Malware usa função do Windows para bloquear antivírus

Um malware bancário descoberto no Japão está utilizando o próprio Windows para se defender de programas de segurança. Identificada pela Trend Micro como BKDR_VAWTRAK, a ameaça utiliza uma função do sistema chamada de Software Restriction Policies (SRP) para impedir que antivírus de diferentes desenvolvedores sejam executados.

Apresentado pela primeira vez no Windows XP e no Windows Server 2003, o recurso, na teoria, serve para que administradores impeçam determinados programas (ou até um vírus) de funcionar. Ele pode identificar softwares que não devem rodar na máquina de quatro formas diferentes: pela hash deles (a “impressão digital”, de certa forma), pelo certificado de validade, pelo local em que eles estão instalados ou pela origem do download no Internet Explorer.

Nesse caso, a técnica utilizada pelo malware para reverter a situação é a terceira. Ele consegue identificar mais de 50 softwares de segurança diferentes (soluções da Avast, da AVG, da ESET e da própria Trend, inclusive) e procurar pelas pastas deles dentro do diretório “Arquivos de Programas”, onde normalmente ficam instalados. Quando encontra algo, o VAWTRAK adiciona uma nova linha no registro da máquina, fazendo com que o respectivo antivírus só consiga rodar com “privilégios restritos”.

De acordo com a Trend Micro, esta não é a primeira vez que um vírus consegue fazer isso. Mas esse malware bancário, que consegue roubar credenciais de usuários de internet banking, ganhou atenção devido à sua “popularidade” no Japão – o país já é o segundo mais afetado por ameaças do tipo no mundo, atrás apenas dos Estados Unidos.

A empresa recomenda a prevenção típica: mantenha um antivírus instalado e atualizado no computador, pois o programa consegue bloquear o VAWTRAK antes que ele comece a agir na máquina, limitando o funcionamento da proteção.

Com informações de Info