Šta se krije iza slika zalazećeg sunca i mačaka

Opisi virusa, 05.03.2014, 07:25 AM

Stručnjaci kompanije Trend Micro upozorili su na malver koji koristi steganografiju da bi sakrio konfiguracijske fajlove u slici i koji cilja na korisnike nekoliko evropskih banaka. Iako nije uobičajena, tehnika koju koristi ovaj malver nije nova.

Malver Zbot na zaraženom računar dobija komandu da preuzme JPEG fajl bez znanja korisnika, koji čak i ne vidi sliku koju preuzme malver, a čak i ako se desi da je vidi, slika izgleda kao obična fotografija zalazećeg sunca ili mačke koja neće izazvati sumnju kod korisnika. Konkretne fotografije koje preuzima malver su uzete popularnih foto-šering sajtova.

Uz pomoć steganografije, spisak banaka i finansijskih institucija koje će biti nadgedane se sakriva u slici. Na spisku su banke i institucije iz celog sveta, pre svega, iz Evrope i sa Bliskog istoka. Kada korisnik poseti neki od sajtova sa spiska, malver započinje proces krađe podataka kao što su korisničko ime i lozinka.

Malver dobija JPEG fajl sa istog servera na kome se nalaze i ostale komponente malvera. Kada se fajl dešifruje, podaci skriveni u slici otkrivaju njegovu pravu prirodu i svrhu, jer fajl ustvari sadrži pomenutu listu i URL-ove banaka i finansijskih institucija koje su meta malvera.

Sakrivanje konfiguracijskih fajlova malvera na ovaj način omogućava hakerima da zaobiđu mnoge tradicionalne sigurnosne mehanizme, uključujući i antivirusni softver. Slike izgledaju bezopasno, što je dobro podsećanje da se nijedan fajl ne bi smeo smatrati bezbednim samo zato što na prvi pogled deluje kao obična slika, pesma ili film, kažu iz Trend Micro.

Malver Zbot koji inače radi sve što i slični malveri, a to uglavnom znači prikupljanje korisničkih imena i lozinki bankovnih i drugih naloga, takođe preuzima i jedan drugi malver, TROJ_FOIDAN.AX. Ovaj Trojanac uklanja X-Frames-Options HTTP zaglavlje sa sajtova koje korisnik posećuje, omogućavajući da se web sajtovi prikazuju unutar frejma. Zbot se do sada nije povezivao sa clickjacking napadima ali jeste sa drugim pretnjama, kao što su fajl infektori ili ransomware.

Zbot je stara verzija Trojanca Zeus koja je dizajnirana za krađu finansijskih informacija od žrtava. Verovalo se da je Zbot blizu nestanka kada su kriminalci počeli da koriste novije verzije malvera Zeus. Međutim, u maju prošle godine, Trend Micro je primetio povratak Zbot malvera.

Novi napadi malvera Zbot pokazuju da obični kriminalci počinju da uče iz naprednih hakerskih kampanja.