Monday, 24 July 2017

ESET Waves Red Flag: Insight into Hidden Malware Affecting 500,000 Users



Dubai, UAE, 24 July 2017: ESET, a global leader in cybersecurity, has investigated and identified a complex threat posed by a new strain of malware that has so far affected half a million users.
Dubbed as Stantinko, ESET’s latest white paper analyzes this highly inconspicuous malware which tricks victims into downloading pirated software from fake torrent sites, and that has continually morphed to avoid detection for the last five years. Targeting mainly Russian speakers, Stantinko is a network of bots which is monetized by installing browser extensions that inject fake ads while surfing the web.  Once installed on a machine it can perform massive Google searches anonymously and create fake accounts on Facebook; with the capability to like pictures, pages and add friends.
A ‘Modular Backdoor’
Stantinko’s ability to evade anti-virus detection relies upon heavy obfuscation and hiding in plain sight inside code that looks legitimate. Using advanced techniques, malicious code is hidden either encrypted in a file or in the Windows Registry. It is then decrypted using a key generated during the initial compromise. Its malicious behavior can’t be detected until it receives new components from its command and control  server, making it difficult to uncover. 
Once a machine is infected, it installs two harmful Windows services that launch every time the system is started. “It is difficult to get rid of once you have it, as each component service has the ability to reinstall the other in case one of them is deleted from the system. To fully eliminate the problem, the user has to delete both services from their machine at the same time,” explains Frédéric Vachon, Malware Researcher at ESET.
Once inside a device Stantinko installs two browser plugins, both available on the Google Chrome Web Store – ‘The Safe Surfing’ and ‘Teddy Protection.’ “Both plugins were still available online during our analysis,” Marc-Etienne Léveillé, Senior Malware Reseracher at ESET. “At first sight, they look like legitimate browser extensions and even have a website. However, when installed by Stantinko, the extensions receive a different configuration containing rules to perform click-fraud and ad injection.”
Once the malware has infiltrated, Stantinko’s operators can use flexible plugins to do anything they wish with the compromised system. These include conducting massive anonymous searches to find Joomla and WordPress sites, performing brute force attacks on these sites, finding and stealing data, and creating fake accounts on Facebook.
How do Stantinko hackers make money?
Stantinko has the potential to be very lucrative as click fraud is a major source of revenue for hackers. Research conducted by White Ops and the Association of National Advertisers in the US estimated click fraud will cost businesses $6.5 billion this year alone.
Details of the sites victim to brute force attacks can also be sold on the underground market after it is compromised by Stantinko, which guesses the passwords by trying thousands of different credentials. Although ESET Researchers couldn’t witness the malicious activity on the social network, operators of Stantinko have a tool that allows them to perform fraud on Facebook, selling ‘likes’ to illegitimately capture the attention of unsuspecting consumers. 
The Safe Surfing and Teddy Protection plugins are able to inject adverts or redirect the user. “It allows Stantinko operators to be paid for the traffic they provide to these adverts. We even found users would reach the advertiser’s website directly through Stantinko-owned ads,” concludes Matthieu Faou, Malware Researcher at ESET.

To read more about Stantinko visit welivesecurity.com



إسيت تحذر من برمجية ضارة مخفية تؤثر على 500 ألف مستخدم
دبي، الإمارات العربية المتحدة، 24 يوليو 2017: أعلنت ’إسيت‘، الشركة العالمية الرائدة في مجال الأمن الرقمي، عن إجرائها لتحقيقات أدت لاكتشاف وتحديد تهديد معقد ناجم عن سلالة جديدة من البرمجيات الضارة أصابت أجهزة نصف مليون مستخدم حتى الآن.
وتحلل أحدث الأوراق البحثية التي أصدرتها ’إسيت‘ هذه البرمجيات الخبيثة، التي سميت ’ستانتينكو‘ (Stantinko)، التي تتسم بقدر كبير من الغموض وتتحايل على الضحايا لتحميل برمجيات مقرصنة من مواقع ’تورنت‘ (torrent) وهمية، حيث دأبت هذه البرمجيات على التحول بشكل مستمر لتفادي اكتشافها على مدى السنوات الخمس الماضية. ومع استهدافها بشكل رئيسي للمتحدثين باللغة الروسية، تمثل ’ستانتينكو‘ شبكة من الأجهزة المُخترَقَة (بوت نت) التي يتم كسب الأموال منها من خلال تثبيت ملحقات برامج التصفح التي تضخ إعلانات وهمية أثناء تصفح الإنترنت. وبمجرد تثبيتها على الجهاز، يمكن لهذه البرمجيات إجراء عمليات بحث ضخمة ومجهولة الهوية باستخدام محرك البحث ’جوجل‘، فضلاً قدرتها على إنشاء حسابات وهمية على موقع ’فيسبوك‘؛ مع القدرة على تسجيل الإعجاب بالصور والصفحات وإضافة الأصدقاء.
برمجية خبيثة مستترة قياسية (Modular Backdoor)
تستند قدرة برمجية ’ستانتينكو‘ على تجنب اكتشافها من قبل برامج مكافحة الفيروسات على قدرات تشويش وتخفي عالية على مرأى هذه البرامج ضمن تعليمات برمجية تبدو سليمة. وباستخدام التقنيات المتقدمة، يتم إخفاء هذه التعليمات البرمجية الخبيثة بصورة مشفرة ضمن أحد الملفات أو ضمن ملفات التسجيل الخاصة بنظام ’ويندوز‘. وبعد ذلك، يتم فك تشفير هذه التعليمات باستخدام مفتاح تم إنشاؤه أثناء دخول هذه البرمجية الخبيثة للجهاز للمرة الأولى. ولا يمكن اكتشاف السلوك الخبيث لهذه البرمجيات حتى تتلقى مكونات جديدة من مخدم السيطرة والتحكم، ما يجعل اكتشافها غاية في الصعوبة.
وبمجرد إصابة الجهاز، تقوم هذه البرمجيات بتثبيت اثنتين من خدمات ’ويندوز‘ الضارة التي يبدأ تشغيلها في كل مرة يتم فيها تشغيل النظام. وبهذا الصدد، قال فريدريك فاشون، باحث في البرمجيات الضارة لدى شركة ’إسيت‘: "من الصعب التخلص من هذه البرمجيات بعد إصابة الجهاز بها، إذ أن كل منها قادرة على إعادة تثبيت الأخرى في حال حذفها. وللتخلص من المشكلة بشكل كامل، يتعين على المستخدم حذف كلتا الخدمتين من الجهاز في ذات الوقت".
وبمجرد دخولها إلى الجهاز، تقوم برمجية ’ستانتينكو‘ بتثبيت اثنين من ملحقات برنامج المتصفح المتوفرة على متجر ’جوجل كروم‘ الإلكتروني – وهي (The Safe Surfing) و(Teddy Protection). وبدوره، قال مارك-إتيان ليفييه، كبير باحثي البرمجيات الخبيثة لدى ’إسيت‘: "تبدو هذه البرمجيات، للوهلة الأولى، وكأنها ملحقات مشروعة لبرنامج المتصفح، حتى أنها تمتلك مواقعاً إلكترونيةً خاصةً بها. ومع ذلك، عند تثبيتها عبر ’ستانتينكو‘، تتلقى الملحقات إعداداً مختلفاً يتضمن قواعداً لتنفيذ عمليات احتيال من خلال الضغط على الإعلانات وضخ الإعلانات".
وحال تسلل البرمجيات الضارة، يمكن لمشغلي ’ستانتينكو‘ استخدام ملحقات مرنة للقيام بأي شيء يرغبون به على النظام المخترق. ويشمل ذلك إجراء عمليات بحث ضخمة ومجهولة الهوية للعثور على موقعي (Joomla) و(WordPress) وإطلاق هجمات القوة العمياء (brute force attacks) على هذه المواقع والعثور على البيانات وسرقتها وإنشاء حسابات وهمية على موقع ’فيسبوك‘.
كيف يجني قراصنة ’ستانتينكو‘ الأموال؟
يمكن لبرمجية ’ستانتينكو‘ أن تكون مربحةً للغاية باعتبار أن الاحتيال بالضغط على الإعلانات (click fraud) يعتبر مصدر الدخل الرئيسي للقراصنة. وقدرت الأبحاث التي أجرتها شركة ’وايت أوبس‘ (White Ops) و’جمعية المعلنين الوطنيين‘ (Association of National Advertisers) في الولايات المتحدة أن عمليات الاحتيال بواسطة الضغط على الإعلانات ستكبد الشركات 6.5 مليار دولار أمريكي خلال العام الجاري فقط.
وبالإضافة إلى ذلك، يمكن أن تباع تفاصيل المواقع التي وقعت ضحية لهجمات القوة العمياء في السوق السوداء بعد اختراقها ببرمجية ’ستانتينكو‘ التي تقوم بتخمين كلمات المرور بتجربة آلاف كلمات المرور المختلفة. وبالرغم من عدم قدرة باحثي ’إسيت‘ على مشاهدة هذا النشاط الخبيث على الشبكة الاجتماعية، يمتلك مشغلو ’ستانتينكو‘ أداةً تسمح لهم بإجراء عمليات الاحتيال على موقع ’فيسبوك‘ وبيع تسجيلات الإعجاب لاستقطاب انتباه المستهلكين غير المتنبهين.
وعلاوةً على ذلك، تتمتع ملحقات (The Safe Surfing) و(Teddy Protection) بالقدرة على ضخ الإعلانات أو إعادة توجيه المستخدم. ومن جهته، قال ماثيو فاو، باحث البرمجيات الخبيثة لدى ’إسيت‘: "تسمح هذه الملحقات لمشغلي برمجية ’ستانتينكو‘ بتلقي الأموال لقاء حركة المرور التي تقدمها لهذه الإعلانات. كما وجدنا أن بعض المستخدمين يصلون إلى الموقع الإلكتروني الخاص بالمعلن بصورة مباشرة من خلال إعلانات مملوكة لبرمجية ’ستانتينكو‘".

لمزيد من المعلومات عن برمجية ستانتينكو‘، يرجى زيارة الموقع الإلكتروني: welivesecurity.com
=