[NEWS] Un virus polimorfico (con dialer) per navigatori italiani

[c.m.g]

mercoledì 30 gennaio 2008


Qualche giorno fa a proposito della chiusura dell'infame sito Callsolutions ho ricevuto una interessantissima segnalazione da Gmg (un utente molto preparato di hwupgrade)
a proposito di un sito spara virus estremente pericoloso.
Da quello che ho potuto osservare dovrebbe trattarsi di un virus polimorfico che tenta di installare un dialer.

Il nome del dominio gia' ci fa capire a chi sia destinato il malware.

hxxp://italiancollection.in/[edit...]/info/exe.php?id=xx

Variando i numeri dopo ?id= cambia la codifica del file.

Non sono riuscito a fare analisi con la sanbox di sunbelt e quindi non so se possa essere attribuito alla famiglia dialcall (callsolutions)

La scansione su virustotal da i seguenti risultati:

http://bp0.blogger.com/_CDS_SXPrm3A/R6DMnVNh6NI/AAAAAAAAATQ/5xVdaNpRZ3U/s200/wpoly.jpg (http://bp0.blogger.com/_CDS_SXPrm3A/R6DMnVNh6NI/AAAAAAAAATQ/5xVdaNpRZ3U/s1600-h/wpoly.jpg)

Quello che ho potuto notare è la difficolta' di kaspersky 7 nel riconoscere tale virus polimorfico.
Non so se il modulo PDM sia in grado di intercettare la minaccia.

Alcuni sample che ho inviato sono stati successivamente individuati dall'antivirus russo come Trojan.Win32.Dialer.XYZ
ma l'efficacia del prodotto è scarsa.


Ci sono degli aggiornamenti, seguire la discussione seguente.

Fonte: maipiugromozon blog - by maverick (alias mausap) (http://maipiugromozon.blogspot.com/2008/01/un-virus-polimorfico-con-dialer-per.html)

[mausap]

A quanto sembra il virus anche se estremamente difficile da rilevare in tutte le sue mutazioni
non sarebbe tecnicamente "polimorfico" (analisi di TNT)
Resta comunque una "brutta bestia"
Mi scuso per l'errore.....

[Bugs Bunny]

quindi non è polimorfico ma vi sono moltissime varianti?

[mausap]

quindi non è polimorfico ma vi sono moltissime varianti?

Citazione TNT:
"Beh poi vabbe' il termine "polimorfico" generalmente in campo malware viene usato per indicare un tipo di virus un po' diverso da questi dialer qui, ma il termine "polimorfico" in assoluto non e' completamente errato in quanto in effetti e' sempre lo stesso malware che viene ricreato e compresso con un runtime packer in modo da evadere le firme... :) "

[Bugs Bunny]

ok grz

[eraser]

Una definizione carina e corretta sarebbe 'manual polymorphism', cioè una sorta di polimorfismo manuale, indotto grazie ad un packer che permette una rapida ricompressione - tutto server side.

Il dialer utilizza un driver 'CommDrv.sys'. I numeri utilizzati sono:

899161323 (Operatore: Voiceplus)
00881939100516 (Operatore: GMSS)
1784402345 (Operatore: Eutelia)

Che la mano sia russa o comunque est asiatica non penso vi siano grossissimi dubbi:

http://www.pcalsicuro.com/images/poly_dialer.jpg

Così come non fanno neanche lavorare troppo sull'identificazione del tipo di malware, visto che lo lasciano scritto direttamente loro nel codice:

D:\Business\ADWARE\Dialer\CommDriver\

Il resto del codice, a parte il packer e qualche altra caratteristica, non è di grandissimo interesse.