Car-tech

Pesquisadores do fornecedor de segurança FireEye descobriram uma nova ameaça persistente avançada (APT) que usa várias técnicas de evasão de detecção, incluindo o monitoramento de cliques do mouse, para determinar interação humana ativa com o computador infectado

How To Fix A Mouse That Is Going Crazy On A PC

How To Fix A Mouse That Is Going Crazy On A PC

Índice:

Anonim

"Suspeitamos que esse documento armado tenha sido usado para atingir os governos do Oriente Médio e da Ásia Central", disse Chong Rong Hwa, pesquisador da FireEye, em um post no blog.

[Leitura adicional: Como remover malware do seu PC Windows]

Ataque multiestágio

O ataque funciona em múltiplos estágios. O documento malicioso faz o download e executa um componente que tenta determinar se o ambiente operacional é virtualizado, como uma caixa de proteção antivírus ou um sistema automatizado de análise de malware, aguardando para ver se há alguma atividade do mouse antes de iniciar o segundo estágio de ataque. O monitoramento de cliques de mouse não é uma nova técnica de evasão de detecção, mas malwares que o usaram no passado geralmente são checados por um único clique do mouse, disse Rong Hwa. BaneChant espera pelo menos três cliques do mouse antes de continuar a descriptografar uma URL e baixar um programa backdoor que se disfarça como um arquivo de imagem.jpg, disse ele.

O malware também emprega outros métodos de evasão de detecção. Por exemplo, durante o primeiro estágio do ataque, o documento mal-intencionado faz o download do componente do dropper de uma URL ow.ly. Ow.ly não é um domínio malicioso, mas é um serviço de encurtamento de URL.

A lógica por trás do uso desse serviço é ignorar serviços de lista negra de URLs ativos no computador de destino ou em sua rede, disse Rong Hwa. (Consulte também "Spammers abusam do serviço de encurtamento de URL.gov em esquemas de trabalho em casa".

Da mesma forma, durante o segundo estágio do ataque, o arquivo.jpg malicioso é baixado de uma URL gerada com a dinâmica No-IP Serviço de DNS (Domain Name System).

Depois de ser carregado pelo primeiro componente, o arquivo.jpg abre uma cópia de si mesmo chamado GoogleUpdate.exe na pasta "C: ProgramData Google2 \". Ele também cria um link ao arquivo na pasta de inicialização do usuário para garantir sua execução após cada reinicialização do computador.

Esta é uma tentativa de induzir os usuários a acreditarem que o arquivo faz parte do serviço de atualização do Google, um programa legítimo que normalmente é instalado em "C: Arquivos de programas Google Update \", disse Rong Hwa.

O programa backdoor reúne e carrega informações do sistema de volta para um servidor de comando e controle. Ele também suporta vários comandos, incluindo um para baixar e executar arquivos adicionais nos computadores infectados.

À medida que as tecnologias de defesa avançam, o malware também Volves, disse Rong Hwa. Nesse caso, o malware usou vários truques, incluindo a análise do sandbox detectando comportamento humano, evitando a tecnologia de extração binária em nível de rede, executando criptografia XOR multibyte de arquivos executáveis, mascarando-se como um processo legítimo, evitando análises forenses usando código malicioso carregado diretamente na memória e impedindo a lista negra de domínios automatizada usando o redirecionamento via encurtamento de URL e serviços de DNS dinâmicos, disse ele.