به گزارش حوزه دنیای ارتباطات گروه فضای مجازی باشگاه خبرنگاران جوان،  به نقل از BleepingComputer، تیم پژوهشی Minerva Lab اخیرا نمونه‌ای از بدافزار دانلودکننده و سارق اطلاعات AZORult را مشاهده کرده که به عنوان نصب‌کننده گوگل آپدیت - Google Update امضا شده است. این بدافزار پایداری خود در سیستم را با جایگزینی برنامه گوگل آپدیت اصلی در سیستم‌های قربانی، کسب می‌کند.

بدافزار AZORult، یک تروجان سارق اطلاعات است که همیشه در حال تکامل بوده است. همچنین، از این بدافزار به عنوان دانلودکننده سایر بدافزارها در حملات سایبری چندمرحله‌ای نیز استفاده شده است. کارکرد اصلی این بدافزار استخراج اطلاعات حساس مانند فایل‌ها، گذرواژه‌ها، کوکی‌ها، تاریخچه مرورگر، اطلاعات احرازهویت بانکی و کیف پول ارزهای دیجیتال است.

پژوهشگران یک فایل GoogleUpdate.exe را دریافت کردند که با یک گواهی معتبر امضا شده و تمامی ویژگی‌های این فایل بیانگر قانونی بودن آن است. این فایل دارای آیکون اصلی است و گواهی آن لغو نشده است. اما با بررسی بیشتر مشاهده شد که به جای Google، گواهی توسط Singh Agile Content Design Limited امضا، صادر و توسط هزاران فایل اجرایی استفاده شده است. تمامی این فایل‌ها یک کپی جعلی از فایل GoogleUpdate هستند.

با تحلیل بیشتر این فایل، تروجان AZORult در آن شناسایی شد. نشانه‌های این تروجان ارسال درخواست HTTP POST به یک فایل index.php، استفاده از دامنه bit. (برای DNS زنجیره بلوکی) و استفاده از Mozilla/۴,۰ User-Agent هستند که تمامی نمونه‌های AZORult این موارد را دارا هستند.

این نمونه بدافزار، علاوه بر سرقت اطلاعات، خود را در برنامه Google Update اصلی در C:\Program Files\Google\Update\GoogleUpdate.exe مخفی می‌کند. این کار باعث می‌شود تا بدافزار با دسترسی‌های مدیریت اجرا شود و در سیستم قربانی پایداری کسب کند. از این رو، بدلیل جایگزین شدن با بروزرسانی‌کننده اصلی Google، بدون نیاز به تغییر رجیستری یا اضافه کردن فعالیت‌های زمانبندی شده، پایداری بدافزار حاصل می‌شود.

نشانه‌های آلودگی (IoC):
مسیر فایل:

URL:

هش‌ها: