Тисячі комп’ютерів на Windows по всьому світу були заражені новим видом шкідливого ПЗ, яке завантажує і встановлює копію інфраструктури Node.js для перетворення заражених систем в проксі-сервери і здійснення шахрайського кліка. Шкідливі програми, названі Nodersok (в звіті Microsoft) і Divergent (в звіті Cisco Talos), вперше були виявлені влітку. Їх поширювали за допомогою шкідливої реклами, яка примусово завантажувала файли HTA (додатки HTML) на комп’ютери користувачів. Користувачі, які знайшли і запустили ці файли HTA, запустили багатоетапний процес зараження з використанням сценаріїв Excel, JavaScript і PowerShell, які в результаті завантажили і встановили шкідливе ПЗ Nodersok.
Шкідлива програма має кілька компонентів, кожен з яких має свою роль. Є модуль PowerShell, який намагається відключити Windows Defender і служби Windows Update, і є компонент для підвищення дозволів шкідливого ПЗ до рівня SYSTEM. Але є також два компоненти, які є законними додатками, а саме: WinDivert і Node.js. Перший – це додаток для захоплення і взаємодії з мережевими пакетами, а другий – відомий інструмент розробника для запуску JavaScript на веб-серверах.
Nodersok: що з’ясували Microsoft і Cisco
Відповідно до звітів Microsoft і Cisco, шкідлива програма використовує два законних додатки для запуску проксі-сервера SOCKS на заражених хостах. Але ось де звіти розходяться. Microsoft стверджує, що шкідлива програма перетворює заражені вузли в проксі-сервери для передачі шкідливого трафіку. Cisco, з іншого боку, говорить, що ці проксі використовуються для шахрайського кліка.
Проте, це однаково шкідливі програми. Творці Nodersok можуть в будь-який момент розгорнути інші модулі для виконання додаткових завдань або навіть розгорнути вторинні шкідливі програми, такі як вимагачі або банківські трояни. Оскільки Microsoft виявила шкідливе ПЗ, Windows Defender також зможе його виявити.
Щоб запобігти зараженню, найкраща порада – це не запускати файли HTA, знайдені на своїх комп’ютерах, особливо якщо ви не знаєте точного походження файлів. Файли, завантажені з веб-сторінки абсолютно несподівано, завжди є поганою ознакою, і їм не можна довіряти, незалежно від розширення.
За даними Microsoft, Nodersok вже вдалося заразити тисячі комп’ютерів за останні кілька тижнів. Компанія заявила, що більшість випадків зараження відбулася цього місяця і вразила користувачів з США та ЄС. Однак складність роботи з Nodersok полягає в тому, що він використовує законне програмне забезпечення і корисне навантаження в пам’яті (виконання без файлів). Ці два методи значно ускладнюють виявлення ПЗ для класичних антивірусних програм. Проте, Microsoft заявляє, що «постінфекційна поведінка Nodersok» є видимим слідом, який явно виділяється для всіх, хто знає, де шукати. Тобто є шанс, що дослідники безпеки виявлять його.