Przyzwyczailiście się już do regularnych analiz malware'u, wykonywanych przez moich kolegów z CERT Orange Polska? To dobrze, bo przed Wami kolejna. Tym razem coś zupełnie innego - bot Onion Duke, który wykorzystując podstępnie korzystających z jednego z węzłów sieci TOR, cichaczem dołączał do każdego pliku dropper, instalujący trojana na komputerze ofiary. Węzeł TOR, o którym mowa, mieścił się w Rosji, a część opracowań, opartych na statycznej i behawioralnej analizie próbki, wskazuje jego związek z operacjami prowadzonymi przeciwko systemom teleinformatycznym NATO, ujawnionymi w 2013 roku.
Ten Onion Duke to żarcik taki - bowiem przestępcy nie tylko zainstalowali się w sieci TOR (The Onion Routing, Trasowanie Cebulowe), ale dodatkowo niczym warstwami cebuli „owijali” każdy pobrany plik wykonywalny w specjalny program, który niejako przemycał droppera do atakowanego systemu.
Naszą dokładną analizę - oczywiście jak zawsze, dla hardcore'ów - przeczytacie tutaj.