Russen krijgen Buhtrap-malware maar niet onder de knie

ESET-onderzoekers hebben vastgesteld dat deze operatie al meer dan een jaar gaande is en dat de malware voortdurend verbeterd wordt om opsporing te voorkomen en resultaten te maximaliseren.

Word-documenten

De aanvalsvectoren die ESET onderzocht, zijn Word-documenten die CVE-2012-0158 benutten. De cybercriminelen spammen ontvangers met kwaadaardige Word-documenten, zoals valse rekeningen of contracten van MegaFon, een grote Russische mobiele-telefoonoperator. Het doel: slachtoffers verleiden de kwaadaardige bijlagen te openen.

De malware in Operation Buhtrap maakt gebruik van een mix van standaardtools, een in NSIS-verpakte Trojaanse download en op maat gemaakte spyware die Yandex’s Punto-software aantast.

Backdoor

De tools die de cybercriminelen installeren op de computer van het slachtoffer, stellen hen in staat de computer op afstand over te nemen en de handelingen van de gebruiker vast te leggen. De malware maakt het de criminelen mogelijk een backdoor te installeren en probeert vervolgens het wachtwoord van het betreffende account te achterhalen. Het kan zelfs een nieuw account creëren. De malware installeert daarnaast een keylogger, een clipboard stealer en een smartcardmodule, en heeft de mogelijkheid extra malware te downloaden en uit te voeren.