Podle zpráv z internetových zdrojů byly tisíce počítačů běžících na Windows infikovány novým druhem malware, který provádí stahování a instalaci kopie infrastruktury Node.js a přeměňuje infikované systémy na proxy servery používané k podvodným operacím.
Malware označovaný jako Nodersok ve zprávě Microsoftu a Divergent ve zprávě Cisco Talos byl objeven v létě tohoto roku. Šířil se prostřednictvím škodlivé reklamy, která byla využita k nucenému stahování souborů HTML Application do počítačů. Uživatelé, kteří tyto soubory spustili na svých PC, spustili vícestupňový proces infekce využívající skripty Excel, JavaScript a PowerShell, což nakonec vedlo k stažení a instalaci malware Nodersok.
Samotný malware má několik komponentů určených k plnění různých cílů. Například modul PowerShell se používá k deaktivaci Centra aktualizací a standardní ochrany Windows. Kromě toho existuje modul, který se používá k zvyšování privilegií malwaru v systému. V komponentách jsou však i legitimní aplikace: WinDivert a Node.js. První nástroj slouží k zachycení a interakci se síťovými pakety, zatímco druhý umožňuje spouštět JavaScript na webových serverech.
Ve zprávách Microsoftu a Cisco se uvádí, že malware používá dvě legitimní aplikace k provozování proxy-serveru na infikovaných strojích. Podle údajů Microsoftu malware přeměňuje infikované uzly na proxy-servery pro přenos škodlivého provozu. Ve zprávě Cisco se uvádí, že proxy servery se používají k provádění podvodných činností.
Aby se předešlo infekci, odborníci doporučují nespouštět soubory HTML Application, které se objeví na PC, zejména pokud je jejich původ neznámý. V každém případě jsou soubory, které se nečekaně stahují z webových stránek, vždy špatným znamením a není jim možné důvěřovat, bez ohledu na příponu.
Zdroj: 3dnews.ru
