Los piratas informáticos intentan ocultar el malware en los archivos de ayuda de Microsoft
Se han encontrado muestras del malware ladrón Vidar en un lugar que parece muy poco probable. El malware fue descubierto por investigadores dentro de los archivos de ayuda basados en HTML de Microsoft, de todos los lugares.
Un investigador de seguridad de Trustwave publicó una publicación de blog que detalla la campaña que estaba difundiendo Vidar. Esta última campaña se describió como bastante rudimentaria, salvo por el giro de insertar malware dentro de los archivos de ayuda.
Señuelo aburrido, ofuscación inteligente
Los correos electrónicos de phishing utilizados para difundir el ladrón de información de Vidar parecen ser el producto de una campaña de esfuerzo mínimo. El señuelo es extremadamente básico, y el correo electrónico afirma tener "información importante" para la víctima potencial. Como ocurre con casi todas las campañas de phishing, el correo electrónico también contiene un archivo adjunto malicioso. En este caso, los piratas informáticos optaron por un archivo de imagen de disco .iso, renombrado para parecerse a un archivo .doc de MS Word.
Dentro del archivo de imagen hay solo dos archivos: un archivo de ayuda de Microsoft llamado "pss10r.chm" y un archivo llamado "app.exe", que es la carga útil inicial de Vidar. Los archivos CHM son archivos de ayuda de Microsoft que se utilizan en varias aplicaciones legítimas y contienen HTML comprimido y potencialmente imágenes.
La razón por la que los piratas informáticos recurrieron al uso de archivos CHM es que les permite cargar a la fuerza la aplicación MS Help Viewer en el proceso de abrir el archivo CHM. Cuando se abre un archivo CHM con malware de esta manera, el ejecutable del visor de ayuda se activa de forma silenciosa y se usa para cargar la carga útil inicial de app.exe para Vidar.
Una vez que se inicia el ejecutable, el malware toma sus dependencias y configuraciones de su servidor C&C. Una vez hecho esto, el malware extrae cualquier información disponible del sistema y luego la transfiere de nuevo al servidor de comando y control. Los investigadores notaron que habían observado un anidamiento similar de cargas útiles maliciosas e incluso el uso de archivos de ayuda antes. Todo esto es solo otra forma en que los piratas informáticos intentan evitar la detección automática en el sistema de la víctima durante el mayor tiempo posible.
