Experti: Zprávy MMS v Česku šíří důmyslný malware

Spam má přílohu, kterou je škodlivý spustitelný soubor s dvojitou příponou tvářící se jako obrázek formátu JPG (např. “MMS img 76897644.jpeg.exe“). Většinou se jedná o bot sítě Zeus, který při stažení kontaktuje svůj řídící (command & control, C&C) server a stáhne tak do přístroje další škodlivé soubory.

Z technického hlediska prý má tento malware velmi zajímavé vlastnosti:

1. Po spuštění souboru dojde k dešifrování dat a k zahájení kontroly za účelem prozkoumání daného prostředí, např. ověření identifikačního čísla diskové jednotky, zda neobsahuje emulátory procesoru qemu, virtual, vmware nebo xen (pomocí příkazu HKLM\SYSTEM\CurrentControl­Set\Services\Disk\Enum\)
2. Pokud jsou úspěšně provedeny všechny potřebné testy a není objeven žádný debugger, provede program v přístroji změny prostřednictvím registrace callback funkce FileIOCompletionRoutine.
3. V dalším kroku se malware pokusí aplikovat kód a zašifrovat data do procesu explorer.exe. Podle dané verze Windows (32bit/64bit) se poté zvolí jedna ze dvou dostupných metod aplikace malwaru.