Azorult Trojan Steals Passwords While Hiding as Google Update

พบมัลแวร์ใหม่ที่ปลอมตัวเป็นโปรแกรม Google Update เพื่อขโมยข้อมูล และติดตั้งมัลแวร์เพิ่มเติม

นักวิจัยด้านความปลอดภัยจาก Minerva Labs ตรวจพบมีการขโมยข้อมูลโดยใช้โทรจัน AZORult ซึ่งโทรจันดังกล่าวจะทำการปลอมตัวเป็นโปรแกรม Google Update เมื่อติดตั้งบนเครื่องเหยื่อแล้ว มัลแวร์จะแทนที่การทำงานของ Google Update ตัวจริง

โปรแกรมดังกล่าวถูกพัฒนาให้มีรูปแบบที่เหมือนกับโปรแกรมที่ถูกต้องของ Google เช่นมีการใช้ไอคอนของ Google และมีการรับรอง (signed) ด้วยใบรับรอง (certificate) ที่ยังไม่หมดอายุ แต่จากการตรวจสอบเพิ่มเติมอย่างละเอียดพบว่า ใบรับรอง (certificate) ดังกล่าวออกให้กับ "Singh Agile Content Design Limited" แทนที่จะเป็นการออกให้กับ "Google" โดยออกเมื่อวันที่ 19 พฤศจิกายน

หลังจากการวิเคราะห์อย่างละเอียดพบว่ามัลแวร์ AZORult มีรูปแบบการทำงาน ดังต่อไปนี้

- ส่งคำขอ HTTP POST ไปที่ /index.

Beware of Spam with Fake Invoices Pushing Hermes 2.1 Ransomware and AZORult

พบการโจมตีในลักษณะ malspam ทำการหลอกลวงโดยปลอมใบแจ้งหนี้สำหรับการแจ้งยอดค้างชำระ เมื่อมีการเปิดใบแจ้งหนี้จะถูกติดตั้ง AZORult ซึ่งเป็น Trojan ขโมยข้อมูล และ Hermes 2.1 Ransomware ลงในคอมพิวเตอร์ของผู้รับ
อีเมลสแปมเหล่านี้ถูกส่งมาโดยใส่ subject เป็น "Invoice Due" และอ้างว่าเป็นข้อมูลเกี่ยวกับยอดค้างชำระ ที่มีเอกสารแนบ Word ชื่อ Invoice.