Hackere forsøger at skjule malware i Microsofts hjælpefiler
Prøver af Vidar-tyverens malware er blevet fundet et sted, der virker meget usandsynligt. Malwaren blev opdaget af forskere i Microsoft HTML-baserede hjælpefiler, alle steder.
En sikkerhedsforsker med Trustwave offentliggjorde et blogindlæg, der beskriver kampagnen, der spredte Vidar. Denne seneste kampagne blev beskrevet som temmelig rudimentær, bortset fra tvistet med at stikke malware i hjælpefiler.
Kedeligt lokkemiddel, smart sløring
Phishing-e-mails, der bruges til at sprede Vidar infostealer, ser ud som om de er et produkt af en minimumsindsatskampagne. Lokkemidlet er ekstremt grundlæggende, hvor e-mailen hævder at have "vigtig information" til det potentielle offer. Som det er tilfældet med næsten alle phishing-kampagner, indeholder e-mailen også en ondsindet vedhæftet fil. I dette tilfælde valgte hackerne en .iso diskimage-fil, omdøbt til at ligne en MS Word .doc-fil.
Inde i billedfilen er der kun to filer - en Microsoft hjælpefil kaldet "pss10r.chm" og en fil kaldet "app.exe", som er Vidars indledende nyttelast. CHM-filer er Microsoft-hjælpefiler, der bruges i forskellige lovlige programmer og indeholder komprimeret HTML og muligvis billeder.
Grunden til, at hackere greb til at bruge CHM-filer, er, at det giver dem mulighed for at tvinge MS Help Viewer-applikationen i gang med at åbne CHM-filen. Når en CHM-fil med malware åbnes på denne måde, kaldes den eksekverbare Help Viewer lydløst op og bruges til at indlæse app.exe-indledende nyttelast for Vidar.
Når den eksekverbare er lanceret, henter malwaren sine afhængigheder og indstillinger fra sin C&C-server. Når dette er gjort, kommer malwaren til at skrabe enhver tilgængelig information fra systemet og overfører den derefter tilbage til kommando- og kontrolserveren. Forskere bemærkede, at de før har observeret lignende indlejring af ondsindede nyttelaster og endda brugen af hjælpefiler. Alt dette er blot endnu en måde for hackere at forsøge at undgå automatisk registrering på ofrets system så længe som muligt.
