Car-tech

Malware använder Google Docs som proxy för kommandot och kontrollservern

Google Docs: Working With Style(s)

Google Docs: Working With Style(s)
Anonim

Säkerhetsforskare från antivirusleverantören Symantec har upptäckt en del skadlig kod som använder Google Dokument, som nu ingår i Google Drive, som en bro när du kommunicerar med angripare för att dölja den skadliga trafiken.

Malware-en ny version från familjen Backdoor.Makadocs-använder funktionen Google Drive "Viewer" som en proxy för att ta emot instruktioner från äkta kommando- och kontrollservern. Google Drive Viewer har utformats så att det går att visa en mängd olika filtyper från fjärranslutna webbadresser direkt i Google Dokument.

"I strid med Googles policy använder Backdoor.Makadocs denna funktion för att få åtkomst till sin C & C [command in control] -server"

[Läs vidare: Så här tar du bort skadlig kod från din Windows-dator]

Det är möjligt att malware-författaren använde detta tillvägagångssätt för att göra det svårare för nätverksnivån säkerhetsprodukter för att upptäcka den skadliga trafiken, eftersom den visas som krypterade anslutningar-Google Drive använder vanligtvis HTTPS-med en generellt pålitlig tjänst, säger Katsuki.

"Att använda någon Google-produkt för att utföra denna typ av aktivitet är ett brott mot vår produktpolicy ", sa en Google-representant måndag via e-post. "Vi undersöker och vidtar åtgärder när vi blir medvetna om övergrepp."

Backdoor.Makadocs distribueras med hjälp av dokument med Rich Text Format (RTF) eller Microsoft Word (DOC), men utnyttjar inte någon sårbarhet för att installera sin skadliga komponenter, sade Katsuki. "Det försöker piquera användarens intresse med titeln och innehållet i dokumentet och lura dem att klicka på det och exekvera det."

Liksom de flesta bakdörrsprogram kan Backdoor.Makadocs utföra kommandon från attackerens C & C-server och kan stjäl information från de infekterade datorerna. Men en särskilt intressant aspekt av den version som analyseras av Symantecs forskare är att den innehåller kod för att upptäcka om operativsystemet installerat på målmaskinen är Windows Server 2012 eller Windows 8, som släpptes av Microsoft i september respektive oktober.

Malware använder inte någon funktion som är unik för Windows 8, men närvaron av den här koden antyder att den analyserade varianten är relativt ny, säger Katsuki.

Andra strängar från malware-kod och namnen på betesdokumenten tyder på att den används för att rikta sig mot brasilianska användare. Symantec beräknar just nu distributionen av skadlig programvara så lågt.