Car-tech

Malware usa Google Docs como proxy para controlar y controlar el servidor

Como solucionar el error “conexión con el servidor proxy no responde”

Como solucionar el error “conexión con el servidor proxy no responde”
Anonim

Investigadores de seguridad del proveedor de antivirus Symantec han descubierto un malware que usa Google Docs, que ahora es parte de Google Drive, como un puente al comunicarse con los atacantes para ocultar el tráfico malicioso.

El malware, una nueva versión de la familia Backdoor.Makadocs, usa la función "Visor" de Google Drive como proxy para recibir instrucciones del verdadero servidor de comando y control. Google Drive Viewer fue diseñado para permitir mostrar una variedad de tipos de URL remotas directamente en Google Docs.

"En violación de las políticas de Google, Backdoor.Makadocs usa esta función para acceder a su servidor C & C [command in control]" dijo el investigador de Symantec Takashi Katsuki, el viernes en una publicación de blog.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

Es posible que el autor del malware usara este enfoque para dificultar el nivel de red productos de seguridad para detectar el tráfico malicioso, ya que aparecerá como conexiones encriptadas -Google Drive usa HTTPS de forma predeterminada- con un servicio confiable en general, dijo Katsuki.

"Usar cualquier producto de Google para realizar este tipo de actividad es una violación de nuestras políticas de productos ", dijo un representante de Google el lunes por correo electrónico. "Investigamos y actuamos cuando nos damos cuenta del abuso".

Backdoor.Makadocs se distribuye con la ayuda de documentos de formato de texto enriquecido (RTF) o Microsoft Word (DOC), pero no explota ninguna vulnerabilidad para instalar sus archivos maliciosos. componentes, dijo Katsuki. "Intenta despertar el interés del usuario con el título y el contenido del documento y engañarlos para que hagan clic y lo ejecuten".

Al igual que la mayoría de los programas de puerta trasera, Backdoor.Makadocs puede ejecutar comandos recibidos del servidor de C & C del atacante y robar información de las computadoras infectadas.

Sin embargo, un aspecto particularmente interesante de la versión analizada por los investigadores de Symantec es que contiene código para detectar si el sistema operativo instalado en la máquina de destino es Windows Server 2012 o Windows 8, que se lanzaron por Microsoft en septiembre y octubre, respectivamente.

El malware no usa ninguna función exclusiva de Windows 8, pero la presencia de este código sugiere que la variante analizada es relativamente nueva, dijo Katsuki.

Otras cadenas del el código de malware y los nombres de los documentos de cebo sugieren que se está utilizando para apuntar a usuarios brasileños. Symantec actualmente clasifica el nivel de distribución del malware como bajo.