Secondo fonti online, migliaia di computer che operano sotto Windows sono stati infettati da un nuovo tipo di malware che scarica e installa una copia dell'infrastruttura Node.js, trasformando i sistemi infetti in proxy utilizzati per compiere frodi.
I malware chiamati Nodersok nel rapporto di Microsoft e Divergent nel rapporto di Cisco Talos sono stati scoperti quest'estate. Si sono diffusi tramite pubblicità dannose che costringevano il download di file HTML Application sui computer. Gli utenti che avviavano questi file sui loro PC avviavano un processo di infezione a più fasi che utilizzava script di Excel, JavaScript e PowerShell, portando infine al download e all'installazione del malware Nodersok.
Il malware stesso è composto da diversi componenti progettati per svolgere vari compiti. Ad esempio, il modulo PowerShell è utilizzato per disattivare il Centro aggiornamenti e la protezione standard di Windows. Inoltre, c'è un modulo utilizzato per aumentare i privilegi del malware nel sistema. Tuttavia, ci sono anche applicazioni legittime incluse: WinDivert e Node.js. Il primo strumento è utilizzato per catturare e interagire con i pacchetti di rete, mentre il secondo consente l'esecuzione di JavaScript su server web.
Nei rapporti di Microsoft e Cisco si afferma che il malware utilizza due applicazioni legittime per avviare proxy-server sui computer infetti. Secondo Microsoft, il malware trasforma i nodi infetti in proxy-servers per la trasmissione di traffico malevolo. Nel rapporto di Cisco si afferma che i proxy sono utilizzati per compiere attività fraudolente.
Per prevenire l'infezione, gli esperti consigliano di non eseguire file HTML Application trovati sui PC, soprattutto se la loro origine è sconosciuta. In ogni caso, i file che vengono scaricati inaspettatamente da pagine web sono sempre un cattivo segno e non devono essere considerati affidabili, indipendentemente dall'estensione.
Fonte: 3dnews.ru
