Onderzoeker ontdekt 331MB grote keylogger
De meeste malware is vrij klein qua omvang, maar een Griekse onderzoeker heeft nu een keylogger ontdekt die 331MB groot is. De malware is een combinatie van een commerciële keylogger genaamd "Limitless Keylogger" en AutoIt-programma's. De keylogger slaat toetsaanslagen op en stuurt de informatie naar het e-mailadres van de aanvaller.
De aanval begint volgens onderzoeker Ouranos Panagiotis met een spamcampagne, waarbij er een kwaadaardige e-mailbijlage wordt gebruikt. Het meegestuurde bestand is in werkelijkheid een EXE-bestand, maar doet zich dankzij een dubbele extensie voor als PDF-bestand. Standaard wordt de extensie van bestanden in Windows niet weergegeven, waardoor het lijkt alsof het bestand op .PDF eindigt.
Het EXE-bestand is een zichzelf uitpakkend RAR-bestand dat vier bestanden op de computer installeert en verbergt. Het gaat onder andere om een AutoIt-script dat 331MB groot is. AutoIt is een freeware automatiseringsprogramma voor Windows dat voor het uitvoeren van allerlei taken kan worden gebruikt. In dit geval zorgt de compressie van het script ervoor dat het in de e-mailbijlage slechts zo'n 200KB groot is.
Eenmaal uitgepakt is het bestand 331MB in omvang geworden. Van deze 331MB is slechts 55KB kwaadaardige code. De rest is vulling. Daarnaast beschikt de malware over verschillende eigenschappen om niet te worden opgemerkt. Zodra het uitvoerbare bestand is uitgepakt wordt het echter door 29 van de 54 virusscanners op VirusTotal herkend.
Bestandsgrootte is 'opgepompt' om antivirussen te misleiden en het voor reverse engineers een heel klein beetje moeilijker te maken.
De maker van Limitless Logger is er al een tijdje mee bezig hoor (nickname Mephobia), vandaar ook dat de meeste AV's de standaard keylogger ook al herkennen. Natuurlijk is dit een volledig ander verhaal in combinatie met een 'crypter'. Duidelijk ook dat een van zijn 'klanten' er nu voor gezorgd heeft dat zijn keylogger zo in het nieuws staat.
In ieder geval moet u weten dat Limitless Logger, want zo heet het, niet Limitless Keylogger, al enkele jaren bestaat.
Het is het eerste wat ik wijzig als ik toegang tot een Windows-machine heb, van mijzelf of van bekenden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
