Llega el malware que estudia los clicks de ratón para no ser detectado
Las ATP, lo amenazas persistentes avanzadas, siguen evolucionando, poniéndoselo cada vez más difícil a las empresas de seguridad y a los usuarios.
La situación se vuelve cada vez más complicada para las empresas de seguridad. La empresa FireEye asegura haber detectado un nuevo ATP, o amenaza persistente avanzada, que utiliza múltiples técnicas para evitar ser detectado, incluida la monitorización de los clicks de ratón.
El malware detectado se llama Trojan.APT.BaneChant, y se está distribuyendo a través de un documento de Word que, según Chong Rong Hwa, investigador de FireEye tiene como objetivo los gobiernos de Oriente Medio y Asia Central.
Los ataques se producen en múltiples etapas. Primer se descarga el documento y se ejecuta un componente que intenta determinar si el sistema operativo es virtualizado, esperando a ver si hay actividad del ratón antes de iniciar la segunda etapa del ataque.
La monitorización de los clicks de ratón no es una técnica de evasión de detección nueva, pero el malware que lo utilizaba en el pasado sólo esperaba un click, mientras que ahora se esperan hasta tres clicks antes de proceder a acceder a una web y descargar un programa de puerta trasera que se camufla como si fuera un archivo de imagen JPG, explica Rong en un post.
Otra técnica que utiliza para no ser detectado es que durante la primera etapa del ataque, el documento malicioso descarga los componentes poco a poco desde una URL ow.ly, que no es un nombre de dominio, sino un servicio para acortar las URL. De manera similar, la imagen que se descarga se hace desde una URL generada mediante un servicio de DNS dinámico.
El caso es que después de cargarse el primer componente, el archivo .jpg hace una copia de sí mismo llamado GoogleUpdate.exe y genera un enlace al archivo de arranque para asegurarse de que una vez que el usuario inicie la máquina el archivo se ejecute.
Cuando lo vean, los usuarios creerán que el archivo es parte del servicio de actualización de Google y por tanto que es un programa legítimo.
El programa de puerta trasera recoge la información del sistema y la carga en un servidor de comando y control.