Lækre malware skjuler sig bag musebevægelse, siger eksperter

Forskere fra sikkerhedsleverandøren FireEye har afdækket en ny avanceret vedvarende trussel (APT), der anvender flere metoder til registrering af svig, herunder overvågning af museklik, til bestemme aktiv menneskelig interaktion med den inficerede computer.

Kaldet til Trojan.APT.BaneChant, malware distribueres via et Word-dokument rigget med en udnyttelse sendt under målrettede email angreb. Navnet på dokumentet oversætter til "Islamic Jihad.doc."

"Vi formoder, at dette våbenbevægede dokument blev brugt til at målrette regeringerne i Mellemøsten og Centralasien," siger FireEye-forsker Chong Rong Hwa mandag i et blogindlæg.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Multistage-angreb

Angrebet virker i flere faser. Det ondsindede dokument overfører og udfører en komponent, der forsøger at bestemme, om driftsmiljøet er en virtualiseret, f.eks. En antivirus sandkasse eller et automatiseret malwareanalysesystem, ved at vente på at se, om der er nogen musaktivitet, før det andet angrebstrin startes.

Overvågning af museklik er ikke en ny detektionsteknik, men malware, der bruger det tidligere, kontrolleres generelt for et enkelt klik, sagde Rong Hwa. BaneChant venter på mindst tre klik med musen, før du fortsætter med at dekryptere en URL og hente et bagdørprogram, der maskerer som en.jpg-billedfil, sagde han.

Malware bruger også andre metoder til registrering af svig. For eksempel i den første fase af angrebet downloader det ondsindede dokument droppekomponenten fra en ow.ly URL. Owende er ikke et ondsindet domæne, men det er en URL-afkortningstjeneste.

Baggrunden for at bruge denne tjeneste er at omgå URL-blacklisting-tjenester, der er aktive på den målrettede computer eller dens netværk, siger Rong Hwa. (Se også "Spammere misbruger.gov URL-kortere service i hjemmebane svindel."

På samme måde i den anden fase af angrebet downloades den ondsindede.jpg-fil fra en URL genereret med No-IP dynamikken Domænenavnssystem (DNS) -service.

Efter at være indlæst af den første komponent, dråber.jpg-filen en kopi af sig selv kaldet GoogleUpdate.exe i mappen "C: ProgramData Google2 \". Den skaber også en link til filen i brugerens startmappe for at sikre dens udførelse efter hver computer genstart.

Dette er et forsøg på at narre brugere til at tro, at filen er en del af Google Update-tjenesten, et legitimt program, der normalt er installeret under "C: Programmer Google Update \", sagde Rong Hwa.

Backdoor-programmet samler og uploader systemoplysninger tilbage til en kommando- og kontrolserver. Den understøtter også flere kommandoer, herunder en til at downloade og udføre Yderligere filer på de inficerede computere.

Som forsvarsteknologi foregår malware også e volves, sagde Rong Hwa. I dette tilfælde har malware brugt et antal tricks, herunder undvigende sandkasseanalyse ved at detektere menneskelig adfærd, undvige binær udvindingsteknologi på netværksniveau ved at udføre multibyte XOR-kryptering af eksekverbare filer, maskerer som en legitim proces, undgår forensisk analyse ved hjælp af fileless ondsindet kode indlæst direkte i hukommelsen og forhindrer automatiseret domæne blacklisting ved hjælp af omdirigering via URL-afkortning og dynamiske DNS-tjenester, sagde han.