Niebezpieczny złośliwy program podszywa się pod Gmaila i Facebooka
Nowy szczep złośliwego oprogramowania, potrafiącego skutecznie ukrywać swoją obecność (stealth malware), jest w stanie wykorzystywać serwisy takie jak Gmail albo Facebook do kontaktowania się ze swoimi twórcami i otrzymywania poleceń.
To, co czyni IcoScript niezwykłym, jest wykorzystanie do tych działań własnego języka skryptowego, pozwalającego na automatyczne łączenie się z kontem mailowym. Skrzynka wykorzystywana do łączności haker-trojan musi zostać wcześniej odpowiednio skonfigurowana, by móc komunikować się z zainfekowanymi komputerami. Dostęp do aplikacji takich jak webmail jest bardzo rzadko blokowany przez administratorów w sieciach firmowych, stąd trojan może otrzymywać komendy i wykonywać polecenia hakerów bez nadmiernego zwracania na siebie uwagi. Specjaliści do spraw bezpieczeństwa z GDATA SecurityLabs nazwali nowe zagrożenie Win32.Trojan.IcoScript.A. Szczegółowa analiza opublikowana została na łamach Virus Bulletin.
Trojan infekuje komputery działające pod systemem Windows
Ten podstępny malware sprawiał kłopoty użytkownikom już od 201. r., wciąż unikając wykrycia przez badaczy. Trojan typu RAT (dający atakującym zdalny dostęp do zainfekowanej maszyny) infekował jedynie komputery z systemem Windows. Popularne złośliwe oprogramowanie najczęściej infekuje procesy aplikacji, co umożliwia jego wykrycie za pomocą odpowiedniego oprogramowania antywirusowego. Natomiast IcoScript wykorzystuje standard COM (Component Object Model) tworzenia interfejsów programistycznych, by uzyskać dostęp do przeglądarki. Umożliwia np. tworzenie pluginów do Internet Explorera, co pozwala atakującym na uzyskanie swego rodzaju przyczółku do przeprowadzenia ataku na samą przeglądarkę, bez jego wykrycia.
Ruch sieciowy nie różni się potem od zwykłego ruchu, generowanego podczas przeglądania przez użytkownika internetu. Dodatkowo atakujący nie muszą martwić się o odpowiednie ustawienia sieciowe, które można konfigurować właśnie z poziomu przeglądarki. "Ten płynnie dostosowujący się malware, którego przejawy działania zostają zamaskowane w zwykłym strumieniu danych wymienianym podczas korzystania z internetu, zaskakuje skalą problemu wszystkie działy bezpieczeństwa IT" - mówi Ralf Benzmüller, szef laboratorium G DATA. "Przykład IcoScript ukazuje nam jak hakerzy odpowiadają na działania prewencyjne i prowadzą korespondencyjną wojnę z tzw. good guys".
Przekazywanie komend z wykorzystaniem webmaila
IcoScript działa dzięki Internet Explorerowi - przeglądarce, którą wykorzystuje jako narzędzie zezwalające mu na niezauważoną komunikację poprzez webmail ze swoimi twórcami lub osobami zarządzającymi botnetem. Aby pobrać wiadomości ze skrzynki odbiorczej, IcoScript posiada swój własny język skryptowy, umożliwiający wykonywanie automatycznych operacji na stronach internetowych. W przypadku IcoScript cały proces rozpoczyna się od otworzenia strony logowania do poczty, następnie zalogowania do niej i pobrania maila. Trojan przeszukuje następnie pobrane wiadomości pod kątem kodu kontrolnego, który po odnalezieniu jest przekazywany jako komendy i instrukcje. Maile mogą również zostać wykorzystane do przesyłania danych wykradzionych z zaatakowanej sieci. "Działania trojana nie ograniczają się jedynie do poczty oferowanej przez serwis Yahoo. Metoda ta sprawdza się na wielu różnych serwisach jak Gmail, Outlook itp. (...) LinkedIn, Facebook oraz inne serwisy społecznościowe mogą zostać wykorzystane do komunikacji
pomiędzy cyberprzestępcami, a złośliwym oprogramowaniem" - wyjaśnia Benzmüller.
