Υπερβολικό κακόβουλο λογισμικό κρύβεται πίσω από την κίνηση του ποντικιού, λένε οι ειδικοί

Οι ερευνητές από τον πωλητή ασφαλείας FireEye έχουν αποκαλύψει μια νέα προηγμένη επίμονη απειλή (APT) που χρησιμοποιεί πολλαπλές τεχνικές απάτης κατά της ανίχνευσης, καθορίστε την ενεργή ανθρώπινη αλληλεπίδραση με τον μολυσμένο υπολογιστή.

Το Trojan.APT.BaneChant, το κακόβουλο λογισμικό διανέμεται μέσω ενός εγγράφου του Word που είναι εφοδιασμένο με ένα exploit που αποστέλλεται κατά τη διάρκεια επιθέσεων με ηλεκτρονικό ταχυδρομείο. Το όνομα του εγγράφου μεταφράζεται στο "Ισλαμικό Τζιχάντ."

"Υποψιάζουμε ότι αυτό το οπλοποιημένο έγγραφο χρησιμοποιήθηκε για να στοχεύσει τις κυβερνήσεις της Μέσης Ανατολής και της Κεντρικής Ασίας", δήλωσε ο ερευνητής της FireEye Chong Rong Hwa τη Δευτέρα σε μια θέση στο blog.

[Περαιτέρω ανάγνωση: Τρόπος κατάργησης κακόβουλου λογισμικού από τον υπολογιστή σας Windows]

Επίθεση πολλών σταδίων

Η επίθεση λειτουργεί σε πολλαπλά στάδια. Το κακόβουλο έγγραφο κατεβάζει και εκτελεί ένα στοιχείο το οποίο επιχειρεί να προσδιορίσει αν το λειτουργικό περιβάλλον είναι ένα εικονικό, όπως ένα antivirus sandbox ή ένα αυτοματοποιημένο σύστημα ανάλυσης κακόβουλου λογισμικού, περιμένοντας να δούμε αν υπάρχει κάποια δραστηριότητα ποντικιού πριν ξεκινήσει το δεύτερο στάδιο επίθεσης. > Η παρακολούθηση κλικ με το ποντίκι δεν είναι μια νέα τεχνική απάτης κατά της ανίχνευσης, αλλά το κακόβουλο λογισμικό που το χρησιμοποίησε στο παρελθόν ελέγχθηκε γενικά για ένα μόνο κλικ του ποντικιού, δήλωσε ο Rong Hwa. Το BaneChant περιμένει τουλάχιστον τρία κλικ του ποντικιού πριν προχωρήσει στην αποκρυπτογράφηση μιας διεύθυνσης URL και να κατεβάσει ένα πρόγραμμα backdoor που μεταμφιέζεται ως αρχείο εικόνας.jpg

Το κακόβουλο λογισμικό χρησιμοποιεί επίσης άλλες μεθόδους απάτης κατά της ανίχνευσης. Για παράδειγμα, κατά το πρώτο στάδιο της επίθεσης, το κακόβουλο έγγραφο κατεβάζει το συστατικό dropper από μια διεύθυνση URL ow.ly. Ο λόγος πίσω από τη χρήση αυτής της υπηρεσίας είναι να παρακάμψει τις υπηρεσίες μαύρης λίστας διευθύνσεων URL που είναι ενεργές στον στοχευόμενο υπολογιστή ή στο δίκτυό του, δήλωσε ο Rong Hwa. (Δείτε επίσης "Κατάχρηση ανεπιθύμητων αλληλογραφίας. Spam".

Ομοίως, κατά τη διάρκεια του δεύτερου σταδίου της επίθεσης, το κακόβουλο αρχείο.jpg κατεβάζεται από μια διεύθυνση URL που δημιουργείται με τη δυναμική No-IP Η υπηρεσία DNS (Domain Name System)

Αφού φορτωθεί από το πρώτο στοιχείο, το αρχείο.jpg αφαιρεί ένα αντίγραφο του GoogleUpdate.exe στο φάκελο "C: ProgramData Google2 \". στο αρχείο στον φάκελο εκκίνησης του χρήστη, προκειμένου να διασφαλιστεί η εκτέλεση του προγράμματος μετά από κάθε επανεκκίνηση του υπολογιστή.

Αυτή είναι μια προσπάθεια να εξαπατήσουμε τους χρήστες να πιστέψουν ότι το αρχείο αποτελεί μέρος της υπηρεσίας ενημέρωσης Google, ενός νόμιμου προγράμματος που είναι κανονικά εγκατεστημένο στο πλαίσιο του "C: Program Files Google Update \", δήλωσε ο Rong Hwa.

Το backdoor πρόγραμμα συγκεντρώνει και μεταφορτώνει τις πληροφορίες του συστήματος πίσω σε ένα διακομιστή εντολών και ελέγχων. πρόσθετα αρχεία στους μολυσμένους υπολογιστές.

Καθώς οι αμυντικές τεχνολογίες προχωρούν, το κακόβουλο λογισμικό επίσης, δήλωσε ο Rong Hwa. Σε αυτήν την περίπτωση, το κακόβουλο λογισμικό έχει χρησιμοποιήσει πολλά τεχνάσματα, συμπεριλαμβανομένης της ανεύρεσης της ανάλυσης του sandbox, ανιχνεύοντας την ανθρώπινη συμπεριφορά, παρακάμπτοντας την τεχνολογία δυαδικής εξαγωγής σε επίπεδο δικτύου, πραγματοποιώντας πολλαπλή XOR κρυπτογράφηση εκτελέσιμων αρχείων, μεταμφιεσμένη ως νόμιμη διαδικασία, αποφεύγοντας την εγκληματολογική ανάλυση χρησιμοποιώντας αρχεία χωρίς αρχεία τον κακόβουλο κώδικα που έχει φορτωθεί απευθείας στη μνήμη και την αποτροπή της μαύρης λίστας αυτοματοποιημένου τομέα, χρησιμοποιώντας ανακατεύθυνση μέσω συντόμευσης URL και δυναμικών υπηρεσιών DNS