Un nouveau malware capable d’infecté les ordinateurs sous Windows, Linux et Mac OS
Des chercheurs de Kaspersky Lab ont étudié le programme malveillant
Des chercheurs ont décelé un malware capable d’infecté les ordinateurs fonctionnant sous Windows, Mac OS ou Linux. Les systèmes ayant installés le framework Java d’Oracle sont ceux concernés. Les chercheurs ont publié les informations concernant le malware dans un billet de blog de Kaspersky Lab.
Ils expliquent que pour rendre « l’analyse et la détection du malware plus difficile, ses développeurs ont utilisé l’obfuscateur Zelix Klassmater ». Les développeurs du malware ont utilisé de différentes clés pour chaque classe utilisée ce qui rend l’analyse beaucoup plus fastidieuse d’autant plus qu’il faut « analyser toutes les classes dans l’ordre pour trouver les clés de décryptage ». De même, les constantes de type chaîne de caractère sont chiffrés. Un algorithme de déchiffrement des chaînes se présente comme suit :
L’algorithme de déchiffrement des cas particuliers se présente comme suit :
Le malware se copie dans le répertoire personnel de l’utilisateur puis s’enregistre en tant que service système pour s’exécuter au démarrage du système. Pour l’exécution automatique au démarrage, les commandes suivantes sont utilisées en fonction de chaque OS :
Source : Blog Kaspersky Lab
Et vous ?
:fleche: Qu’en pensez-vous ?
:fleche: Avez-vous déjà rencontré ce malware ?
Des chercheurs de Kaspersky Lab ont étudié le programme malveillant
Des chercheurs ont décelé un malware capable d’infecté les ordinateurs fonctionnant sous Windows, Mac OS ou Linux. Les systèmes ayant installés le framework Java d’Oracle sont ceux concernés. Les chercheurs ont publié les informations concernant le malware dans un billet de blog de Kaspersky Lab.
Ils expliquent que pour rendre « l’analyse et la détection du malware plus difficile, ses développeurs ont utilisé l’obfuscateur Zelix Klassmater ». Les développeurs du malware ont utilisé de différentes clés pour chaque classe utilisée ce qui rend l’analyse beaucoup plus fastidieuse d’autant plus qu’il faut « analyser toutes les classes dans l’ordre pour trouver les clés de décryptage ». De même, les constantes de type chaîne de caractère sont chiffrés. Un algorithme de déchiffrement des chaînes se présente comme suit :
- prendre l'indice courant d'un caractère dans la chaîne cryptée
- calculer le reste de sa division par 5
- choisir la clé courant en fonction du résultat
- identifier le caractère décrypté en effectuant un module d’addition de 2 bits avec la clé sélectionnée
L’algorithme de déchiffrement des cas particuliers se présente comme suit :
Le malware se copie dans le répertoire personnel de l’utilisateur puis s’enregistre en tant que service système pour s’exécuter au démarrage du système. Pour l’exécution automatique au démarrage, les commandes suivantes sont utilisées en fonction de chaque OS :
- Windows : HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Mac OS : le service standard launchd est utilisé
- Linux : /etc/init.d/
Source : Blog Kaspersky Lab
Et vous ?
:fleche: Qu’en pensez-vous ?
:fleche: Avez-vous déjà rencontré ce malware ?
Aucun commentaire:
Enregistrer un commentaire