Разработчик разкри действието на симбиотичен малуер

Всеки е чувал за симбиозата. Тя е навсякъде в природата и може да намерим пример за нея на много места. Интересно е обаче да научим за симбиотичните връзки, които съществуват в света на технологиите и по-точно при малуера.

Именно за това пише в Technet Хюун Чой (Hyun Choi). Става дума за особено семейство интернет червеи Win32/Vobfus, които се разпространяват посредством флаш устройства и имат способността да свалят на компрометираната система допълнително малуер. Самото име на малуера – Vobfus – бива съставено от основните характеристики на малуер семейството – Visual Basic и Obfuscated (от англ.: „прикрит“)

Vobfus има способността за сваляне на Beebone даунлоудър малуера. След като единият малуер свали вариант на другия, Beebone на свой ред сваля още Vobfus варианти, като по този начин се създава една затворена верига. И нещо повече: Beebone, троянски кон, компилиран с помощта на Visual Basic има способност да сваля заплахи от следните семейства: Vobfus, Zbot, Sirefef, Fareit, Nedsym, Cutwail. Обикновено след като се настани в устройството, Vobfus си създава копия със случайни имена или недотам случайни, като са засечени имена от рода на passwords.exe, porn.exe, secret.exe, sexy.exe, subst.exe, video.exe.

След това Vobfus се копира в %userprofile% папката, като използва случайно генерирано име (или някое от изброените по-горе) и създава ключ в регистъра, който да дава инструкция на системата да стартира малуера заедно с Windows. След всичко това, Vobfus се свързва с командния сървър, за да получи инструкция за свалянето на Beebone, който на свой ред сваля вариант на Vobfus и други зловреди.

Но какво е зловещото в случая?

Цикличната връзка между двете малуер семейства ги прави учудващи устойчиви за премахване от антималуер продуктите, поради възможността, че те могат да се обновяват постоянно. Даже и засечен варианта на Vobfus, който присъства на системата и премахнат, той може междувременно да свали обновен вариант на Beebone, който на свой ред да свали обновен вариант на Vobfus, който не се засича от антималуер продукта. И разбира се свалянето на допълнително малуер от други семейства.

„Нещо повече, ние забелязахме, че на заразените системи присъстват симптоми сочещи присъствието на всичкия малуер, който Beebone сваля и пораженията върху системата, които създава всеки един от тях“, пише Чой.

Чой споделя, че основните вектори за зарязаване с този тип малуер е drive-by даунлоуди при посещение на компрометирани страници в Мрежата и разбира се заразени флаш устройства. Затова Чой съветва две неща – да внимаваме много за връзките, на които кликаме и да изключим Autorun функцията в Windows (ако сте обновили с всички налични кръпки системата си, вероятно тази функция е спряна). И разбира се – да използваме обновен антивирусен продукт.

Описанието на Чой на действието на малуера е доста плашещо. И докато даунлоуд малуерите са нещо обикновено, то странната взаимосвързаност между Vobfus и Beebone не е често срещана.