O malware usa o Google Docs como proxy para comandar e controlar o servidor

Pesquisadores de segurança da Symantec descobriram um malware que usa o Google Docs, que agora faz parte do malware. O Google Drive, como uma ponte ao se comunicar com invasores para ocultar o tráfego malicioso

O malware - uma nova versão da família Backdoor.Makadocs - usa o recurso "Visualizador" do Google Drive como um proxy para receber instruções do servidor real de comando e controle. O Visualizador do Google Drive foi projetado para permitir a exibição de vários tipos de arquivos a partir de URLs remotos diretamente no Google Docs.

"Em violação das políticas do Google, o Backdoor.Makadocs usa essa função para acessar seu servidor C & C [command in control]" disse o pesquisador da Symantec, Takashi Katsuki, na sexta-feira em um post no blog.

[Leia mais: Como remover malware do seu PC Windows]

É possível que o autor de malware tenha usado essa abordagem para dificultar o trabalho em rede. produtos de segurança para detectar o tráfego malicioso, já que ele aparecerá como conexões criptografadas - o Google Drive usa HTTPS por padrão - com um serviço geralmente confiável, disse Katsuki.

“Usar qualquer produto do Google para realizar esse tipo de atividade é uma violação do nossas políticas de produtos ”, disse um representante do Google na segunda-feira por e-mail. “Investigamos e agimos quando tomamos conhecimento de abuso.”

O Backdoor.Makadocs é distribuído com a ajuda de documentos Rich Text Format (RTF) ou Microsoft Word (DOC), mas não explora nenhuma vulnerabilidade para instalar seus arquivos maliciosos. componentes, Katsuki disse. “Ele tenta despertar o interesse do usuário com o título e o conteúdo do documento e induzi-los a clicar nele e executá-lo.”

Como a maioria dos programas backdoor, o Backdoor.Makadocs pode executar comandos recebidos do servidor C & C do invasor e pode roubar informações dos computadores infectados.

No entanto, um aspecto particularmente interessante da versão analisada pelos pesquisadores da Symantec é que ela contém código para detectar se o sistema operacional instalado na máquina de destino é o Windows Server 2012 ou o Windows 8, que foram liberados pela Microsoft em setembro e outubro, respectivamente.

O malware não usa nenhuma função exclusiva do Windows 8, mas a presença desse código sugere que a variante analisada é relativamente nova, disse Katsuki.

Outras seqüências do O código do malware e os nomes dos documentos da isca sugerem que ele está sendo usado para segmentar usuários brasileiros. Atualmente, a Symantec classifica o nível de distribuição do malware como baixo.