Car-tech

A lopakodó malware elrejti az egér mozgását, a szakértők azt mondják, hogy

Sneaky Malware

Sneaky Malware

Tartalomjegyzék:

Anonim

A FireEye biztonsági gyártójának kutatói egy olyan új, továbbfejlesztett tartós fenyegetést (APT) fedtek le, amely többszörös kimutatási kijátszási technikákat alkalmaz, beleértve az egérkattintások figyelését is meghatározza az aktív emberi interakciót a fertőzött számítógéppel

A Trojan.APT.BaneChant nevű malware-t egy Word-dokumentummal terjesztették ki célzott e-mailes támadások során elküldött kizsákmányolással. A dokumentum neve "Iszlám Jihadnak".

"Gyanítjuk, hogy ezt a fegyverezett dokumentumot a Közel-Kelet és Közép-Ázsia kormányait célozták meg" - mondta a tűzijáték kutatója, Chong Rong Hwa hétfőn egy blogbejegyzésben.

[További olvasmány: Hogyan távolítsuk el a rosszindulatú programokat a Windows számítógépről]

Többlépcsős támadás

A támadás több szakaszban működik. A rosszindulatú dokumentum letölti és végrehajt egy olyan összetevőt, amely megpróbálja megállapítani, hogy az operációs környezet virtuális, például egy víruskereső homokozó vagy egy automatikus rosszindulatú programok elemző rendszere, és várja, hogy megnézze, van-e egér aktivitás a második támadási szakasz megkezdése előtt. > Az egérkattintás felügyelete nem új detektálási kijátszási technika, de a múltban használatos rosszindulatú programok általában egyetlen egérkattintással ellenőrizték, mondta Rong Hwa. A BaneChant legalább három egérkattintást vár, mielőtt elindítaná az URL címét, és letöltene egy backdoor programot, amely egy.jpg képfájlként álcázik.

A rosszindulatú szoftverek más detektálási módokat is alkalmaznak. Például a támadás első szakaszában a rosszindulatú dokumentum letölti a dropper komponenst egy ow.ly URL-ből. Az Ow.ly nem rosszindulatú tartomány, hanem egy URL-lerövidítő szolgáltatás.

Ennek a szolgáltatásnak a logikája, hogy megkerülje a célzott számítógépen vagy annak hálózatán aktív fekete-fehér listázási szolgáltatásokat, mondta Rong Hwa. (Lásd még: "A spammerek visszaélése.gov URL shortener szolgáltatás a munkahelyi csalásokban".

Hasonlóképpen a támadás második szakaszában a rosszindulatú.jpg fájl letöltődik a No-IP dinamikával generált URL-ből Domain Name System (DNS) szolgáltatás.

Miután az első komponens betöltötte a fájlt, a.jpg fájl egy "C: ProgramData Google2 \" mappában levő saját példányt, a GoogleUpdate.exe-et csepegtet, a felhasználó indítási mappájában lévő fájlhoz annak érdekében, hogy minden egyes számítógép újraindítása után végrehajtható legyen.

Ez egy kísérlet arra, hogy becsapja a felhasználókat abban, hogy a fájl része a Google frissítési szolgáltatásának, amely rendszerint telepítve van egy legitim programban

A backdoor program összegyűjti és feltölti a rendszerinformációkat egy parancs-és-vezérlő szerverre, valamint támogatja a parancsokat, többek között egy letöltést és végrehajtást További fájlok a fertőzött számítógépeken.

A védelmi technológiák előrehaladtával a rosszindulatú programok is e volves, mondta Rong Hwa. Ebben az esetben a rosszindulatú programok számos trükköt használtak, többek között az emberi viselkedés észlelésével, a hálózat szintű bináris extrakciós technológiák elkerülésével végrehajtva a többfunkciós XOR titkosítást a végrehajtható fájlokról, maszkolva, mint törvényes folyamatot, elkerülve a törvényszéki elemzést filé nélküli rosszindulatú kódot betöltve közvetlenül a memóriába, és megakadályozta az automatizált domain feketelistáját az URL rövidítésével és a dinamikus DNS-szolgáltatással történő átirányítással.