CoreWarrior: Троянски кон на стероиди в света на Windows

Компания, специализирана в областта на киберсигурността SonicWall е засякла активност на CoreWarrior – устойчив троянски кон, който се разпространява с висока скорост. Вирусът създава десетки копия и се свързва с множество IP адреси, като създава пролуки за достъп и контролира елементи от потребителския интерфейс на Windows.

При стартиране CoreWarrior създава свое собствено копие с произволно име и използва командния ред, за да изпраща данни към сървъра чрез „curl“. При всяка успешна POST заявка родителската програма изтрива предишното копие и създава ново. Само за 10 минути активност зловредният софтуер може да създаде и изтрие над 100 свои копия.

По време на своята дейност програмата отваря портове в диапазоните 49730-49777 и 50334-50679. Открита е и връзка с IP адрес 172.67.183.40, но там не е наблюдаван активен TCP/UDP трафик.

Троянският кон разполага с механизми за защита срещу анализ. По-специално, той използва анти дебъгване с rdtsc за проверка на времето на изпълнение, както и случайни таймери за заспиване, които се променят в зависимост от броя на връзките. Софтуерът може да определи дали се изпълнява във виртуализирана среда, като проверява за наличие на HyperV контейнери. Зловредният софтуер поддържа и протоколи FTP, SMTP и POP3 за ексфилтрация на данни.

SonicWall вече пусна сигнатури за защита на потребителите от този троянски кон. Очаква се скоро и други производители на антивирусен софтуер да го направят. За да се предотвратят евентуални атаки, на потребителите се препоръчва да поддържат в актуално състояние своя софтуер за защита, както и базата данни с подписи.