Novo malware bancário Zberp rouba dados e consegue enganar antivírus

Vírus combina recursos do Zeus e do Carberp e rouba, entre outros dados, endereços IP, credenciais de FTP e POP3, certificados SSL e informações inseridas em formulários web.

A ameaça - apelidada de Zberp pelos pesquisadores da Trusteer, subsidiária da IBM - possui uma ampla gama de recursos. O malware pode coletar informações sobre computadores infectados incluindo endereços IP e nomes; tirar prints da tela e enviar as imagens a servidores remotos; roubar credenciais de FTP e POP3, certificados SSL e informações inseridas em formulários web; sequestrar sessões de navegadores e inserir conteúdo malicioso em sites abertos e iniciar conexões maliciosas remotas usando protocolos VNC (Virtual Network Computing) e RDP (Remote Desktop Protocol).Parece que um novo Cavalo de Troia bancário para computadores "pegou emprestado" alguns recursos e funcionalidades dos conhecidos malwares financeiros Zeus e Carberp. O novo vírus tem como alvo os usuários de 450 instituições financeiras ao redor do mundo.

Os pesquisadores da Trusteer consideram o Zberp uma variante do ZeusVM - uma modificação recente do popular Zeus, cujo código fonte foi liberado em fóruns arbitrários em 2011. O ZeusVM foi descoberto em fevereiro e se destaca de outras variantes baseadas no Zeus por conta do uso de esteganografia para ocultar dados de configuração dentro de imagens.

Os autores do Zberp usaram a mesma técnica de envio de configurações de updates incorporadas a uma imagem que aparenta ser o logo da Apple. Essa técnica foi usada pelo ZeusVM para evitar a detecção por programas antimalware. No entanto, a nova versão do vírus também utiliza técnicas de "hooking" para controlar o navegador - e essa parece ter sido "emprestada" do Carberp, um outro Cavalo de Troia bancário desenvolvido para fraudes de internet banking e que teve seu código fonte liberado no ano passado.

"Desde que o código fonte do Carberp se tornou público, temos a teoria de que não demorará muito para cibercriminosos combinarem a fonte do Carberp com a do Zeus e criar um monstro", disseram os pesquisadores da Trusteer, Martin Korman e Tal Darsan, no blog da empresa. "Era apenas uma teoria, mas há algumas semanas encontramos amostrar da botnet 'Andromedra', que fazia o download desse monstro híbrido."

O Zberp também utiliza algumas outras técnicas emprestadas do ZeusVM para permanecer no sistema e evitar a detecção, disseram os pesquisadores. O malware exclui a sua chave de registro de inicialização quando executado e a adiciona de volta quando detecta que o sistema está sendo desligado.

"De acordo com o Virus-Total, o Zberp tinha a capacidade de evitar a maioria das soluções antivírus quando foi detectado pela primeira vez", disseram os pesquisadores da Trusteer.