Een onbekende malware-familie heeft bijna een jaar lang duizenden computers weten te infecteren voordat het werd ontdekt. De 'Magic malware', zoals de kwaadaardige code door beveiligingsbedrijf Seculert wordt genoemd, was vooral in Groot-Brittannië actief, gevolgd door Italië en de Verenigde Staten. In plaats van te communiceren via HTTP, werd er via een zelfgemaakt protocol gecommuniceerd.

Bij één infectie zagen de onderzoekers hoe de malware de Command & Control (C&C)-server om instructies vroeg. De C&C-server antwoordde met een opdracht om een nieuwe backdoor-gebruiker toe te voegen, met de gebruikersnaam 'WINDOWS' en het wachtwoord 'MyPas1234'. Daarmee kregen de aanvallers toegang tot de machine of het netwerk.

Onzichtbaar
De Magic malware wist 11 maanden onopgemerkt te blijven en in die tijd 'duizenden verschillende entiteiten' te infecteren, aldus Seculert. Volgens het beveiligingsbedrijf zou de malware nog steeds in ontwikkeling zijn, aangezien er verschillende aanwijzingen van nieuwe features en functies werden ontdekt, die nog niet waren geïmplementeerd of werden gebruikt.

Als de aanvaller een browser op de computer van een slachtoffer wil starten, laat de malware in de Remote Desktopsessie van de aanvaller een melding zien met 'TODO: Start browser!'.

Doel
Wat de aanvallers precies met de malware van plan waren is nog onduidelijk. De Magic malware is in staat om een backdoor te openen, informatie te stelen en HTML in de browser te injecteren.

Seculert denkt dat de malware op dit moment vooral werd ingezet om slachtoffers te bespioneren, maar sluit niet uit dat dit de eerste fase van een veel bredere aanval is.