Co je Mylobot a jak tento malware funguje?

V roce 2017 bezpečnostní výzkumníci odhalili asi 23 000 vzorků malwaru každý den, což je asi 795 kusů malwaru vyprodukovaného každou hodinu. Zní to hrozně, ale ve skutečnosti je většina těchto vzorků variacemi existujícího malwaru, jen používá jiný kód k vytvoření „nového“ podpisu. Nedávno se však objevil nový, velmi sofistikovaný malware s názvem Mylobot.

Co je Mylobot?

Mylobot je malware botnetu , který obsahuje velké množství škodlivých záměrů. Tom Nipravsky, bezpečnostní výzkumník pro Deep Instinct, byl první, kdo objevil tento malware.

Tento malware kombinuje řadu složitých technik infekce a znejasňování v jednom výkonném balíčku. Zde jsou techniky používané v Mylobot:

• Technika anti-virtual machine (VM) : Tento malware zkoumá počítačové prostředí, zda nevykazuje známky používání virtuálního stroje . Pokud je zjištěn jakýkoli náznak, že uživatel používá virtuální stroj, nespustí se.
• Anti-sandbox techniky : Velmi podobné technikám anti-virtuálních strojů.

Zobrazit více: 7 nejlepších aplikací Sandbox pro Windows 10

• Techniky proti ladění : Zabraňte bezpečnostním výzkumníkům v efektivní práci na vzorku malwaru změnou chování určitého ladícího programu.
• Zabalte vnitřní části zašifrovaným zdrojovým souborem : Chraňte vnitřní kód malwaru pomocí šifrování.
• Technika útoku vkládání kódu : Mylobot spouští vlastní kód k útoku na systém a infikuje procesy tímto kódem, aby získal přístup a narušil pravidelné operace.
• Prázdný popisovač : Útočník vytvoří nový proces v pozastaveném stavu a poté jej nahradí skrytým procesem.
• Reflexní EXE technika : Spouštějte EXE soubory z paměti místo na disku.
• Mechanismus zpoždění : Malware se připojí k příkazovému a řídicímu serveru o 14 dní.

Mylobot provádí různé techniky, aby zůstal skrytý.

Techniky anti-sandbox, anti-debug a anti-virtual machine se pokoušejí zabránit detekci malwaru během skenování pomocí antimalwarového softwaru a také zabránit bezpečnostním výzkumníkům v izolování malwaru na počítači. virtuální nebo sandboxové prostředí pro analýzu a výzkum .

Mylobot používá Reflective EXE, aby bylo ještě obtížnější jej detekovat, protože nefunguje přímo na disku, takže jej nelze analyzovat antivirovým nebo antimalwarovým softwarem.

"Jeho struktura kódu je velmi složitá, jedná se o vícevláknový malware, každé vlákno je zodpovědné za implementaci různých schopností malwaru," napsal Nipravsky v příspěvku. A také zmínil: „Tento malware obsahuje tři vrstvy souborů, vnořené do sebe, kde každá vrstva je zodpovědná za spuštění další. Finální vrstva využívá techniku ​​Reflective EXE“.

Spolu s antianalytickými a antidetekčními technikami může Mylobot zdržet 14 dní a poté navázat spojení se svým příkazovým a řídicím serverem. Když Mylobot naváže připojení, botnet vypne programy Windows Defender a Windows Update a také zavře některé porty brány Windows Firewall.

Mylobot vyhledává a zabíjí další typy malwaru

Jednou ze zajímavých a vzácných funkcí tohoto malwaru Mylobot je to, že má schopnost vyhledávat a ničit další malware. Na rozdíl od jiného malwaru je Mylobot připraven zničit tyto typy malwaru, pokud je v systému přítomen. Prohledává systémovou složku Application Data, zda neobsahuje běžné soubory a složky malwaru. Pokud najde nějaký konkrétní soubor nebo proces, Mylobot ho „zabije“.

Co přesně tedy Mylobot dělá?

Hlavní funkcí Mylobotu je ovládání systému, ze kterého má útočník přístup k online přihlašovacím údajům, systémovým souborům atd. Míra poškození závisí na systémovém útočníkovi. Velké škody může způsobit zejména při pronikání do firemního prostředí.

Mylobot je také propojen s dalšími botnety, jako je DorkBot, Ramdo a nechvalně známá síť Locky. Pokud Mylobot funguje jako „prostředník“ pro botnety a další typy malwaru, pak je to skutečná katastrofa.

Jak čelit Mylobotovi

Špatnou zprávou je, že Mylobot infikuje systémy více než dva roky. Jeho příkazový a řídicí server byl poprvé nalezen v listopadu 2015. Mylobot dlouho unikal všem ostatním výzkumníkům a bezpečnostním společnostem, než byl objeven nástrojem pro výzkum sítě „deep learning“ společnosti Deep Instinct.

Běžné antivirové a antimalwarové nástroje nemohou před Mylobotem alespoň prozatím chránit. Nyní, když je k dispozici vzorek Mylobot, mnoho výzkumných pracovníků a bezpečnostních společností jej může použít k nalezení opatření proti tomuto malwaru.

Mezitím byste se měli podívat na náš seznam antivirových nástrojů a nástrojů pro zabezpečení počítače . Ačkoli tyto nástroje nemohou zničit Mylobot, mohou zastavit další malware. Dále si můžete přečíst článek Úplné odstranění škodlivého softwaru (malwaru) na počítačích se systémem Windows 10 .

Vidět víc:

• 9 věcí, které musíte udělat, když zjistíte, že je váš počítač napaden malwarem
• Kolik druhů malwaru znáte a víte, jak jim předcházet?
• 10 typických typů malwaru