स्नीकी मैलवेयर माउस आंदोलन के पीछे छिपा हुआ है, विशेषज्ञों का कहना है कि

सुरक्षा विक्रेता फायरएई के शोधकर्ताओं ने एक नया उन्नत लगातार खतरा (एपीटी) खोला है जो माउस क्लिक की निगरानी सहित कई पहचान चोरी तकनीकों का उपयोग करता है, संक्रमित कंप्यूटर के साथ सक्रिय मानव संपर्क निर्धारित करें।

Trojan.APT.BaneChant को बुलाया गया है, मैलवेयर लक्षित ईमेल हमलों के दौरान भेजे गए शोषण के साथ एक वर्ड दस्तावेज़ के माध्यम से वितरित किया जाता है। दस्तावेज का नाम "इस्लामी जिहाद डॉक" में अनुवाद करता है।

"हमें संदेह है कि इस हथियारयुक्त दस्तावेज़ का उपयोग मध्य पूर्व और मध्य एशिया की सरकारों को लक्षित करने के लिए किया गया था," फायरएई के शोधकर्ता चोंग रोंग हवा ने सोमवार को एक ब्लॉग पोस्ट में कहा।

[आगे पढ़ें: अपने विंडोज पीसी से मैलवेयर कैसे निकालें]

मल्टीस्टेज हमला

हमला कई चरणों में काम करता है। दुर्भावनापूर्ण दस्तावेज़ किसी घटक को डाउनलोड और निष्पादित करता है जो यह निर्धारित करने का प्रयास करता है कि ऑपरेटिंग वातावरण एक वर्चुअलाइज्ड है, जैसे एंटीवायरस सैंडबॉक्स या स्वचालित मैलवेयर विश्लेषण प्रणाली, यह देखने के लिए कि दूसरा हमला चरण शुरू करने से पहले कोई माउस गतिविधि है या नहीं।

माउस क्लिक मॉनिटरिंग एक नई पहचान चोरी तकनीक नहीं है, लेकिन अतीत में इसका उपयोग करने वाले मैलवेयर आम तौर पर एक माउस क्लिक के लिए चेक किया जाता है, रोंग हवा ने कहा। उन्होंने कहा कि बैनचंट एक यूआरएल डिक्रिप्ट करने के लिए आगे बढ़ने से पहले कम से कम तीन माउस क्लिक के लिए इंतजार कर रहा है और एक.jpg छवि फ़ाइल के रूप में नकली बैकडोर प्रोग्राम डाउनलोड करता है।

मैलवेयर अन्य पहचान चोरी विधियों को भी नियोजित करता है। उदाहरण के लिए, हमले के पहले चरण के दौरान, दुर्भावनापूर्ण दस्तावेज़ एक ow.ly यूआरएल से ड्रॉपर घटक डाउनलोड करता है। ओउ.ली एक दुर्भावनापूर्ण डोमेन नहीं है, लेकिन एक यूआरएल शॉर्टिंग सेवा है।

इस सेवा का उपयोग करने के पीछे तर्क लक्षित कंप्यूटर या उसके नेटवर्क पर सक्रिय यूआरएल ब्लैकलिस्टिंग सेवाओं को बाईपास करना है, रोंग हवा ने कहा। (यह भी देखें "स्पैमर दुर्व्यवहार। जीओवी यूआरएल शॉर्टनर सेवा काम-पर-घर घोटाले में।"

इसी तरह, हमले के दूसरे चरण के दौरान, दुर्भावनापूर्ण.jpg फ़ाइल नो-आईपी गतिशील के साथ उत्पन्न यूआरएल से डाउनलोड की जाती है डोमेन नाम सिस्टम (डीएनएस) सेवा।

पहले घटक द्वारा लोड होने के बाद,.jpg फ़ाइल "C: ProgramData Google2 \" फ़ोल्डर में GoogleUpdate.exe नामक एक प्रतिलिपि छोड़ देती है। यह एक लिंक भी बनाता है प्रत्येक कंप्यूटर रीबूट के बाद इसके निष्पादन को सुनिश्चित करने के लिए उपयोगकर्ता के स्टार्ट-अप फ़ोल्डर में फ़ाइल में।

यह उपयोगकर्ताओं को यह विश्वास करने का प्रयास है कि फ़ाइल Google अपडेट सेवा का हिस्सा है, एक वैध प्रोग्राम जो सामान्य रूप से स्थापित होता है "सी: प्रोग्राम फ़ाइलें Google अपडेट \" के तहत, रांग ह्वा ने कहा।

बैकडोर प्रोग्राम सिस्टम कमांड को कमांड-एंड-कंट्रोल सर्वर पर इकट्ठा करता है और अपलोड करता है। यह कई आदेशों का भी समर्थन करता है जिनमें से एक डाउनलोड और निष्पादित करता है संक्रमित कंप्यूटर पर अतिरिक्त फाइलें।

रक्षा प्रौद्योगिकियों के रूप में अग्रिम, मैलवेयर भी ई वाल्व, रोंग हवा ने कहा। इस उदाहरण में, मैलवेयर ने कई व्यवहारों का उपयोग किया है, जिसमें मानवीय व्यवहार का पता लगाकर सैंडबॉक्स विश्लेषण से बचने, निष्पादन योग्य फ़ाइलों के मल्टीबाइट एक्सओआर एन्क्रिप्शन करके नेटवर्क-स्तरीय द्विआधारी निष्कर्षण तकनीक को बेदखल कर, वैध प्रक्रिया के रूप में मास्कराइडिंग, फाइललेस का उपयोग करके फोरेंसिक विश्लेषण को समाप्त करना उन्होंने कहा कि दुर्भावनापूर्ण कोड सीधे स्मृति में लोड किया गया है और यूआरएल शॉर्टनिंग और गतिशील DNS सेवाओं के माध्यम से पुनर्निर्देशन का उपयोग कर स्वचालित डोमेन ब्लैकलिस्टिंग को रोक रहा है।