Според мрежови източници, хиляди компютри, работещи с Windows, са заразени с нов вид злонамерен софтуер, който изтегля и инсталира копие на инфраструктурата Node.js, превръщайки заразените системи в прокси сървъри, използвани за извършване на измамни операции.
Злонамерените програми, наречени Nodersok в доклада на Microsoft и Divergent в доклада на Cisco Talos, бяха открити през лятото на тази година. Те се разпространяваха чрез злонамерена реклама, която беше използвана за принудително изтегляне на файлове от HTML Application на компютри. Потребителите, които стартираха тези файлове на своите РС, стартираха многостепенен процес на заразяване с помощта на скриптове на Excel, JavaScript и PowerShell, което в крайна сметка доведе до изтегляне и инсталация на злонамерения софтуер Nodersok.
Самият злонамерен софтуер съдържа няколко компонента, предназначени за изпълнение на различни цели. Например, модулът PowerShell се използва за деактивиране на Центъра за обновления и стандартната защита на Windows. Освен това, има модул, който се използва за повишаване на привилегиите на злонамерения софтуер в системата. Въпреки това, има и легитимни приложения: WinDivert и Node.js. Първият инструмент се използва за захващане и взаимодействие с мрежовите пакети, а вторият позволява изпълнение на JavaScript на уеб сървъри.
В докладите на Microsoft и Cisco се посочва, че злонамереният софтуер използва две легитимни приложения за стартиране на прокси-сървър на заразените машини. Според данни от Microsoft, злонамереният софтуер превръща заразените възли в прокси-сървъри за предаване на злонамерен трафик. В доклада на Cisco се казва, че прокси сървърите се използват за извършване на измамни действия.
За да се предотврати заразяване, специалистите препоръчват да не се стартират файлове от HTML Application, открити на РС, особено ако произходът им е неизвестен. Във всеки случай, файлове, които неочаквано се изтеглят от уеб страници, винаги са лош знак и не трябва да им се доверява, независимо от разширението.
Източник: 3dnews.ru
