A malware fejlesztők által egyre inkább használt AutoIt szkriptek

Az AutoIt, a Windows felület interakcióinak automatizálására szolgáló szkriptnyelv egyre inkább a rosszindulatú szoftverek fejlesztőinek használják rugalmasságának és alacsony tanulási görbének köszönhetően, a Trend biztonsági kutatói szerint Micro és Bitdefender

"Nemrégiben a Pastebinnel feltöltött másodlagos AutoIt eszközkód mennyiségét láttuk," mondta Kyle Wilhoit, egy fenyegető kutató a Trend Micro víruskereső gyártójánál. "Az egyik leggyakrabban használt eszköz például egy keylogger. Ha ezt a kódot megragadja, a rossz szándékú személyek gyorsan össze tudják fordítani és másodpercek alatt lefuttathatják. "

" Az olyan eszközökön kívül, mint például a Pastebin és a Pastie, a malware mennyiségének óriási növekedését is látjuk az AutoIt mint script-nyelv használata "- mondta Wilhoit.

[További olvasnivaló: Hogyan távolítsuk el a rosszindulatú programokat Windows számítógépéről]

Az AutoIt használata a malware fejlesztésben 2008 óta folyamatosan nőtt, Bogdan Botezatu, a fenyegetés-elemző víruskereső gyártója szerint a Bitdefender e-mailen kedden mondta. Az AutoIt-ben kódolt rosszindulatú minták száma a közelmúltban meghaladta a havi 20 000-et. "

" A korai napokban az AutoIt rosszindulatú programokat leginkább a csalások reklámozására használták fel,] férgek "- mondta Botezatu. "Napjainkban az AutoIt malware az iranómotoroktól a távoli hozzáférési alkalmazásokig terjed."

Egy egyedülállóan kifinomult AutoIt-alapú rosszindulatú program, amelyet a közelmúltban fedeztek fel, a DarkComet RAT (remote access Trojan program) verziója volt. Ez a rosszindulatú szoftver egy hátsó ajtót nyit meg az áldozat gépén, kommunikál egy távoli parancsokkal és vezérlő szerverrel, és módosítja a Windows tűzfal szabályait.

A DarkComet RAT-ot célzott, APT stílusú támadásokban használják a múltban. a szíriai kormányt, hogy kémkedjen az ország politikai aktivistáival. A Trend Micro által felfedezett változat érdekes, hogy az AutoIt-ben van írva, és nagyon alacsony a víruskereső észlelési aránya.

A szkriptnyelvek használata kifinomult rosszindulatú szoftverek kifejlesztésére nem széles körben elterjedt gyakorlat, hiszen ezeknek a nyelveknek többsége tolmácsot igényel telepíteni kell a gépre, vagy nagyméretű, önálló, végrehajtható fájlokat állít elő, mondja Botezatu.

Mindazonáltal voltak kivételek. A Flame cyberespionage malware például az LUA parancsfájl nyelvét használta egyes feladatok automatizálására, anélkül, hogy a víruskereső termékek észlelnék őket. "

Az AutoIt rendkívül intuitív és könnyen használható, olyan kompakt bináris fájlokat állít elő, amelyek a modern Windows rendszerben elfogynak és jól dokumentált, mondta a Bitdefender kutató.

A legfontosabb, hogy az AutoIt-ben létrehozott rosszindulatú programok rendkívül rugalmasak és könnyen elhomályosíthatók, ami azt jelenti, hogy egyetlen rosszindulatú programot az AutoIt-ben újracsomagolható és újraformázható többféle módon, hogy megakadályozza a felderítést és meghosszabbítsa annak eltarthatóságát "- mondja Botezatu.

Mivel a szkript nyelvek, mint például az AutoIt továbbra is népszerűsítik, több malware fejlesztő várhatóan feléjük tér, Wilhoit mondta. "A könnyű használat és a tanulás, valamint a könnyen kipróbálható kódok a népszerű csepegtetők számára nagyszerű lehetőséget kínálnak a szörnyű szándékkal rendelkező szereplők számára szerszámaik és rosszindulatú eszközeik terjesztésére."