Trojan döljer sin hjärna i Google Grupper

Virus författare fortsätter att bli snuskigare. I ett försök att undvika upptäckt har de börjat gömma sina kommandon och kontrollanvisningar på legitima Web 2.0-webbplatser som Google Grupper och Twitter.

Nyligen upptäckte säkerhetsleverantören Symantec ett trojansk hästprogram som har programmerats för att besöka en privat Google Gruppens nyhetsgrupp, kallad escape2sun, där den kan hämta krypterade instruktioner eller till och med programuppdateringar.

Dessa "kommandon och kontroll" instruktioner används av brottslingar att hålla kontakten med hackade datorer och uppdatera sin skadliga programvara. Forskare har också sett brottslingar dölja sina meddelanden i RSS-flöden som är inrättade för att sända Twitter-meddelanden, säger Gerry Egan, en regissör med Symantec Security Response. "Vi ser en trend mot att använda mer vanliga sociala medier-typ interaktioner för att dölja kommandot och kontrollen," sa han.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Google Gruppens system visas för att vara en prototyp, men Egan förväntar sig att de dåliga killarna i allt större utsträckning använder sociala medier för detta ändamål, eftersom säkerhetsprogramvaran blir effektivare när man rota ut traditionella kommando- och kontrollmekanismer. "Malware-författare säger nu att de går på [våra] tekniker, låt oss försöka något annorlunda," säger Egan. I dag kommunicerar de flesta brottslingar med de maskiner som de hackade via IRC (Internet Relay Chat) -servrar, eller genom att placera kommandon på obskurliga, svåra att hitta webbplatser. Eftersom systemadministratörer blir bättre att upptäcka och blockera den här kommunikationen, försöker de dåliga killarna att dölja dessa kommandon och styra meddelanden inuti legitim trafik, så att närvaron av trafiken i sig själv inte ger en röd flagga, "Egan

En systemadministratör kan blockera tillgången till IRC ganska enkelt, men blockering av Twitter eller Google är en annan sak helt och hållet.

Google Groups Trojan verkar vara taiwanesisk och har förmodligen använts för att tyst samla information för framtida attacker. Enligt uppgifterna i Google Grupper har trojanen inte spritt sig mycket eftersom den skapades i november 2008. "En sådan trojansk kunde potentiellt ha utvecklats för riktad företagsaspionage där anonymitet och diskretion är prioriteringar", sa Symantec i en fredags bloggpost.