De Dell SecureWorks CTU onderzoeksteam heeft de laatste tijd analyseerde een stukje malware en identificeerde de renovatie van Stegoloader die digitale steganografie gebruikt om code zijn belangrijkste module te verbergen. Deze verborgen deel van de code is verborgen in een Portable Network Graphics (PNG) beeld dat kan worden gedownload van een legitieme website.
================================================== ========================
================================================== ========================
Stegoloader in Progress
Deze malware ook wel bekend als Win32 / Gatak.DR en TSPY_GATAK.GTK is een nieuw soort malware. Werkelijk, Stegoloader is technisch niet nieuw op het podium van de malware wereld, maar het heeft alleen haar vernieuwde versie. Het is vanuit de malware familie van Trojaanse paarden en is actief sinds ten minste 2013 en toch relatief unknown.Recently, gerenoveerd infecties zijn opgespoord door middel van pc-gebruikers en besmettingen zijn bijna onmerkbaar als niemand verwacht om besmet te raken met slechts een bezoek aan een webpagina.
De inzet van Stegoloader Implemented via PNG File
Het wordt verspreid door middel van software piraterij websites, met een pak van software licentiesleutel generators. Stegoloader belangrijkste module maakt gebruik van digitale steganografie om een deel van de code te verbergen in een Portable Network Graphics (PNG) beeld gepresenteerd op een legitieme website, zoals genoemd. Deze schadelijke type Trojan zet door het downloaden van deze afbeelding elke keer dat het wordt uitgevoerd en maakt gebruik van steganografie om de code te extraheren uit de afbeelding. De malware wordt nooit opgeslagen op de harde schijf en wordt direct aangevuld met geheugen, waardoor detectie moeilijker.
→“Na het downloaden van de afbeelding, Stegoloader gebruikt de gdiplus bibliotheek om het beeld te decomprimeren, toegang tot elk pixel, en pak het minst significante bit van de kleur van elke pixel. De geëxtraheerde datastroom gedecodeerd met de RC4 algoritme en een hard-gecodeerde sleutel.” Dell SecureWorks CTU onderzoeksteam uitgelegd in een blogpost.
De techniek is eenvoudig en bestaat uit twee fasen
- De eerste stap is het bepalen of de computer veilig is voor inzet. Stegoloader controleert het type beveiliging analysesysteem en zijn sterkte. Deze analyse gaat met een frequente verandering van de positie van de muis, maar het is niet noodzakelijk, aangezien hij zijn standpunt niet kon veranderen en in dit geval malware wordt beëindigd en niet vertonen enige kwaadaardige activiteiten.
- De tweede stap is het downloaden van de belangrijkste inzet modus. Als het resultaat van Stegoloader is duidelijk, dan downloadt en loopt uit hoofdmodus. Dit gebeurt door het ophalen van een fundamentele, alledaagse PNG-bestand, vaak gehost op een betrouwbare en legitieme website.
Bovendien, sommige functies van Stegoloader's slechts worden gebruikt op gecompromitteerde systemen, afhankelijk van het belang van de malware operator. Het modulaire ontwerp kan de operator modules voeren wanneer necessary.That beperkt de blootstelling van de malware capaciteiten gedurende onderzoeken en keert ingenieursanalyse. Deze beperkte blootstelling maakt het moeilijker om de dreiging acteurs beoordelen’ intentie volledig. De modules door CTU onderzoekers analyseerden de lijst meestal geopende documenten, recent bezochte websites, opsommen geïnstalleerde programma's, gestolen wachtwoorden, en meegenomen installatiebestanden voor de IDA gereedschap.