Ifølge netkilder er tusindvis af Windows-computere blevet inficeret med en ny type malware, der downloader og installer en kopi af Node.js-infrastrukturen, hvilket omdanner de inficerede systemer til proxy-servere, der bruges til at udføre svindeloperationer.
Malware, kaldet Nodersok i Microsofts rapport og Divergent i Cisco Talos' rapport, blev opdaget sommeren i år. De blev spredt gennem ondsindet reklame, der blev brugt til at tvinge HTML-application filer til at blive downloadet på computere. Brugere, der kørte disse filer på deres PC'er, startede en flertrins inficeringsproces ved hjælp af Excel-scripts, JavaScript og PowerShell, hvilket endelig førte til download og installation af Nodersok-malware.
Selve malware-programmet indeholder flere komponenter, der er beregnet til at udføre forskellige formål. For eksempel bruges PowerShell-modulet til at deaktivere Windows Update og standardbeskyttelsen. Derudover er der et modul, der bruges til at opgradere malware's privilegier i systemet. Derudover indeholder programmet også legitime applikationer: WinDivert og Node.js. Det første værktøj bruges til at opfange og interagere med netværkspakker, mens det andet tillader kørsel af JavaScript på webservere.
I rapporterne fra Microsoft og Cisco nævnes det, at malware bruger to legitime applikationer til at starte proxy-server på de inficerede maskiner. Ifølge Microsoft omdanner malware de inficerede noder til proxy-servere til at overføre ondsindet trafik. I Cisco's rapport nævnes det, at proxy-serverne bruges til at udføre svigagtige handlinger.
For at forhindre infektion anbefaler eksperter ikke at åbne HTML Application-filer, der findes på PC'en, især hvis deres oprindelse er ukendt. Under alle omstændigheder er filer, der uventet downloader fra websteder, altid et dårligt tegn, og de kan ikke stoles på, uanset filtypen.
Kilde: 3dnews.ru
