Zemot, malver koji se nedeljama širio preko oglasa na popularnim sajtovima

Opisi virusa, 23.09.2014, 10:29 AM

Google je zaustavio napade koji su dolazili sa oglasne mreže DoubleClick, nakon što su kompaniju o tome obavestili istraživači iz firme Malwarebytes.

Napadi na posetioce popularnih sajtova, među kojima su bili Last.fm, The Times of Israel i The Jerusalem Post okončani su u petak ali ne pre nego što su milioni posetilaca ovih sajtova bili izloženi riziku od infekcije računara malverom Zemot koji se širio preko malicioznih oglasa hostovanih na serverima oglasne platforme Zedo i distribuiranih preko Googleove mreže Doubleclick.

Džerom Segura, istraživač u firmi Malwarebytes kaže da je malver ostao neprimećen nedeljama, zbog čega su milioni računara bili izloženi riziku od infekcije malverom Zemot. Ipak, Segura kaže da su samo računari bez ažurirane antivirusne zaštite bili u stvarnoj opasnosti.

Malver koji su stručnjaci iz Microsofta nazvali Zemot otkriven je krajem prošle godine. Zemot je trojanac downloader koji se koristi za distribuciju brojnih malvera. Za njegovo širenje najčešće je zadužen spambot malver Kuluoz, koji je takođe trojanac koji krade lozinke i druge osetljive podatke, ali može i da preuzima druge malvere na zaraženi računar. Zemot se širi i preko kompromitovanih ili malicioznih sajtova, uz pomoć exploit kita Magnitude ili Nuclear.

Stručnjaci Microsofta primetili su aktivnosti malvera Upatre.B krajem prošle godine kada je ovaj malver bio omiljeno sredstvo sajber kriminalaca za širenje dva malvera umešana u prevare sa klikovima (PWS:Win32/Zbot.gen!AP i PWS:Win32/Zbot.CF).

U maju ove godine, Microsoft je preimenovao Upatre.B u Zemot kako bi se napravila razlika između dve pretnje koje su po prirodi slične, ali se ipak razlikuju po nekim karakteristikama, što je bilo dovoljno da ova pretnja dobije poseban naziv.

Kada se Zemot nađe na sistemu, on počinje da preuzima malver za klik prevare ali su u Microsoftu nedavno primetili da Zemot preuzima i druge malvere (Viknok i Tesch) koji dalje mogu da preuzimaju nove malvere ili mogu da kradu osetljive podatke sa zaraženog računara.

Reč je o veoma kompleksnom lancu infekcije koji se oslanja na nekoliko droppera sve dok payload za malver koji krade podatke ne dođe do zaraženog računara.

Zemot koristi nekoliko tehnika da bi bio siguran da će preuzeti moduli biti uspešni na svim Windows platformama. Svi fajlovi koje preuzme Zemot čuvaju se pod jedinstvenim imenima što doprinosi ne samo izbegavanju detekcije, već takođe omogućava višestruku infekciju istog računara.

Različite varijante malvera Zemot mogu se distribuirati sa drugim malverima, što je još jedna osobenost ove familije malvera.

S obzirom da je reč o veoma kompleksnoj pretnji, veoma je važno da instalirani sigurnosni softver na računaru pokriva svaki deo lanca infekcije, uključujući i downloader koji nosi rizik od ponovne infekcije računara, kažu iz Microsofta.

Više tehničkih detalja o malveru Zemot možete naći na blogu Microsoftovog Centra za zaštitu od malvera.