Sikkerhedsforsker Tatsuhiko Ito rapporterer, at PlayFulGhost-malwaren indeholder en bagdør, der har slående ligheder med Gh0st RAT-malwaren. Kildekoden til Gh0st-malwaren blev gjort offentlig i 2008 og bruges stadig aktivt i dag.
Faren ved PlayFulGhost er, at den giver angribere omfattende kontrol over brugernes systemer, oplyser Googles sikkerhedsteam i et blogindlæg.
Spredes med særlig teknik
Malwaren spredes i øjeblikket på flere måder: via phishing-angreb gennem e-mails og gennem såkaldt 'SEO poisoning'. Ved phishing-angreb sender angribere e-mails med vedhæftede filer i håbet om, at modtagerne åbner dem.
Disse filer har navne som 'code of conduct', der får dem til at ligne Word- eller PDF-dokumenter. I virkeligheden er det dog skadelige RAR-filer med en .jpg-filendelse. Når brugerne pakker RAR-filen ud og åbner den indlejrede fil, aktiveres malwaren.
Ved 'SEO poisoning' udnytter angribere søgemaskineoptimering (SEO) til at manipulere søgeresultaterne, så deres sider rangerer højere på Google og tiltrækker flere besøgende. Ofte er der tale om hjemmesider, der promoverer apps såsom VPN-tjenester.
Angriberne håber, at brugerne stoler på siderne og downloader de pågældende apps. Når appen installeres, aktiveres malwaren på samme måde som ved det skadelige RAR-dokument.
Brugerne opdager ofte ikke infektionen, fordi malwaren er bundet sammen med apps, der virker legitime, herunder VPN-apps. Et eksempel på dette er appen 'LetsVPN', som ifølge Google indeholder en skadelig bagdør. Det indikerer naturligvis, at det er en app, du skal være meget varsom med at bruge.
'Nuisance activity' (forstyrrende aktivitet) PlayFulGhost-malwaren giver hackere og cyberkriminelle omfattende adgang til computere. Det betyder, at de kan overvåge brugerens aktiviteter og stjæle følsomme oplysninger.
Desuden kan malwaren udføre såkaldte 'forstyrrende handlinger' såsom at ændre skærmopløsningen, blokere tastatur- og museinput, åbne og lukke cd-rom-drevet eller afspille irriterende lyde. Om angriberne aktivt bruger disse funktioner, vides endnu ikke.
