Обнаружен новый кейлоггер, маскирующийся под продукт ЛК

Исследователи бостонской ИБ-компании Cybereason обнаружили кампанию по распространению нового кейлоггера Fauxpersky, маскирующегося под антивирусный продукт «Лаборатории Касперского». Вредонос нельзя назвать сложным или незаметным, однако он является очень эффективным в похищении паролей, отмечают исследователи.

Fauxpersky создан с помощью популярного приложения AutoHotKey, позволяющего пользователям писать небольшие скрипты для автоматизации выполнения задач и компилировать скрипты в исполняемые файлы. В данном случае AutoHotKey использовалось для создания кейлоггера, распространяющегося через USB-накопители и заражающего компьютеры под управлением Windows.

Несмотря на свою простоту, вредонос очень эффективен и отправляет похищенные данные непосредственно в почтовый ящик операторам. Когда запущены все основные файлы программы, набираемые пользователем символы на клавиатуре записываются в текстовый файл с именем Windows, чтобы операторам было легче разобраться в контексте. Через Google Формы содержимое файла «вытягивается» из компьютера, после чего файл удаляется с диска. Затем все формы отправляются в электронный ящик атакующих. Исследователи сообщили Google о вредоносных формах, и в течение часа они были удалены.