Trojan Disfarçado como Arquivos WinHelp

Uma boa parte do trabalho dos criadores de malware gira em torno de, constantemente, pensar em novas formas de ser mais inteligente que os pesquisadores de segurança, contornando métodos de detecção automáticos utilizados por antivírus e software de segurança. Estas técnicas são eventualmente, reconhecidas e incorporadas nas defesas, mas é sempre interessante para os analistas de malware, fazer novas e ousadas descobertas.



Nesse contexto, o pesquisador de malware da Panda Security, Bart Blaze, descobriu recentemente um trojan bancário que estaria visando usuários brasileiros de serviços bancários on-line, que emprega uma nova maneira de esconder a sua verdadeira natureza: seus executáveis ​​são entregues na forma de arquivos hlp (WinHelp). O ataque começa com avisos de faturas falsas, que são entregues via e-mail.

Os usuários que desejam rever a fatura são convidados a baixar um arquivo. zip a partir de uma conta do Dropbox. Infelizmente, o tal arquivo contém um executável que ostenta uma falsa extensão .docx e um ícone de MPEG-4. Uma vez executados os downloads, eles fazem contato com um servidor remoto e automaticamente, o que parece ser um arquivo WinHelp, contém mais três arquivos .hlp, que na verdade são três executáveis ​​Delphi com extensões renomeadas para HLP e embalado com VMProtect.


Saiba Mais:

[1] Net Security http://www.net-security.org/malware_news.php?id=2453