Malware bruger Google Docs som proxy til kommando- og kontrolserver

Sikkerhedsforskere fra antivirusleverandør Symantec har afdækket et stykke malware, der bruger Google Docs, som nu er en del af Google Drive, som en bro, når du kommunikerer med angribere for at skjule den ondsindede trafik.

Malware-en ny version fra familien Backdoor.Makadocs-bruger Google Drive-funktionen "Viewer" som en proxy for at modtage instruktioner fra rigtig kommando og kontrol server. Google Drive Viewer er designet til at tillade visning af en række filtyper fra eksterne webadresser direkte i Google Dokumenter.

"I modstrid med Googles politikker bruger Backdoor.Makadocs denne funktion til at få adgang til sin C & C [command in control] server" sagde Symantecs forsker Takashi Katsuki, fredag ​​i et blogindlæg.

[Yderligere læsning: Sådan fjerner du malware fra din Windows-pc]

Det er muligt, at malwareforfatteren brugte denne fremgangsmåde for at gøre det sværere for netværksniveau sikkerhedsprodukter til at opdage den ondsindede trafik, da den vises som krypterede forbindelser-Google Drive bruger som standard HTTPS - med en generelt tillidstjeneste, siger Katsuki.

"Brug af et Google-produkt til at udføre denne form for aktivitet er en overtrædelse af vores produktpolitik, "sagde en Google-repræsentant mandag via email. "Vi undersøger og handler, når vi bliver opmærksomme på misbrug."

Backdoor.Makadocs distribueres ved hjælp af Rich Text Format (RTF) eller Microsoft Word (DOC) dokumenter, men udnytter ikke nogen sårbarhed for at installere dens skadelige komponenter, sagde katsuki. "Det forsøger at pikere brugerens interesse med titlen og indholdet af dokumentet og narre dem til at klikke på det og udføre det."

Ligesom de fleste bagdørprogrammer kan Backdoor.Makadocs udføre kommandoer modtaget fra angriberens C & C-server og kan stjæle oplysninger fra de inficerede computere.

Men et særligt interessant aspekt af den version, der analyseres af Symantec-forskere, er, at den indeholder kode, der skal registrere, om operativsystemet installeret på målmaskinen er Windows Server 2012 eller Windows 8, som blev frigivet af Microsoft i september og oktober.

Malware bruger ikke nogen funktion, der er unik for Windows 8, men tilstedeværelsen af ​​denne kode tyder på, at den analyserede variant er forholdsvis ny, siger Katsuki.

Andre strenge fra malware's kode og navnene på agnedokumenterne tyder på, at den bruges til at målrette mod brasilianske brugere. Symantec vurderer i øjeblikket distributionsniveauet for malware som så lavt.