Fauxpersky: um novo malware lançado em 2018

A digitalização melhorou consideravelmente nosso padrão de vida, tornando as coisas mais fáceis, rápidas e confiáveis. Mas manter todos os registros no computador e processar pela Internet é como uma moeda com dois lados diferentes. Com inúmeros benefícios, existem algumas desvantagens notáveis, especialmente os hackers e suas ferramentas conhecidas como malware. A mais recente adição a esta grande família de malware é o Fauxpersky. Embora rima com o famoso antivírus russo 'Kaspersky', mas é aí que seus caminhos divergem .. Fauxpersky se disfarça como Kaspersky e é projetado para roubar informações do usuário e enviá-las para hackers pela internet. Ele se espalha através de drives USB, infectando o computador do usuário, capturando todas as teclas digitadas como um keylogger e, finalmente, enviando para a caixa de correio do invasor através do GoogleFormulários. A lógica por trás do nome desse malware é simples. Qualquer coisa feita em imitação seria conhecida como Faux, portanto, a imitação do Kaspersky seria Faux - Kaspersky ou Fauxpersky.

Para entender o processo de execução desse malware, vamos primeiro verificar seus vários componentes:

Key Logger

O Google define um programa de computador que registra cada pressionamento de tecla feito por um usuário de computador, especialmente para obter acesso fraudulento a senhas e outras informações confidenciais. No entanto, quando projetado inicialmente, o Keylogger serviu a um propósito para os pais que podiam monitorar a atividade online de seus filhos e para organizações onde os empregadores podiam determinar se os funcionários estavam trabalhando nas tarefas desejadas atribuídas a eles.

Leia também: -

Como se proteger contra keyloggers Keyloggers são perigosos e para ficar protegido é preciso sempre manter o software atualizado, usar teclados na tela e seguir tudo ...

AutoHotKey

AutoHotkey é uma linguagem de script personalizada de código aberto gratuita para Microsoft Windows, inicialmente destinada a fornecer atalhos de teclado fáceis ou teclas de atalho, criação de macro rápida e automação de software que permite aos usuários de muitos níveis de habilidade informática automatizar tarefas repetitivas em qualquer aplicativo do Windows. Da Wikipedia, a enciclopédia gratuita.

Formulários Google

O Formulários Google é um dos aplicativos que formam o pacote de aplicativos de escritório on-line do Google. Ele é usado para criar uma pesquisa ou questionário que é enviado ao grupo de pessoas desejado e suas respostas são registradas em uma única planilha para fins analíticos.

Kaspersky

Kaspersky é uma conhecida marca russa de antivírus que desenvolveu antivírus, segurança da Internet, gerenciamento de senhas, segurança de endpoint e outros produtos e serviços de segurança cibernética.

Lá, como às vezes é dito “Muitas coisas boas podem tornar-se uma grande coisa ruim”.

Receita Fauxpersky

O Fauxpersky foi desenvolvido usando ferramentas AutoHotKey (AHK) que lêem todos os textos inseridos pelo usuário no Windows e enviam as teclas digitadas para outros aplicativos. O método usado pelo keylogger AHK é bastante direto; ele se espalha por meio da técnica de autorreplicação. Uma vez executado no sistema, ele inicia o armazenamento de todas as informações digitadas pelo usuário em um arquivo de texto com o nome da respectiva janela. Ele opera sob a máscara do Kaspersky Internet Security e envia todas as informações registradas nas teclas digitadas para um hacker por meio do Formulários Google. O método de extração de dados é incomum: os invasores os coletam de sistemas infectados usando formulários do Google sem causar qualquer dúvida nas soluções de segurança que analisam o tráfego, já que as conexões criptografadas com docs.google.com não parecem suspeitas. Uma vez que a lista de pressionamentos de tecla foi enviada, ele é excluído do disco rígido para evitar a detecção. No entanto, uma vez que o sistema é infectado, o malware é inicializado novamente depois que o computador é reiniciado. Ele também cria um atalho para si mesmo no diretório de inicialização do menu Iniciar.

Fauxpersky: Modus Operandi

O processo de infecção inicial ainda não foi determinado, mas depois que o malware compromete um sistema, ele verifica todas as unidades removíveis conectadas ao computador e se replica nelas. Ele cria uma pasta em% APPDATA% com o nome de “ Kaspersky Internet Security 2017 ” com seis arquivos, quatro dos quais são executáveis ​​e têm o mesmo nome do arquivo de sistema do Windows: Explorers.exe, Spoolsvc.exe, Svhost.exe e Taskhosts.exe. Os outros dois arquivos são um arquivo de imagem com o logotipo do antivírus Kaspersky e outro arquivo que é um arquivo de texto com o nome de 'readme.txt'. Os quatro arquivos executáveis ​​realizam funções diferentes:

• Explorers.exe - se espalha de máquinas host para unidades externas conectadas por meio da duplicação de arquivos.
• Spoolsvc.exe - Altera os valores de registro do sistema que, por sua vez, evita que o usuário visualize todos os arquivos ocultos e de sistema.
• Svhost.exe- usa funções AHK para monitorar a janela ativa no momento e registrar todas as teclas digitadas nessa janela.
• Taskhosts.exe - é usado para o upload final dos dados.

Todos os dados gravados no arquivo de texto serão enviados para a caixa de correio do invasor por meio de formulários do Google e serão excluídos do sistema. Além disso, os dados transmitidos por meio do Google Forms já foram criptografados, o que faz com que os uploads de dados da Fauxpersky pareçam não suspeitos em várias soluções de monitoramento de tráfego.

A empresa de segurança cibernética 'Cybereason' é responsável pela descoberta desse malware e, embora não indique quantos computadores foram infectados, a inteligência de Fauxpersky é espalhada por meio do método antiquado de compartilhamento de drives USB. Assim que o Google foi notificado, ele respondeu imediatamente retirando o formulário de seus servidores em uma hora.

Remoção

Se achar que seu computador também está infectado, basta acessar a pasta 'AppData' e entrar na pasta 'Roaming' e excluir os arquivos relacionados ao Kaspersky Internet Security 2017 e o próprio diretório do diretório de inicialização localizado no menu iniciar. Também é aconselhável modificar as senhas dos serviços, para evitar o uso não autorizado das contas.

Mesmo com o antimalware mais recente, o dinheiro pode comprar, seria errado pensar que nossas informações pessoais armazenadas em nossos computadores são seguras porque malwares são frequentemente criados por ativistas da engenharia social em todo o mundo. Os desenvolvedores de antimalware podem continuar atualizando as definições de malware, mas nem sempre é 100% possível detectar o software anômalo criado por mentes brilhantes que se perderam. A melhor maneira de evitar uma infiltração é visitar apenas sites confiáveis ​​e ter muito cuidado ao usar unidades externas.