月曜日からのブログ投稿で, 3 11月, 2014 フォーティネットの研究者は、最近、悪名高いBackoffPoSマルウェアの新しいバージョンに遭遇したと発表しました。, ROMと呼ばれる. 新しいバージョンは、以前のバージョンと比較して非常に正確です.
古いバージョンは以前のバージョンとほとんど同じでしたが, ROMは、マシンのソフトウェア分析プロセスを回避およびバイパスするように設計されています. 技術名がW32/Backoff.Bである最新のバックオフバージョン!tr.spyはログファイルのバージョン番号を使用しなくなりました. これは現在「ROM」という言葉にのみ置き換えられています.
それが常に実行されていることを確認するために, マルウェアは、インストール中にシステム登録を自動的に開始するための一連のログを作成します. 最新バージョンは他のバージョンと同じですが、今回はJavaコンポーネントを装って、mplayerc.exeという名前でWindowsMediaPlayerプログラムの一部としてカバーされています。. 加えて, CopyFileA APIとして自分自身のコピーを作成していた以前のバージョンとは異なり、これは自分自身をAPIWinExecと呼びます.
クレジットカード情報を抽出するためのROMの機能はほとんど同じです, しかし、今ではさらに2つのプロセスが追加されています – 追跡 1 情報と追跡の解析 2 –感染したマシンにデータを保存する. トラック内 1 プロセスの名前は、ハッシュ記号のように偽装されています。 2 ローカルマシンにデータを保存します.
以前のバージョンと同様に、ROMは一部のプロセスの解析を無視します, ただし、プロセス名を通常のコードのブラックリスト内の名前と比較する代わりに、すでにハッシュ値のテーブルを使用しています. 比較が行われた後、クレジットカード情報が暗号化されたファイルに保存されます。 % アプリデータ％ \ メディアプレーヤークラシック \ locale.datWindowsファイルディレクトリ.
制御サーバーとコマンドサーバーでファイルをチェックする前に、マルウェアはまず次のことをチェックします。, 保存されたファイルは、感染したマシンで見つけることができます. このような場合は, 暗号化してPOSTリクエストに入力します.
最新バージョンのマルウェアの制御サーバーおよびコマンドサーバーとの通信に関する変更も行われました。. ポート経由でサーバーと通信します 443, すべてのデータフローも暗号化されています, 検出が非常に困難になります. データリクエストの名前も変更されます, それらのいくつかは追加のBase664暗号化さえ持っています. マルウェアが現在連結している主なコンポーネントは次のとおりです:
- ハードコードされた文字列
- ランダムに生成された7文字のコード
- もう1つのハードコードされた文字列
- ユーザー名とコンピューター名
さらに、サーバーデータの応答も変更されます. 以前のバージョンのシンプルで理解しやすいコマンドで構成されていた場合, 現在、それらはシングルバイトに置き換えられています, 例. –以前のバージョンの「更新」, 新しいバージョン–「0x01」など. 新しい回答はここにあります.
古いバージョンのバックオフキー機能の1つ–キーロガーはROMに存在しません, ただし、将来的にはマルウェアの新しいバージョンで表示される可能性があります.
私たちはすべての読者に彼らのアンチウイルスソフトウェアを維持し、ニュースのためにすべてのセキュリティアップデート記事に従うようにアドバイスします.
