Segundo Fabio Assolini, analista de malware da Kaspersky Lab, ao alterar as configurações da conexão, todos os dados trafegados por ela são enviados para um servidor malicioso.
Dois novos trojans brasileiros já estão em circulação e trazem algo diferenciado dos demais. Segundo Fabio Assolini, analista de malware da Kaspersky Lab, eles grampeam a conexão de internet do usuário direcionando-o para servidores maliciosos, que são preparados para roubar informações pessoais. Os trojans agem nas configurações da conexão de internet do usuário, inserindo um proxy malicioso ou alterando os servidores DNS.
O primeiro vírus analisado utiliza uma técnica que procura pelas conexões de internet ativas no computador e suas configurações no registro do Windows, onde irá inserir um endereço de um Proxy para direcionar todo o tráfego de internet para um servidor malicioso.
Segundo Assolini, o uso de proxy malicioso não é novidade em trojans brasileiros. “Noticiamos em abril passado a mesma técnica sendo usada para alterar as configurações do navegador do usuário (Internet Explorer, Firefox ou Chrome).”
Ao alterar as configurações da conexão de internet, todos os dados trafegados são enviados para um servidor malicioso e podem ser coletados pelo criminoso, independentemente do navegador usado. De acordo com Assolini, o servidor malicioso utilizado pelo novo trojan estava preparado para capturar dados de 14 sites de bancos brasileiros.
Para a vítima ser “grampeada” o malware utiliza uma lista de nomes de conexões genéricas e de provedores de acesso populares no País. O trojan irá procurar pela conexão ativa e irá modificá-la, inserindo um endereço malicioso nas configurações. Desta maneira, os dados trafegados pela conexão alterada são direcionados para o servidor malicioso.
“Com o intuito de medir a eficácia da nova ameaça, os criminosos mantém um “contador” de vítimas infectadas. Essa prática é bastante comum, em cerca de 24 horas o trojan infectou mais de 600 pessoas”, disse o analista.
O segundo vírus que atinge a conexão do usuário age nos servidores DNS da conexão. “O serviço DNS (Domain Name Service ou Serviço de Nomes de Domínio) é responsável pela tradução do nome dos sites para números IPs, linguagem usada pelos computadores para se comunicarem na internet. Exatamente aí o trojan se instala, alterando sua conexão e inserindo números IPs de um servidor malicioso, fazendo com que sua conexão seja totalmente monitorada, não importa o navegador usado”, explica Assolini.
Para criar o golpe é necessário que o cibercriminoso tenha uma estrutura razoáel, pois irá direcionar todo o tráfego do usuário infectado, coletando as credenciais de acesso aos serviços de internet banking.
