|
|
The obfuscated macro in the document drops and executes a . jse file (JScript) to the Desktop, and then displays a fake error message such as: “There was an error opening this document.” The JScript is a backdoor that we are calling “Ostap” due to its communication with a PHP file “ostap.php” on the command and control (C&C) server.
|
|
|
La macro masquée incluse dans le document dépose un fichier .jse (JScript) sur le Bureau, puis l'exécute avant d'afficher un message d'erreur factice tel que : « Une erreur est survenue à l'ouverture de ce document. » Le fichier JScript est une porte dérobée que nous appelons « Ostap », car il communique avec un fichier PHP « ostap.php » présent sur le serveur de commande et de contrôle (C&C). « Ostap » fait en réalité référence au prénom du personnage « Ostap Bender », escroc bien connu de certains films et romans très populaires de l'ex-Union soviétique [5]. Voici la liste des fonctionnalités décelées lors de l'analyse d'un échantillon antérieur de cette porte dérobée :
|
|
|
La macro ofuscada en el documento deja caer y ejecuta un archivo .jse (JScript) en el escritorio y después muestra un mensaje de error falso, tal como: “Se produjo un error al abrir este documento”. El archivo JScript es una puerta trasera a la que le hemos dado el nombre de “Ostap” debido a su comunicación con el archivo PHP llamado “ostap.php” en el servidor de comando y control (C&C). Además, “Ostap” parece ser una referencia al nombre del timador “Ostap Bender” que aparece en películas y novelas populares de la Unión Soviética [5]. A continuación se encuentra una lista de la funcionalidad de una de las primeras muestras de la puerta trasera que analizamos:
|
