Le logiciel malveillant Nodersok a infecté des milliers d'ordinateurs Windows.

Selon des sources en ligne, des milliers d'ordinateurs fonctionnant sous Windows ont été infectés par un nouveau type de logiciel malveillant qui télécharge et installe une copie de l'infrastructure Node.js, transformant les systèmes infectés en serveurs proxy utilisés pour mener des opérations frauduleuses.

Les programmes malveillants, appelés Nodersok dans le rapport de Microsoft et Divergent dans le rapport de Cisco Talos, ont été découverts cet été. Ils ont été diffusés via des publicités malveillantes qui étaient utilisées pour forcer le téléchargement de fichiers HTML Application sur des ordinateurs. Les utilisateurs qui exécutaient ces fichiers sur leurs PC déclenchaient un processus d'infection en plusieurs étapes impliquant des scripts Excel, JavaScript et PowerShell, ce qui conduisait finalement au téléchargement et à l'installation du logiciel malveillant Nodersok.    

Le logiciel malveillant lui-même se compose de plusieurs composants destinés à remplir différentes fonctions. Par exemple, un module PowerShell est utilisé pour désactiver le Centre de mise à jour et la protection Windows de base. De plus, il existe un module utilisé pour élever les privilèges du logiciel malveillant dans le système. Cependant, il y a aussi des applications légitimes : WinDivert et Node.js. Le premier outil est utilisé pour capturer et interagir avec des paquets réseau, tandis que le second permet d'exécuter JavaScript sur des serveurs web.

Les rapports de Microsoft et de Cisco indiquent que le logiciel malveillant utilise deux applications légitimes pour exécuter un proxy sur les machines infectées.de serveurs Selon Microsoft, le logiciel malveillant transforme les nœuds infectés en proxy pour transmettre du trafic malveillant.serveurs Dans le rapport de Cisco, il est mentionné que les serveurs proxy sont utilisés pour effectuer des actions frauduleuses.

Pour prévenir l'infection, les spécialistes recommandent de ne pas exécuter les fichiers HTML Application détectés sur le PC, surtout si leur provenance est inconnue. Quoi qu'il en soit, les fichiers qui se téléchargent de manière inattendue depuis des pages web sont toujours un mauvais signe et ne doivent pas être considérés comme fiables, quel que soit leur extension.     

Source : 3dnews.ru