Исследователи бостонской ИБ-компании Cybereason обнаружили кампанию по распространению нового кейлоггера Fauxpersky, маскирующегося под антивирусный продукт «Лаборатории Касперского».
Вредонос нельзя назвать сложным или незаметным, однако он является очень эффективным в похищении паролей, отмечают исследователи.
Fauxpersky создан с помощью популярного приложения AutoHotKey, позволяющего пользователям писать небольшие скрипты для автоматизации выполнения задач и компилировать скрипты в исполняемые файлы. В данном случае AutoHotKey использовалось для создания кейлоггера, распространяющегося через USB-накопители и заражающего компьютеры под управлением Windows. Несмотря на свою простоту, вредонос очень эффективен и отправляет похищенные данные непосредственно в почтовый ящик операторам.
Когда запущены все основные файлы программы, набираемые пользователем символы на клавиатуре записываются в текстовый файл с именем Windows, чтобы операторам было легче разобраться в контексте.
Через Google Формы содержимое файла «вытягивается» из компьютера, после чего файл удаляется с диска. Затем все формы отправляются в электронный ящик атакующих. Исследователи сообщили Google о вредоносных формах, и в течение часа они были удалены.