Famílias de Malware Desencadeiam Ataques Utilizando Arquivos JPEG

Recentemente, os pesquisadores da Trend Micro depararam com as famílias de malware SOGOMOT e MIRYAGO, que se atualizam de uma maneira incomum: eles baixam arquivos com a extensão JPEG, que contem arquivos e binários de configuração criptografados. Não só isso, mas os pesquisadores também acreditam que esta atividade esteja em curso pelo menos desde meados de 2010. Um detalhe notável em relação a essas famílias de malware é que eles escondem seus arquivos de configuração. Estes JPEGs estão localizados nos sites hospedados na região da Ásia-Pacífico, e por isso os especialistas acreditam que estas famílias de malware são usadas ​​em ataques direcionados.


Embora o conteúdo do arquivo JPEG seja criptografados, fomos capazes de decifrar e analisar o conteúdo desses arquivos. Dessa forma, é possível dividir estes em três grupos:

• arquivo de configuração (Tipo A)
• arquivo de configuração (Tipo B)
• conteúdo binário (ou arquivos EXE ou DLL)

O primeiro tipo de arquivo de configuração (Tipo A) é semelhante ao que tem sido visto com outros tipos de malware. Ele contém informações, que permitem que o malware possa processar comandos de um atacante, alterar configurações/módulos, e se atualizar. Entre essas configurações, estão URLs onde outros arquivos JPEG maliciosos estão hospedados. Além disso, esses arquivos indicam que o atacante já pode ter comprometido a organização alvo, devido a algumas das informações dizer respeito a máquinas ou indivíduos específicamente.


Saiba Mais:

[1] Security Intelligence http://blog.trendmicro.com/trendlabs...-intelligence/