Poweliks – nowy malware, który nie tworzy żadnego pliku na dysku

5 sierpnia, 2014

Celem pierwszorzędnym większości szkodliwego oprogramowania jest wykonywanie swojego szkodliwego kodu, na drugie miejsce schodzi konieczność niezauważonego działania w systemie tak długo, jak to tylko możliwe. Twórcy oprogramowania zabezpieczającego stale ulepszają metody wykrywania i starają się zachować jeden krok przewagi. Czy to się udaje?

Jako przykład przytoczmy niedawno odkryte przez lab G Daty malware Poweliks. Jest to trojan, którego głównym celem jest pobieranie złośliwego oprogramowania do systemu. I nic w tym dziwnego na pierwszy rzut oka. Zazwyczaj, gdy mówi się o złośliwym oprogramowaniu, odnosi się do plików wykonywalnych w systemie komputerowym, które mają za zadanie np. kradzież poufnych danych. Pliki te mogą zostać skasowane przez silniki antywirusowe w sposób klasyczny.

Sęk w tym, że Poweliks jest w stanie przetrwać w systemie, pozostać niezauważony, ponieważ nie tworzy żadnego pliku.

matryoshka

Metoda działania

Początkowy plik, który uruchamia wszystkie szkodliwe aktywności w systemie komputerowym posiada cały kod niezbędny do ataku, jest zaszyfrowany i ukryty, czeka na swoje wywołanie. Zasada działania trojana Poweliks przypomina rosyjską lalkę matrioszkę.

  • Jako punkt wyjścia trojan ​​wykorzystuje podatności w zabezpieczeniach programu Microsoft Word przy pomocy spreparowanego dokumentu Word, który dystrybuowany jest za pośrednictwem poczty e-mail. 
  • Po uruchomieniu zainfekowanego pliku i ponownym uruchomieniu systemu, trojan tworzy zakodowany klucz rejestru w autostarcie pozostając niezauważony (klucze są ukryte).  
  • Następnie, trojan za pomocą powłoki wiersza poleceń Microsoft PowerShell instaluje dodatkowy kod, który jest skryptem PowerShell zakodowanym w Base64, wywołuje i wykonuje niskopoziomowy program (schellcode) napisany w asemblerze.
  • W końcowym etapie schellcode wykonuje binarny ładunek, który próbuje się połączyć z zakodowanymi adresami IP, aby otrzymać dalsze polecenia od hakera.
  • Wszystkie działania są przechowywane w rejestrze. Trojan Poweliks nie tworzy żadnych plików na dysku.

87001e9f6f

Tak więc, napastnicy są w stanie obejść klasyczne techniki anty-malware. Wszystkie polecenia trojana są wykonywane w pamięci.

Aby zapobiec atakom jak ten, programy antywirusowe muszą albo wykryć zainfekowany plik wordowski zanim zostanie wykonany, albo muszą korzystać z kolejnych linii obrony jakimi są kontrola rejestru i blokada nietypowych zachowań procesów.

źródło: G Data

Czy ten artykuł był pomocny?

Oceniono: 0 razy

Picture of Adrian Ścibor

Adrian Ścibor

W ramach działań związanych z cyberbezpieczeństwem odpowiada w AVLab za przeprowadzanie testów rozwiązań ochronnych przed zagrożeniami. Opracowuje strategie oraz narzędzia, które pomagają w ochronie danych i systemów przed cyberatakami. Współuczestnik międzynarodowej grupy non-profit AMTSO, która zrzesza ekspertów IT.
Picture of Adrian Ścibor

Adrian Ścibor

W ramach działań związanych z cyberbezpieczeństwem odpowiada w AVLab za przeprowadzanie testów rozwiązań ochronnych przed zagrożeniami. Opracowuje strategie oraz narzędzia, które pomagają w ochronie danych i systemów przed cyberatakami. Współuczestnik międzynarodowej grupy non-profit AMTSO, która zrzesza ekspertów IT.

PODZIEL SIĘ:

guest
0 komentarzy
najstarszy
najnowszy oceniany
Inline Feedbacks
View all comments

Zapisz się na newsletter

Informacje o cyberbezpieczeństwie prosto na skrzynkę pocztową!

Dodatkowo otrzymasz poradnik „Jak bezpiecznie funkcjonować w cyfrowym świecie”

[ninja_tables id=”27481″]