих жертв вредоносными программами для удалённого доступа, который можно использовать для установки других вредоносных программ, кражи паролей или даже криптовалютных кошельков.

Это происходит после того, как злоумышленники годами распространяли вредоносное ПО по электронной почте, используя вредоносные вложения Word и Excel, запускающие макросы для загрузки и установки вредоносного ПО.

Однако в июле Microsoft наконец отключила макросы по умолчанию в документах Office, что сделало этот метод ненадёжным для распространения вредоносных программ.

Вскоре после этого злоумышленники начали использовать новые форматы файлов, такие как образы ISO и ZIP-файлы, защищённые паролем. И эти форматы файлов вскоре стали чрезвычайно распространёнными, чему способствовала ошибка Windows, позволяющая ISO-образам обходить предупреждения безопасности, и популярная утилита архивирования 7-Zip, не распространяющая флаги «отметка сети» на файлы, извлечённые из ZIP-архивов.

Однако и 7-Zip, и Windows недавно исправили эти ошибки, из-за которых Windows отображала пугающие предупреждения безопасности, когда пользователь пытается открыть файлы в загруженных файлах ISO и ZIP.

Тогда злоумышленники быстро переключились на использование нового формата файлов в своих вложениях вредоносного спама (malspam): вложения Microsoft OneNote.