Car-tech

Malware utilise Google Docs comme proxy pour commander et contrôler le serveur

HACKLOG 1x07 - Cos'è una VPN, tipi di VPN e quale VPN scegliere (Tutorial Anonymous Internet Linux)

HACKLOG 1x07 - Cos'è una VPN, tipi di VPN e quale VPN scegliere (Tutorial Anonymous Internet Linux)
Anonim

Les chercheurs en sécurité du fournisseur d'antivirus Symantec ont découvert un logiciel malveillant utilisant Google Docs, qui fait désormais partie de Google Drive, en tant que passerelle pour communiquer avec les pirates afin de dissimuler le trafic malveillant.

Le logiciel malveillant - une nouvelle version de la famille Backdoor.Makadocs - utilise la fonctionnalité «Visionneuse» Google Drive comme proxy pour recevoir des instructions de la part de vrai serveur de commande et de contrôle. Google Drive Viewer a été conçu pour permettre l'affichage de divers types de fichiers à partir d'URL distantes directement dans Google Docs.

"En violation des règles de Google, Backdoor.Makadocs utilise cette fonction pour accéder à son serveur C & C [commande in control]" dit le chercheur de Symantec Takashi Katsuki, vendredi dans un billet de blog

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

Il est possible que l'auteur de malware ait utilisé cette approche pour rendre plus difficile Des produits de sécurité pour détecter le trafic malveillant, car il apparaîtra comme des connexions cryptées - Google Drive utilise HTTPS par défaut - avec un service généralement fiable, dit Katsuki.

"Utiliser tout produit Google pour mener ce genre d'activité est une violation de nos politiques de produits », a déclaré un représentant de Google lundi par e-mail. "Nous enquêtons et prenons des mesures lorsque nous prenons conscience des abus."

Backdoor.Makadocs est distribué à l'aide de documents RTF (Rich Text Format) ou Microsoft Word (DOC), mais n'exploite aucune vulnérabilité pour installer ses programmes malveillants. composants, a déclaré Katsuki. "Il tente de piquer l'intérêt de l'utilisateur avec le titre et le contenu du document et les incite à cliquer dessus et à l'exécuter."

Comme la plupart des programmes de porte dérobée, Backdoor.Makadocs peut exécuter des commandes reçues du serveur C & C de l'attaquant. voler des informations sur les ordinateurs infectés

Cependant, un aspect particulièrement intéressant de la version analysée par les chercheurs Symantec est qu'il contient du code pour détecter si le système d'exploitation installé sur la machine cible est Windows Server 2012 ou Windows 8, qui ont été libérés par Microsoft en septembre et octobre respectivement.

Le malware n'utilise aucune fonction propre à Windows 8, mais la présence de ce code suggère que la variante analysée est relativement nouvelle, dit Katsuki.

D'autres chaînes du Le code des logiciels malveillants et les noms des documents d'appâts suggèrent qu'il est utilisé pour cibler les utilisateurs brésiliens. Symantec considère actuellement le niveau de distribution du programme malveillant comme faible.