Ένα νέο κακόβουλο λογισμικό έχει μολύνει χιλιάδες Windows υπολογιστές σε όλο τον κόσμο. Το λογισμικό εγκαθιστά ένα αντίγραφο του Node.js framework με σκοπό τη μετατροπή των συστημάτων σε proxies και την πραγματοποίηση click-fraud. Η Microsoft είχε μιλήσει γι’ αυτό το λογισμικό σε μια έκθεσή της. Το ονομάζει Nodersok. Η Cisco Talos, από την άλλη μεριά, το ονομάζει Divergent. Ανακαλύφθηκε το καλοκαίρι και διανεμήθηκε μέσω κακόβουλων διαφημίσεων που κατέβαζαν αρχεία HTA (HTML application) στους υπολογιστές των θυμάτων.
Η εκτέλεση των αρχείων HTA είχε ως αποτέλεσμα την έναρξη μιας πολυεπίπεδης διαδικασίας μόλυνσης του συστήματος. Η διαδικασία μόλυνσης επηρέαζε τα Excel, JavaScript και PowerShell. Το τελικό στάδιο ήταν ή λήψη και η εγκατάσταση του Nodersok.
Το κακόβουλο λογισμικό έχει πολλά χαρακτηριστικά, τα οποία εξυπηρετούν διαφορετικό σκοπό. Υπάρχει μια λειτουργία PowerShell που στοχεύει στην απενεργοποίηση των Windows Defender και Windows Update.
Υπάρχουν, επίσης, δύο χαρακτηριστικά που είναι νόμιμες εφαρμογές. Ονομάζονται WinDivert και Node.js. Το WinDivert επιτρέπει τη λήψη και την αλληλεπίδραση με πακέτα δικτύου. Το Node.js είναι ένα πολύ γνωστό εργαλείο για την εκτέλεση JavaScript σε web servers.
Το κακόβουλο λογισμικό χρησιμοποιεί τις δύο εφαρμογές για να ξεκινήσει έναν SOCKS proxy στους μολυσμένους υπολογιστές. Ωστόσο, η Microsoft και η Cisco έχουν διαφορετικές απόψεις για το τι ακριβώς συμβαίνει. Η Microsoft υποστηρίζει ότι το Nodersok μετατρέπει τους μολυσμένους υπολογιστές σε proxies για να πραγματοποιεί κακόβουλη δραστηριότητα. Η Cisco λέει ότι αυτά τα proxies χρησιμοποιούνται για την πραγματοποίηση click-fraud.
Όπως και να έχει, οι διαχειριστές του Nodersok μπορούν να αξιοποιήσουν το λογισμικό για να εκτελέσουν πρόσθετες κακόβουλες λειτουργίες ή να αναπτύξουν δευτερογενή payloads, όπως ransomware ή τραπεζικά trojans.
Ένας τρόπος για να προστατευτούν οι χρήστες είναι να μην εκτελέσουν αρχεία HTA, που βρίσκουν στους υπολογιστές τους, ειδικά στην περίπτωση που δεν είναι γνωστή η προέλευσή τους. Η εύρεση αρχείων, κατεβασμένων από το Διαδίκτυο, είναι κακό σημάδι.
Σύμφωνα με πληροφορίες, το Nodersok έχει ήδη μολύνει χιλιάδες υπολογιστές μέσα σε λίγες εβδομάδες. Οι περισσότερες επιθέσεις έγιναν μέσα στο Σεπτέμβριο και επηρέασαν κυρίως χρήστες σε Ευρώπη και Αμερική.
Το γεγονός ότι το Nodersok χρησιμοποιεί νόμιμες εφαρμογές και in-memory payloads καθιστά τον εντοπισμό των μολύνσεων του πολύ δύσκολο.
Οι ερευνητές της Cisco Talos υποστηρίζουν ότι το κακόβουλο λογισμικό βρίσκεται ακόμη υπό ανάπτυξη. Οι διαχειριστές του Nodersok στοχεύουν στην απόκτηση όσο το δυνατόν περισσότερων χρημάτων μέσω του click-fraud. Επομένως, το malware θα απασχολεί τους ειδικούς ασφαλείας για πολύ καιρό ακόμα.
