Złośliwe oprogramowanie używa Dokumentów Google jako serwera proxy do kontrolowania i administrowania serwerem

Naukowcy bezpieczeństwa od producenta oprogramowania antywirusowego firmy Symantec odkryli szkodliwe oprogramowanie wykorzystujące Dokumenty Google, które jest obecnie częścią Dysk Google, jako pomost łączący się z atakującymi w celu ukrycia szkodliwego ruchu.

Złośliwe oprogramowanie - nowa wersja z rodziny Backdoor.Makadocs - używa funkcji "Przeglądarki" Dysku Google jako serwera proxy do odbierania instrukcji od prawdziwy serwer sterowania i kontroli. Przeglądarka Dysku Google umożliwia wyświetlanie różnych typów plików ze zdalnych adresów URL bezpośrednio w Dokumentach Google.

"Z naruszeniem zasad Google, Backdoor.Makadocs używa tej funkcji, aby uzyskać dostęp do swojego serwera C & C [command in control]," powiedział badacz Symantec Takashi Katsuki, piątek w poście na blogu.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z Windows]

Możliwe, że autor szkodliwego oprogramowania wykorzystał to podejście, aby utrudnić działanie na poziomie sieci produkty bezpieczeństwa do wykrywania złośliwego ruchu, ponieważ będzie on wyglądał jak zaszyfrowane połączenia - Dysk Google domyślnie korzysta z HTTPS - z ogólnie zaufaną usługą, powiedział Katsuki.

"Używanie dowolnego produktu Google do prowadzenia tego rodzaju działalności stanowi naruszenie nasze zasady dotyczące produktów ", powiedział przedstawiciel firmy Google w poniedziałek za pośrednictwem poczty elektronicznej. "Badamy i podejmujemy działania, gdy dowiemy się o nadużyciach."

Backdoor.Makadocs jest dystrybuowany za pomocą dokumentów Rich Text Format (RTF) lub Microsoft Word (DOC), ale nie wykorzystuje żadnej luki w zabezpieczeniach, aby zainstalować złośliwe oprogramowanie składniki, powiedział Katsuki. "Próbuje wzbudzić zainteresowanie użytkownika tytułem i zawartością dokumentu i nakłonić ich do kliknięcia i wykonania go."

Podobnie jak większość programów typu backdoor, Backdoor.Makadocs może wykonywać polecenia otrzymane od serwera C & C atakującego i może kradzież informacji z zainfekowanych komputerów.

Jednak szczególnie interesującym aspektem wersji analizowanej przez badaczy firmy Symantec jest to, że zawiera kod do wykrycia, czy system operacyjny zainstalowany na maszynie docelowej to Windows Server 2012 lub Windows 8, które zostały wydane według Microsoftu odpowiednio we wrześniu i październiku.

Złośliwe oprogramowanie nie używa żadnej funkcji, która jest unikalna dla Windows 8, ale obecność tego kodu sugeruje, że analizowany wariant jest stosunkowo nowy, powiedział Katsuki.

Pozostałe ciągi z Kod szkodliwego oprogramowania i nazwy dokumentów przynęty sugerują, że jest on używany do kierowania reklam na użytkowników brazylijskich. Firma Symantec obecnie obniża poziom rozpowszechnienia szkodliwego oprogramowania.