Bezpieczeństwo

Analiza dwóch nowych wirusów

Michał Rosiak Michał Rosiak
27 października 2016
Analiza dwóch nowych wirusów

Tekst uaktualniony: W czwartek wrzuciłem analizę keyloggera, a już w piątek pojawił się nowy malware, tym razem na Androida, zdecydowałem się więc uaktualnić ten materiał i wrzucić do niego drugą analizę..

8594dd2086f66ded63665d36014beb8d99dKoledzy z CERT Orange Polska przyjrzeli się w ostatnich dniach kolejnemu malware'owi, tym razem keyloggerowi iSpy. To dość popularne wśród oszustów narzędzie które - jak widać na obrazku - można kupić za relatywnie niskie pieniądze, z rocznym wsparciem. Tak jest - usługi cyberprzestępcze można kupić niczym kajzerki w dyskoncie... Albo inaczej - jak zwykłą usługę z dostawą do domu, montażem i uruchomieniem, użytkownik nie musi się na niczym znać.

Celem komercyjnych keyloggerów jest zebranie jak największej ilości danych. iSpy posiada pełny „builder” – program za pomocą którego kupujący może w odpowiedni sposób dostosować swojego wirusa do własnych potrzeb zaznaczając tylko pola z wielu opcji. Badana próbka była skonfigurowana z modułami keyloggera, kopiowania zawartości schowka i wykonywania zrzutów ekranu. iSpy dostarczany jest za pośrednictwem spamu, który posiada złośliwy załącznik typu *.js JavaScript lub dokument Microsoft Office, który następnie pobiera kolejne komponenty malware. Do tej pory znaleziono wiele różnych typów pakerów napisanych w językach Visual Basic 6.0, AutoIt (ten język wykorzystywała analizowana próbka) oraz .Net. Wirus może wysłać skradzione dane za pomocą HTTP, SMTP lub FTP. W badanej przez CERT Orange Polska próbce była wykorzystana jedynie druga z tych metod.

Przypadek piątkowy to natomiast malware na Androida, podszywający się - o zgrozo! - pod oprogramowanie rzekomo zabezpieczające transakcje bankowe. Aż żal... serce ściska, że ludzie się jeszcze na to łapią.

Raport dotyczący Keyloggera znajdziecie tutaj, zaś malware Androidowy opisany jest tutaj.

Scroll to Top