14 agosto 2015

Le statistiche dei programmi malevoli rilevati in email dal software antivirus Dr.Web mostrano che i malintenzionati inviano regolarmente agli utenti messaggi con degli allegati pericolosi, appartenenti alla famiglia di malware W97M.DownLoader. Calcolando da inizio di agosto, questi malware hanno ammontato all'1% del totale virus e trojan trovati nelle email. Di uno di tali allegati pericolosi, conosciuto dagli analisti dei virus sotto il nome di W97M.DownLoader.507, ci occuperemo in quest'articolo.

W97M.DownLoader.507 è un documento di Microsoft Word allegato alle email per essere distribuito. Il campione, ottenuto dagli specialisti Doctor Web, era camuffato da un fax inviato via email, però nel corso della formazione del messaggio i malintenzionati hanno sbagliato la data di creazione indicata nei parametri.

Il messaggio informa la potenziale vittima che il documento è stato cifrato attraverso l'algoritmo RSA e per conoscerne i contenuti è necessario attivare l'utilizzo delle macro in Word.

Inoltre, il documento contiene una pagina vuota su cui si trova un testo evidenziato in bianco che sarà visibile dopo l'attivazione delle macro nelle impostazioni dell'editor.

Dopo l'attivazione delle macro, il trojan visualizza il testo completo e allo stesso tempo scarica da un server remoto alcuni frammenti di codice, di cui crea i file di script nei formati .bat, .vbs o .ps1, a seconda della versione di Windows installata sul computer, li salva su disco ed esegue. Gli script, a loro volta, scaricano dal server dei malintenzionati e avviano un file eseguibile — come tale, in caso del campione W97M.DownLoader.507, viene scaricato il pericoloso trojan-banker Trojan.Dyre.553.

Gli specialisti Doctor Web ricordano nuovamente agli utenti della necessità di essere cauti: non aprite documenti Microsoft Word allegati alle email da mittenti sconosciuti senza aver controllato la loro sicurezza tramite un programma antivirus e guardatevi bene dall'attivare le macro nelle impostazioni di Word per l'apertura di simili documenti.