O que é Mylobot e como funciona esse malware?

Em 2017, pesquisadores de segurança detectaram cerca de 23.000 amostras de malware todos os dias, o que representa cerca de 795 peças de malware produzidas a cada hora. Parece terrível, mas na verdade a maioria dessas amostras são variações de malware existente, apenas usam código diferente para criar uma “nova” assinatura. No entanto, recentemente surgiu um novo e muito sofisticado malware chamado Mylobot.

O que é Mylobot?

Mylobot é um malware de botnet que contém um grande número de intenções maliciosas. Tom Nipravsky, pesquisador de segurança do Deep Instinct, foi o primeiro a descobrir esse malware.

Este malware combina uma série de técnicas complexas de infecção e ofuscação em um pacote poderoso. Aqui estão as técnicas usadas no Mylobot:

• Técnica antimáquina virtual (VM) : esse malware examina o ambiente do computador em busca de sinais de uso de máquina virtual . Se for encontrada alguma indicação de que o usuário está usando uma máquina virtual, ela não será executada.
• Técnicas anti-sandbox : muito semelhantes às técnicas anti-máquinas virtuais.

Veja mais: 7 melhores aplicativos Sandbox para Windows 10

• Técnicas antidepuração : evitam que os pesquisadores de segurança trabalhem efetivamente em uma amostra de malware, alterando o comportamento de um determinado programa de depuração.
• Envolva os componentes internos com um arquivo de recurso criptografado : Proteja o código interno do malware com criptografia.
• Técnica de ataque por injeção de código : Mylobot executa código personalizado para atacar o sistema, infectando processos com esse código para acessar e interromper operações regulares.
• Identificador vazio : o invasor cria um novo processo em estado suspenso e o substitui por um processo oculto.
• Técnica EXE reflexiva : execute arquivos EXE da memória em vez de na unidade.
• Mecanismo de atraso : O malware atrasa 14 dias antes de se conectar ao servidor de comando e controle.

Mylobot executa uma variedade de técnicas para permanecer oculto.

Técnicas anti-sandbox, anti-debug e anti-máquina virtual tentam impedir que malware seja detectado durante a verificação com software anti-malware , bem como evitar que pesquisadores de segurança isolem malware em um ambiente virtual ou sandbox para análise e pesquisa .

Mylobot usa Reflective EXE para dificultar ainda mais a detecção porque não funciona diretamente na unidade e, portanto, não pode ser analisado por software antivírus ou antimalware.

“Sua estrutura de código é muito complexa, este é um malware multithread, cada thread é responsável por implementar diferentes capacidades do malware”, escreveu Nipravsky em um post. E também mencionou: “Este malware contém três camadas de arquivos, aninhadas umas nas outras, onde cada camada é responsável por executar a próxima. A camada final utiliza a técnica Reflective EXE".

Juntamente com técnicas de anti-análise e anti-detecção, o Mylobot pode atrasar 14 dias e depois fazer contato com seu servidor de comando e controle. Quando o Mylobot faz uma conexão, o botnet desativa o Windows Defender e o Windows Update , além de fechar algumas portas do Firewall do Windows.

Mylobot procura e elimina outros tipos de malware

Uma das características interessantes e raras deste malware Mylobot é que ele tem a capacidade de pesquisar e destruir outros malwares. Ao contrário de outros malwares, o Mylobot está pronto para destruir esses tipos de malware, se presentes no sistema. Ele verifica a pasta Application Data do sistema em busca de arquivos e pastas de malware comuns. Se encontrar algum arquivo ou processo específico, o Mylobot irá “matá-lo”.

Então, o que exatamente o Mylobot faz?

A principal função do Mylobot é controlar o sistema, a partir do qual o invasor tem acesso às informações de login online, arquivos do sistema, etc. Pode causar grandes danos principalmente ao penetrar no ambiente corporativo.

Mylobot também está vinculado a outras botnets, como DorkBot, Ramdo e a infame rede Locky. Se o Mylobot atuar como um “canal” para botnets e outros tipos de malware, então isso será um verdadeiro desastre.

Como combater o Mylobot

A má notícia é que o Mylobot infecta sistemas há mais de dois anos. Seu servidor de comando e controle foi encontrado pela primeira vez em novembro de 2015. Mylobot escapou de todos os outros pesquisadores e empresas de segurança por um longo tempo antes de ser descoberto pela ferramenta de pesquisa de rede de “aprendizado profundo” do Deep Instinct.

As ferramentas antivírus e antimalware convencionais não podem proteger contra o Mylobot, pelo menos por enquanto. Agora que uma amostra do Mylobot está disponível, muitos pesquisadores e empresas de segurança podem usá-la para encontrar medidas contra esse malware.

Enquanto isso, você deve conferir nossa lista de antivírus e ferramentas de segurança de computador . Embora essas ferramentas não possam destruir o Mylobot, elas podem impedir outros malwares. Além disso, você pode consultar o artigo Remover completamente software malicioso (malware) em computadores com Windows 10 .

Ver mais:

• 9 coisas a fazer quando você descobrir que seu computador está infectado por malware
• Quantos tipos de malware você conhece e sabe como evitá-los?
• 10 tipos típicos de malware