Võrgusallikate teatel on tuhanded Windowsi operatsioonisüsteemiga arvutid nakatunud uue pahavaraga, mis laadib alla ja installib Node.js infrastruktuuri koopia, muutes nakatunud süsteemid proksiserveriteks, mida kasutatakse pettuste tegemiseks.
Pahavara, mida Microsofti raportis nimetatakse Nodersokiks ja Cisco Talosi raportis Divergent, avastati selle aasta suvel. Need levisid pahatahtliku reklaami kaudu, mida kasutati HTML Application failide sundimiseks kasutajate arvutitesse. Kasutajad, kes käivitasid need failid oma arvutites, käivitasid mitmeastmelise nakatumise protsessi, kasutades Exceli, JavaScripti ja PowerShelli skripte, mis lõppkokkuvõttes viisid Nodersoki pahavara allalaadimise ja installimiseni.
Pahavara sisaldab mitmeid komponente, mille eesmärk on täita erinevaid ülesandeid. Näiteks kasutatakse PowerShelli moodulit Windowsi uuenduskeskuse ja standardse kaitse keelamiseks. Samuti on saadaval moodul, mida kasutatakse pahavara privileegide tõstmiseks süsteemis. Siiski on seal ka seaduslikke rakendusi: WinDivert ja Node.js. Esimene tööriist võimaldab võrgu paketid haarata ja nendega suhelda, teine aga võimaldab JavaScripti käivitamist veebiserverites.
Microsofti ja Cisco raportites öeldakse, et pahavara kasutab kahte seaduslikku rakendust proksiserveri käivitamiseksserverid nakatunud masinates. Microsofti andmetel muudab pahavara nakatunud sõlmed proksiserveriteksserverid kahjuliku liikluse edastamiseks. Cisco raportis väidetakse, et proksiservereid kasutatakse pettuste toimepanemiseks.
Nakatumise vältimiseks soovitavad eksperdid mitte käivitada HTML Application faile, mille päritolu on teadmata. Igal juhul on failid, mis laaditakse ootamatult veebilehtedelt alla, alati halva märgina ja neid ei tohi usaldada, sõltumata nende laiendist.
Allikas: 3dnews.ru
