 Firma IT FireEye donosi o odkryciu nowego złośliwego szkodnika przechwytującego dane wprowadzane przez użytkownika. Złośliwy kod nie tylko przechwytuje naciśnięcia klawiszy, ale również śledzi ruchy myszki komputerowej i stosuje różne sposoby na uzyskanie informacji co użytkownik robi na komputerze.
Trojan.APT.BaneChat rozprzestrzenia się poprzez specjalnie spreparowany dokument programu Word. Rozprzestrzeniany jest za pomocą wiadomości e-mail rozsyłanych do użytkowników. W większości przypadków zainfekowany plik nosił nazwę "Islamic Jihad.doc". "Podejrzewany, że złośliwy dokument był wykorzystywany do atakowania rządowych systemów w Azji Środkowej i na Bliskim Wschodzie" powiedział ekspert IT FireEye Ron Chong Wa.
Infekcja komputera przebiega w kilku etapach:, gdy trojan zostanie pobrany i uruchomiony na komputerze uruchamia analizator kodu, który określa czy został uruchomiony na normalnym systemie operacyjnym czy poprzez maszynę wirtualną lub czy został uruchomiony poprzez sandbox oraz sprawdza czy komputer posiada oprogramowanie antywirusowe. Jeżeli trojan został uruchomiony w normalnym systemie operacyjnym bez dodatkowych zabezpieczeń szkodnik rozpoczyna śledzenie kursora myszy, który przechwytuje dane dotyczące kliknięć i pozycji kursora na ekranie. BaneChat pomija pierwsze trzy kliknięcia, a następnie próbuje załadować nowego szkodnika, który maskuje się jako plik JPG.
Trojan BaneChat używa kilku metod, by zmylić program antywirusowy, przykładowo w pierwszym etapie ataku próbuje ściągnąć inny kod poprzez skrócony adres URL ow.ly. Podobnie szkodliwy plik ukryty pod plikiem JPG pobierany jest z dynamicznego adresu IP.
Szkodnik również próbuje wprowadzić w błąd użytkowników tworząc własne pliki pod nazwą GoogleUpdate.exe w folderze C:\ProgramData\Google2\ i uruchamia swoje skróty w czasie uruchamiania systemu. Przypomnijmy, że poprawna ścieżka do aplikacji firmy Google to C:\Program Files\Google\Update\.
Wszystkie zebrane informacje przesyłane są na zdalny serwer, który znajduje się pod kontrolą atakującego.
Źródło: anti-malware.ru |
