Non solo phishing contro gli utenti di eBay: arriva il trojan Bayrob

08-03-2007. Trojan.Bayrob, il malware che attacca gli utenti di eBay, è in grado di intercettare il traffico verso i siti di eBay allo scopo di sottrarre dati sensibili, quali credenziali di accesso e numeri di carta di credito.

Da poco scoperto, il cavallo di troia Trojan.Bayrob rappresenta un attacco di tipo man in the middle rivolto contro gli utenti di eBay. Il malware si diffonde come allegato ad una email e una volta mandato in esecuzione installa un proxy server locale. Il trojan horse modifica, quindi, il file hosts di Windows, mappando i domini dei seguenti siti controllati da eBay

My.ebay.com
Cgi.ebay.com
Offer.ebay.com
Feedback.ebay.com
Motors.search.ebay.com
Search.ebay.com

allo scopo di forzare il traffico diretto ad essi a passare attraverso il proxy server, basandosi sul fatto che, quando l’utente cerca di accedere ad un sito, per risolverne l’indirizzo il sistema controlla  il file hosts prima di contattare il dns server.

Per adattare e modificare l’attacco, il trojan si connette ad una lista di server allo scopo di scaricare script e dettagli di configurazione. I server vengono regolarmente controllati effettuando dei ping. Nel caso in cui nessun server sia attivo, il trojan è in grado di scaricare una lista aggiornata di server attivi.