De acordo com fontes online, milhares de computadores operando com Windows foram infectados por um novo tipo de malware que carrega e instala uma cópia da infraestrutura Node.js, transformando sistemas infectados em servidores proxy utilizados para realizar operações fraudulentas.
Os malwares, chamados Nodersok no relatório da Microsoft e Divergent no relatório da Cisco Talos, foram descobertos no verão deste ano. Eles se espalharam por meio de anúncios maliciosos que eram usados para forçar o download de arquivos HTML Application nos computadores. Usuários que executaram esses arquivos em seus PCs iniciaram um processo de infecção em várias etapas utilizando scripts em Excel, JavaScript e PowerShell, que acabaram resultando no download e instalação do malware Nodersok.
O próprio malware contém vários componentes destinados a diferentes finalidades. Por exemplo, um módulo PowerShell é usado para desativar o Windows Update e a proteção padrão do Windows. Além disso, há um módulo utilizado para aumentar os privilégios do malware no sistema. No entanto, também há aplicativos legítimos incluídos: WinDivert e Node.js. A primeira ferramenta é usada para capturar e interagir com pacotes de rede, enquanto a segunda permite executar JavaScript em servidores web.
Os relatórios da Microsoft e da Cisco indicam que o malware utiliza dois aplicativos legítimos para lançar proxy-servidor em máquinas infectadas. De acordo com a Microsoft, o malware transforma nós infectados em proxy-servidores para transmitir tráfego malicioso. O relatório da Cisco menciona que os servidores proxy são utilizados para realizar ações fraudulentas.
Para prevenir a infecção, especialistas recomendam não executar arquivos HTML Application encontrados em PCs, especialmente se sua origem for desconhecida. Em qualquer caso, arquivos que são baixados inesperadamente de páginas da web sempre são um mau sinal, e não devem ser confiáveis, independentemente da extensão.
Fonte: 3dnews.ru
