Evernote biedt malwaremakers nieuwe kansen

Vervolgens injecteert de malware een .dll-bestand waarna het mogelijk is code te downloaden en uit te voeren en bestandsnamen te veranderen. Ook is de malware in staat informatie van de gebruiker en zijn omgeving te registreren.

Veel interessanter is dat BKDR_VERNOT.A ook als communication & controlserver kan dienen. Omdat het verkeer dat de server genereert, afkomstig is van Evernote beschouwt de meeste beveiligingssoftware het als vertrouwd. TrendMicro had BKDR_VERNOT.A net ontdekt in de periode dat Evernote te maken kreeg met een inbraak waarbij veel wachtwoorden van gebruikers werden gestolen. Door de actie die Evernote daarop uitvoerde om al zijn klanten tot wijziging van hun wachtwoord te dwingen, werd ook het wachtwoord dat de malware gebruikte ongeldig waardoor verder onderzoek aan het onderschepte exemplaar van BKDR_VERNOT.A onmogelijk werd.

Nieuwe trend in malware

TrendMicro waarschuwt echter voor een nieuwe trend omdat dit geval niet op zichzelf staat. Eerder werd ook bij Google Docs de malware BKDR_MAKADOCS.JG gedetecteerd, met een vergelijkbare communications & control server. En TSPY_SPCESEND.A bij filehostingsite Sendspace is een derde voorbeeld waarbij vertrouwde software wordt ingezet voor malafide toepassing.