Según informes de fuentes de la red, miles de computadoras que operan con Windows han sido infectadas por un nuevo tipo de malware que descarga e instala una copia de la infraestructura de Node.js, convirtiendo los sistemas infectados en servidores proxy utilizados para llevar a cabo operaciones fraudulentas.
Los programas maliciosos, llamados Nodersok en el informe de Microsoft y Divergent en el informe de Cisco Talos, fueron descubiertos en el verano de este año. Se propagaron a través de publicidad maliciosa, que se utilizó para forzar la descarga de archivos HTML Application en las computadoras. Los usuarios que ejecutaron estos archivos en sus PC iniciaron un proceso de infección en múltiples etapas utilizando scripts de Excel, JavaScript y PowerShell, lo que finalmente llevó a la descarga e instalación del malware Nodersok.
El propio malware contiene varios componentes destinados a cumplir diferentes objetivos. Por ejemplo, un módulo de PowerShell se utiliza para desactivar el Centro de Actualizaciones y la protección estándar de Windows. Además, hay un módulo utilizado para aumentar los privilegios del malware en el sistema. Sin embargo, también hay aplicaciones legítimas en su conjunto: WinDivert y Node.js. La primera herramienta se utiliza para capturar e interactuar con paquetes de red, mientras que la segunda permite ejecutar JavaScript en servidores web.
Los informes de Microsoft y Cisco indican que el malware utiliza dos aplicaciones legítimas para ejecutar proxiesservidores en las máquinas infectadas. Según Microsoft, el malware convierte los nodos infectados en proxiesservidores para transmitir tráfico malicioso. El informe de Cisco señala que los servidores proxy se utilizan para realizar actos fraudulentos.
Para prevenir la infección, los especialistas recomiendan no ejecutar archivos HTML Application que se encuentren en los PC, especialmente si su origen es desconocido. En cualquier caso, los archivos que se descargan inesperadamente desde páginas web siempre son una mala señal y no se puede confiar en ellos, sin importar la extensión.
Fuente: 3dnews.ru
