Ce este Mylobot și cum funcționează acest malware?

În 2017, cercetătorii de securitate au detectat aproximativ 23.000 de mostre de malware în fiecare zi, adică aproximativ 795 de bucăți de malware produse în fiecare oră. Sună groaznic, dar, de fapt, majoritatea acestor mostre sunt variații ale programelor malware existente, doar folosește cod diferit pentru a crea o semnătură „nouă”. Cu toate acestea, recent a apărut un program malware nou, foarte sofisticat, numit Mylobot.

Ce este Mylobot?

Mylobot este un malware de tip botnet care conține un număr mare de intenții rău intenționate. Tom Nipravsky, un cercetător de securitate pentru Deep Instinct, a fost primul care a descoperit acest malware.

Acest malware combină o serie de tehnici complexe de infecție și ofuscare într-un singur pachet puternic. Iată tehnicile folosite în Mylobot:

• Tehnica anti-mașină virtuală (VM) : acest program malware examinează mediul computerului pentru semne de utilizare a mașinii virtuale . Dacă se găsește vreo indicație că utilizatorul folosește o mașină virtuală, aceasta nu va rula.
• Tehnici anti-sandbox : Foarte asemănătoare cu tehnicile anti-mașină virtuală.

Vezi mai multe: 7 cele mai bune aplicații Sandbox pentru Windows 10

• Tehnici anti-depanare : împiedicați cercetătorii de securitate să lucreze eficient la un eșantion de malware, modificând comportamentul unui anumit program de depanare.
• Împachetați elementele interne cu un fișier de resurse criptat : protejați codul intern al malware-ului cu criptare.
• Tehnica de atac prin injectare de cod : Mylobot rulează cod personalizat pentru a ataca sistemul, infectând procesele cu acest cod pentru a accesa și a întrerupe operațiunile obișnuite.
• Mâner gol : atacatorul creează un nou proces într-o stare suspendată, apoi îl înlocuiește cu un proces ascuns.
• Tehnica reflectorizante EXE : rulați fișierele EXE din memorie și nu pe unitate.
• Mecanism de întârziere : malware-ul întârzie 14 zile înainte de a se conecta la serverul de comandă și control.

Mylobot efectuează o varietate de tehnici pentru a rămâne ascuns.

Tehnicile anti-sandbox, anti-debug și anti-mașină virtuală încearcă să împiedice detectarea malware-ului în timpul scanării cu software anti-malware , precum și să împiedice cercetătorii de securitate să izoleze malware pe o mașină. Mediu virtual sau sandbox pentru analiză și cercetare .

Mylobot folosește Reflective EXE pentru a face și mai greu de detectat, deoarece nu funcționează direct pe unitate, deci nu poate fi analizat de software anti-virus sau anti-malware.

„Structura sa de cod este foarte complexă, acesta este un malware cu mai multe fire, fiecare fir este responsabil pentru implementarea diferitelor capabilități ale malware-ului”, a scris Nipravsky într-o postare. Și, de asemenea, a menționat: „Acest malware conține trei straturi de fișiere, imbricate unul în celălalt, unde fiecare strat este responsabil pentru executarea următorului. Stratul final folosește tehnica Reflective EXE”.

Împreună cu tehnicile de anti-analiza și anti-detecție, Mylobot poate întârzia timp de 14 zile, apoi poate lua contact cu serverul său de comandă și control. Când Mylobot realizează o conexiune, botnetul dezactivează Windows Defender și Windows Update , precum și închide unele porturi Windows Firewall.

Mylobot caută și ucide alte tipuri de malware

Una dintre caracteristicile interesante și rare ale acestui malware Mylobot este că are capacitatea de a căuta și de a distruge alte programe malware. Spre deosebire de alte programe malware, Mylobot este gata să distrugă aceste tipuri de malware dacă sunt prezente pe sistem. Acesta scanează folderul Date Application al sistemului pentru fișiere și foldere malware comune. Dacă găsește un anumit fișier sau proces, Mylobot îl va „ucide”.

Deci, ce face Mylobot exact?

Funcția principală a Mylobot este de a controla sistemul, de la care atacatorul are acces la informațiile de conectare online, fișierele de sistem etc. Nivelul de deteriorare depinde de atacatorul sistemului. Poate provoca daune mari mai ales atunci când pătrunde în mediul corporativ.

Mylobot este, de asemenea, legat de alte rețele bot, cum ar fi DorkBot, Ramdo și infama rețea Locky. Dacă Mylobot acționează ca un „conduct” pentru rețele botnet și alte tipuri de malware, atunci acesta este un adevărat dezastru.

Cum să contracarezi Mylobot

Vestea proastă este că Mylobot infectează sisteme de mai bine de doi ani. Serverul său de comandă și control a fost găsit pentru prima dată în noiembrie 2015. Mylobot a ocolit toți ceilalți cercetători și companii de securitate pentru o lungă perioadă de timp înainte de a fi descoperit de instrumentul de cercetare în rețea „deep learning” al Deep Instinct.

Instrumentele convenționale antivirus și anti-malware nu pot proteja împotriva Mylobot cel puțin pentru moment. Acum că un eșantion Mylobot este disponibil, mulți cercetători și companii de securitate îl pot folosi pentru a găsi măsuri împotriva acestui malware.

Între timp, ar trebui să consultați lista noastră de instrumente antivirus și de securitate a computerului . Deși aceste instrumente nu pot distruge Mylobot, ele pot opri alte programe malware. În plus, puteți consulta articolul Eliminați complet software-ul rău intenționat (malware) de pe computerele cu Windows 10 .

Vezi mai mult:

• 9 lucruri de făcut când descoperi că computerul tău este infectat cu programe malware
• Câte tipuri de malware cunoașteți și știți cum să le preveniți?
• 10 tipuri tipice de malware