Il nuovo sistema ha la capacità di sovrascrivere le funzioni di aggiornamento delle altre applicazioni; in questo modo evita che patch vengano applicati ai programmi annullando, di fatto, tutte le modifiche destinate ad aumentare la sicurezza delle applicazioni stesse.

Il malware, che infetta computer Windows, si maschera come un aggiornamento di prodotti Adobe (e altro software come Java) invitando, appunto, gli utenti all’upgrade. La scoperta è stata fatta da Nguyen Cong Cuong, un analista della BKIS, un gruppo di ricerca vietnamita dell'area sicurezza.

Nel pubblicizzare la scoperta, BKIS ha mostrato alcune schermate del nuovo malware, praticamente simili agli avvisi di aggiornamento di Adobe Reader 9, il modulo che avvisa ogni volta di nuove versioni e aggiornamenti di questo software.

Utenti non particolarmente esperti potrebbero, inavvertitamente, installare questo falso aggiornamento che, tra l'altro, ha la capacità di aprire automaticamente allegati della posta elettronica o scaricare, senza richiedere l'autorizzazione, plugin o altro materiale dalle pagine Web.

Inoltre, parallelamente, il malware apre un client DHCP (Dinamic Host Configuration Protocol) sul network, attraverso cui condividere una porta attraverso cui ricevere comandi da un controller remoto.

Alla notizia pubblicata da BKSIS ha fatto eco, dopo qualche ora, un ampio report di Trend Micro, che ha evidenziato come la perdita di funzionalità di aggiornamento rimanga anche quando il malware è stato eliminato.

Nello stesso avviso, Rick Ferguson, analista capo del gruppo di ricerca, raccomanda, in caso di sospetta infezione, di reinstallare completamente ex novo il software compromesso.

Fonte: HiTech Legion