Hackers tentam ocultar malware nos arquivos de ajuda da Microsoft
Amostras do malware ladrão Vidar foram encontradas em um lugar que parece altamente improvável. O malware foi descoberto por pesquisadores dentro dos arquivos de ajuda baseados em HTML da Microsoft, de todos os lugares.
Um pesquisador de segurança da Trustwave publicou uma postagem no blog detalhando a campanha que estava divulgando o Vidar. Esta última campanha foi descrita como bastante rudimentar, exceto pelo truque de colocar malware dentro de arquivos de ajuda.
Atração chata, ofuscação inteligente
Os e-mails de phishing usados para espalhar o infostealer Vidar parecem ser o produto de uma campanha de esforço mínimo. A isca é extremamente básica, com o e-mail alegando ter "informações importantes" para a vítima em potencial. Como é o caso de quase todas as campanhas de phishing, o e-mail também contém um anexo malicioso. Nesse caso, os hackers optaram por um arquivo de imagem de disco .iso, renomeado para se parecer com um arquivo .doc do MS Word.
Dentro do arquivo de imagem há apenas dois arquivos - um arquivo de ajuda da Microsoft chamado "pss10r.chm" e um arquivo chamado "app.exe", que é a carga útil inicial do Vidar. Os arquivos CHM são arquivos de ajuda da Microsoft usados em vários aplicativos legítimos e contêm HTML compactado e potencialmente imagens.
A razão pela qual os hackers recorreram ao uso de arquivos CHM é que eles permitem que eles forcem o carregamento do aplicativo MS Help Viewer no processo de abertura do arquivo CHM. Quando um arquivo CHM com malware é aberto dessa maneira, o executável do Help Viewer é chamado silenciosamente e é usado para carregar a carga útil inicial do app.exe para o Vidar.
Depois que o executável é iniciado, o malware pega suas dependências e configurações de seu servidor C&C. Feito isso, o malware consegue raspar qualquer informação disponível do sistema e depois transfere-a de volta para o servidor de comando e controle. Os pesquisadores observaram que já observaram aninhamento semelhante de cargas maliciosas e até mesmo o uso de arquivos de ajuda antes. Tudo isso é apenas mais uma maneira de os hackers tentarem evitar a detecção automatizada no sistema da vítima pelo maior tempo possível.
