Białoruska firma VirusBlokAda informuje o odkryciu nowego konia trojańskiego, który prawdopodobnie wykorzystuje nieznaną dotychczas dziurę w Windows. Z przeprowadzonych analiz wynika, że szkodliwy kod dostał się z klipsu USB na w pełni załatany 32-bitowy Windows 7. Trojan nie wykorzystuje mechanizmu autostart, ale lukę w kodzie odpowiedzialnym za przetwarzanie skrótów (pliki .lnk). Po wyświetleniu się takiego skrótu w Windows Explorerze, dochodzi do uruchomienia się szkodliwego kodu. Instaluje on wówczas dwa rootkity, które mają ukryć jego obecność. Co ciekawe, rootkity wykorzystują klucze cyfrowe firmy RealTek, więc ich instalacja nie wywołuje alarmu systemowego. Od niedawna wiadomo, że pojawia się coraz więcej szkodliwego kodu z kluczem cyfrowym, co ma uśpić mechanizmy obronne Windows. Dalsze analizy pokazały, że trojan to dość specyficzny i wyspecjalizowany kod, zatem nie powinno dojść do infekcji na szeroką skalę. Wiadomo natomiast, że trojan zadaje zapytania systemowi SCADA. Jest on wykorzystywany przez wiele agend rządowych oraz liczne przedsiębiorstwa, co wskazuje, że nowo odkryty trojan ma zajmować się szpiegostwem przemysłowym oraz kradzieżą tajemnic państwowych.

Microsoft został poinformowany o problemie, jednak firmowym specjalistom nie udało się dotychczas odtworzyć ataku. Dzieje się tak, gdyż szkodliwy kod jest powiązany z konkretnym kluczem USB i plikiem .lnk, a więc nie można go po prostu uruchomić na dowolnym komputerze.

Źródło: ArcaBit