Biến thể mới CoolWebSearch & SARS

Sunbelt Software – hãng phát triển phần mềm diệt spyware CounterSpy – cho biết các nhà nghiên cứu của hãng vừa mới phát hiện ra một chủng loại phần mềm gián điệp hoàn toàn mới.

Theo phát hiện của Sunbelt Software, loại spyware mới này được phát triển dựa trên nền tảng của CoolWebSearch - một loại trojan spyware cực kì nguy hiểm có khả năng thay đổi mọi thông số cấu hình của trình duyệt Internet Explorer, đặt trang chủ chuyển tiếp đến các trang web “đen”.

“Kế thừa” khả năng của CoolWebSearch, VX2/Transponder và một loại trojan chưa được biết đến, loại spyware mới này cũng có khả năng lợi dụng khai thác các lỗ hổng bảo mật của trình duyệt Internet Explorer để đột nhập và tự cài đặt lên máy tính của người sử dụng nhằm ăn cắp các thông tin nhạy cảm như tài khoản ngân hàng, thông tin đăng nhập, thông tin thẻ tín dụng…

Ông Alex Eckelberry, chủ tịch của Sunbelt, cho biết loại spyware mới này sau khi lây nhiễm vào máy tính thì sẽ đọc và khôi phục dữ liệu trong Khu vực lưu trữ được bảo vệ (Protected Storage).

Hệ điều hành Windows XP sử dụng Protected Storage để lưu trữ các loại thông tin như AutoComplete địa chỉ web, mật khẩu … hay chính là các loại thông tin mà bạn thường thấy IE tự động nhập cho bạn vào thanh địa chỉ hay các form trên web.

Hiện vẫn chưa có giải pháp chống lại loại spyware hoàn toàn mới này. Nhưng người sử dụng có thể sử dụng một loại trình duyệt thay thế khác – như Firefox – thì vẫn có thể an toàn trước sự lây lan của chúng. Có được khả năng “miễn dịch” này là do Firefox không lưu dữ liệu vào Protected Storage.

Trong khi đó, Webroot cũng vừa thông báo đã phát hiện ra một loại spyware nguy hiểm dấu mặt khác.

Cuối tuần trước, các chuyên gia nghiên cứu của Webroot đã phát hiện ra một tệp tin nén UPX có chứa biến thể mới của trojan SARS. Tuy nhiên, dường như cái vỏ bọc tệp tin nén đó vẫn chưa tạo sự an toàn cho SARS nên con trojan này “đã quyết định” ẩn mình vào trong đoạn văn bản tiếng Đức “ein Volk, ein REICH, ein Fuhrer !!!” (Một người, một quốc gia, một người lãnh đạo) - một câu nói nổi tiếng của Adolf Hitler. Đoạn văn bản đã được mã hoá sang định dạng ASCII.

Biến thể mới của trojan SARS thực sự rất nguy hiểm. Một khi đã lây nhiễm vào các máy tính, loại trojan này sẽ chiếm một vị trí thường trú trong bộ nhớ động, dấu mình chạy dưới nền hệ điều và chờ đợi cơ hội tấn công. Nếu phát hiện ra bất kì một kết nối an toàn (secure connection), ngay lập tức con trojan này sẽ hoạt động và “hoà mình” vào dòng kết nối đó để gửi báo cáo về máy chủ trung tâm của tin tặc.