Trojan IcoScript atakuje system Windows

Przeczytaj także: Ransomware: trojan Koler wyłudza okup

Dostęp do aplikacji takich jak webmail bardzo rzadko jest blokowany przez administratorów w sieciach firmowych. Stąd trojan jest w stanie otrzymywać komendy i wykonywać polecenia hakerów bez nadmiernego zwracania na siebie uwagi i ryzyka wykrycia. Specjaliści bezpieczeństwa z G DATA SecurityLabs określili zagrożenie jako Win32.Trojan.IcoScript.A.

Trojan infekuje komputery działające pod systemem Windows

Ten podstępny malware sprawiał kłopoty użytkownikom już od 2012 roku, wciąż unikając wykrycia przez badaczy. Trojan typu RAT (dający atakującym zdalny dostęp do zainfekowanej maszyny) infekował jedynie komputery z systemem Windows. Popularne złośliwe oprogramowanie najczęściej wstrzykuje się w procesy aplikacji, co umożliwia jego wykrycie za pomocą odpowiedniego oprogramowania antywirusowego. IcoScript wykorzystuje natomiast standard COM (Component Object Model) tworzenia interfejsów programistycznych, by uzyskać dostęp do przeglądarki systemowej. Spośród wielu funkcji interfejsu COM umożliwia on np. tworzenie pluginów do przeglądarki Internet Explorer, co umożliwia atakującym uzyskanie swego rodzaju przyczółku do przeprowadzenia ataku na samą przeglądarkę bez jego wykrycia.

Po wszystkim rejestrowany ruch sieciowy nie różni się niczym od zwykłego ruchu generowanego podczas surfowania przez użytkownika po internecie. Dodatkowo atakujący nie muszą martwić się o odpowiednie ustawienia sieciowe, które można konfigurować właśnie z poziomu przeglądarki. Ten płynnie dostosowujący się malware, którego przejawy działania zastają zamaskowane w zwykłym strumieniu danych wymienianym podczas korzystania z internetu, zaskakuje skalą problemu wszystkie działy bezpieczeństwa IT – mówi Ralf Benzmüller, szef laboratorium G DATA. Przykład IcoScript ukazuje nam, jak hakerzy odpowiadają na działania prewencyjne i prowadzą korespondencyjną wojnę z tzw. good guys.

Przekazywanie komend z wykorzystaniem webmail

IcoScript działa dzięki Internet Explorer, przeglądarce, którą wykorzystuje jako narzędzie zezwalające mu na niezauważoną komunikację poprzez webmail ze swoimi twórcami lub osobami zarządzającymi botnetem. Aby pobrać wiadomości ze skrzynki odbiorczej, IcoScript posiada swój własny język skryptowy, umożliwia on wykonywanie automatycznych operacji na stronach internetowych portali. W przypadku IcoScript.A cały proces rozpoczyna się od otworzenia strony logowania do poczty Yahoo, następnie zalogowania do niej i pobrania wiadomości email. Trojan następnie przeszukuje pobrane wiadomości pod kątem kodu kontrolnego, który po odnalezieniu jest przekazywany jako komendy i instrukcje. Wiadomości email mogą zostać wykorzystane również do przesyłania danych wykradzionych z zaatakowanej sieci. Działania trojana nie ograniczają się jedynie do poczty oferowanej przez serwis Yahoo. Metoda ta sprawdza się na wielu różnych serwisach jak Gmail, Outlook itp. Czy nawet LinkedIn, Facebook oraz inne serwisy społecznościowe mogą zostać wykorzystane do komunikacji pomiędzy cyberprzestępcami, a złośliwym oprogramowaniem. – wyjaśnia Benzmüller.