Phần mềm độc hại sử dụng Google Documents làm proxy để chỉ huy và kiểm soát máy chủ

Các nhà nghiên cứu bảo mật từ nhà cung cấp chống vi-rút Symantec đã phát hiện ra một phần mềm độc hại sử dụng Google Documents. Google Drive, là cầu nối khi giao tiếp với kẻ tấn công nhằm che giấu lưu lượng truy cập độc hại.

Phiên bản phần mềm độc hại mới từ gia đình Backdoor.Makadocs sử dụng tính năng “Trình xem” của Google Drive làm proxy để nhận hướng dẫn từ máy chủ điều khiển và lệnh thực. Trình xem Google Drive được thiết kế để cho phép hiển thị nhiều loại tệp từ các URL từ xa trực tiếp trong Google Documents.

"Vi phạm chính sách của Google, Backdoor.Makadocs sử dụng chức năng này để truy cập máy chủ C & C [lệnh kiểm soát]" Nhà nghiên cứu của Symantec, Takashi Katsuki, hôm thứ sáu trên một bài đăng trên blog.

[Đọc thêm: Cách xóa phần mềm độc hại khỏi máy tính Windows của bạn]

Có thể tác giả phần mềm độc hại đã sử dụng phương pháp này để làm cho mạng trở nên khó khăn hơn các sản phẩm bảo mật để phát hiện lưu lượng độc hại, vì nó sẽ xuất hiện dưới dạng các kết nối được mã hóa - Google Drive sử dụng HTTPS theo mặc định - với dịch vụ đáng tin cậy, Katsuki nói.

“Sử dụng bất kỳ sản phẩm nào của Google để thực hiện loại hoạt động này là vi phạm chính sách sản phẩm của chúng tôi ”, một đại diện của Google cho biết vào thứ Hai qua email. "Chúng tôi điều tra và hành động khi chúng tôi nhận thức được sự lạm dụng."

Backdoor.Makadocs được phân phối với sự trợ giúp của tài liệu Định dạng Văn bản Giàu (RTF) hoặc Microsoft Word (DOC), nhưng không khai thác bất kỳ lỗ hổng nào để cài đặt độc hại của nó thành phần, Katsuki nói. "Nó cố gắng để đánh lừa sự quan tâm của người dùng với tiêu đề và nội dung của tài liệu và lừa họ nhấp vào nó và thực hiện nó."

Giống như hầu hết các chương trình backdoor, Backdoor.Makadocs có thể thực thi lệnh nhận được từ máy chủ C & C của kẻ tấn công và có thể Tuy nhiên, một khía cạnh đặc biệt thú vị của phiên bản được phân tích bởi các nhà nghiên cứu Symantec là nó chứa mã để phát hiện nếu hệ điều hành được cài đặt trên máy đích là Windows Server 2012 hoặc Windows 8, được phát hành của Microsoft vào tháng 9 và tháng 10 tương ứng.

Phần mềm độc hại không sử dụng bất kỳ chức năng nào độc đáo đối với Windows 8, nhưng sự hiện diện của mã này cho thấy biến thể phân tích là tương đối mới, Katsuki nói. mã của phần mềm độc hại và tên của tài liệu mồi cho thấy rằng nó đang được sử dụng để nhắm mục tiêu người dùng Braxin. Hiện tại, Symantec xếp hạng mức độ phân phối của phần mềm độc hại thấp.