Die Malware Nodersok hat tausende von Windows-Computern infiziert.

Berichten aus Netzwerkquellen zufolge sind Tausende von unter Windows laufenden Computern mit einer neuen Art von Malware infiziert, die eine Kopie der Node.js-Infrastruktur herunterlädt und installiert und die infizierten Systeme in Proxy-Server verwandelt, die für betrügerische Aktivitäten verwendet werden.

Die Malware, die in einem Bericht von Microsoft als Nodersok und in einem Bericht von Cisco Talos als Divergent bezeichnet wird, wurde im Sommer dieses Jahres entdeckt. Sie verbreitete sich durch bösartige Werbung, die zum erzwungenen Herunterladen von HTML-Anwendungsdateien auf Computer genutzt wurde. Benutzer, die diese Dateien auf ihren PCs ausführten, initiierten einen mehrstufigen Infektionsprozess, der Skripte von Excel, JavaScript und PowerShell verwendete, was letztlich zur Herunterladung und Installation der Malware Nodersok führte.    

Die Malware selbst enthält mehrere Komponenten, die für unterschiedliche Zwecke bestimmt sind. Zum Beispiel wird ein PowerShell-Modul verwendet, um das Windows Update Center und den Windows Defender zu deaktivieren. Zudem gibt es ein Modul, das dazu dient, die Berechtigungen der Malware im System zu erhöhen. Allerdings sind auch legale Anwendungen enthalten: WinDivert und Node.js. Das erste Tool wird verwendet, um Netzwerkpakete abzufangen und damit zu interagieren, während das zweite es ermöglicht, JavaScript auf Web-Servern auszuführen.

In den Berichten von Microsoft und Cisco wird erwähnt, dass die Malware zwei legale Anwendungen verwendet, um Proxy-Server auf den infizierten Maschinen zu starten. Laut Microsoft verwandelt die Malware die infizierten Knoten in Proxy-Server zum Übertragen von schädlichem Datenverkehr. Im Bericht von Cisco heißt es, dass die Proxy-Server für betrügerische Aktivitäten verwendet werden.

Um eine Infektion zu verhindern, raten Experten davon ab, HTML-Anwendungsdateien auf PCs auszuführen, insbesondere wenn ihre Herkunft unbekannt ist. In jedem Fall sind Dateien, die unerwartet von Webseiten heruntergeladen werden, immer ein schlechtes Zeichen und verdienen kein Vertrauen, unabhängig von ihrer Dateiendung.     

Quelle: 3dnews.ru