Nova Variante do Malware BlackPOS Disfarçada como Solução AV

Antes do malware point-of-sale Backoff receber a atenção merecida, o principal atuante no campo de malwares do tipo "PoS" foi o BlackPOS (ou Kaptoxa), o malware-memory scraping que foi usado nos ataques contra a Target. Também foi analisado outro malware baseado em BlackPOS. Como o tempo passa, novas versões do malware vão sendo descobertas - fato este que não foi totalmente inesperado, devido ao código-fonte do original ter vazado na Internet em 2012.



Nesse contexto, pesquisadores da Trend Micro tem informaçõs sobre a versão mais recente da praga, que eles batizaram de Memlog. Ao contrário das versões anteriores, registrafas como um serviço do sistema utilizado pela empresa-alvo, Memlog se disfarça como um serviço instalado de software AV, oriundo de um fornecedor conhecido, a fim de evitar a detecção. Além disso, Memlog tem algumas alterações adicionais:

A rotina diferente para listar e interagir com processos em curso (CreateToolhelp32Snapshot API call ao invés de EnumProcesses API call); a nova rotina de pesquisa personalizada pode verificar a RAM de dados via cartão, que é instruída a ignorar certos processos onde os dados geralmente, não podem ser encontrados. Além do mais, os "grabbed" de cartão de crédito a partir da memória são salvos em um arquivo de extensão .dll, e enviados para um local compartilhado dentro da mesma rede.


Saiba Mais:

[1] Net Security http://www.net-security.org/malware_news.php?id=2856