Znana z dostarczania rozwiązań służących bezpieczeństwu w sieci firma ESET poinformowała o zidentyfikowaniu nowego, groźnego robaka infekującego system przez pendrivy. Nie była by to sensacyjna wiadomość, gdyby nie automatyczne tryby autoochrony stosowane przez malware.
Zamiast stosowanego popularnie przez trojany mechanizmu tworzenia odpowiednio spreparowanego pliku autorun na pendrivie lub skrótów zachęcających nieświadomego użytkownika do ich uruchomienia nowy trojan dopisuje się do łańcucha komend jednej z popularnych aplikacji w wersji portable. Może to być przeglądarka Firefox, edytor NotePad++, oprogramowanie szyfrujące TrueCrypt albo inny EXE.
W momencie uruchomienia aplikacji kod trojana jest wykonywany jako jedna z komend w tle. Wykrycie utrudnia linkowanie do plików w postaci biblioteki dynamicznej DLL lub jako plugin programu. Na złośliwy kod składa się sześć plików. Dwa zawierają dane konfiguracyjne, cztery to pliki wykonywalne. Nie pozwalają się one kopiować, co utrudnia pracę programów do analizy kodu. Trojan osiąga to przez automatyczne samoszyfrowanie.
Dodatkowo uruchomienie pliku powodujące wykonanie kodu generuje nazwę pliku opartą na dacie i identyfikatorach sprzętowych. Powoduje to dynamiczne i niepowtarzalne mutacje także samych nazw plików wirusa. Skopiowanie plików do innej lokalizacji powoduje przez to utratę pierwotnych komend wirusa, więc znowu uniemożliwia analizę faktycznej aktywności robaka.
Sam proces wykonywalny, odpowiedzialny za kradzież danych, podszywa się pod proces
%windir%\system32\svchost.exe -k netsvcs
który normalnie występuje w systemie. Bez znajomości PIDów aplikacji przeciętny użytkownik nie zobaczy zatem nic dziwnego. Samo oprogramowanie służyć może do kradzieży praktycznie całości danych – dokumentów, zdjęć, kluczy rejestru. Po usunięciu pendriva wszelkie ślady ingerencji znikają. Po raz kolejny zatem potwierdza się konieczność stosowania ograniczonego zaufania dla obcych napędów. ESET nadał nazwę USB Thief znalezionemu wirusowi.
Źródło: Beta News