AutoIt-skripting brukes stadig av malware-utviklere

AutoIt, et skriptspråk for å automatisere Windows-grensesnittinteraksjoner, blir i stadig større grad brukt av malwareutviklere takket være sin fleksibilitet og lave læringskurve, ifølge sikkerhetsforskere fra Trend Micro og Bitdefender.

"Nylig har vi sett en uptick i mengden av kjendelig AutoIt-verktøyskode som lastes opp til Pastebin," sa Kyle Wilhoit, en trusselforsker ved antivirusleverandøren Trend Micro, i en blogginnlegg. "Et vanlig sett verktøy, for eksempel, er en keylogger. Ved å ta tak i denne koden, kan alle med dårlige intensjoner raskt kompilere og kjøre det om noen sekunder. "

" I tillegg til at verktøy blir funnet på nettsteder som Pastebin og Pastie, ser vi også en enorm økning i mengden skadelig programvare

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

Bruken av AutoIt i utvikling av skadelig programvare har økt jevnt siden 2008, Bogdan Botezatu, en senior e- trusselanalytiker hos antivirusleverandøren Bitdefender sa tirsdag via e-post. Antall malware prøver kodet i AutoIt har nylig nådd topp på 20.000 per måned, sa han.

"I sin tidlige tid var AutoIt-malware for det meste brukt til å annonsere svindel eller å lage selvutbredelsesmekanismer for IM [direktemeldinger] ormer, "sa Botezatu. "I dag er AutoIt-skadelig programvare fra ransomware til fjerntilgangsprogrammer."

Et spesielt sofistikert stykke AutoIt-basert malware oppdaget nylig, var en versjon av DarkComet RAT (fjerntilgang Trojan-programmet), sa Wilhoit. Denne malware åpner en bakdør på offerets maskin, kommuniserer med en ekstern kommando- og kontrollserver og endrer Windows-brannmurpolitikk, sa han.

DarkComet RAT har blitt brukt i målrettede APT-stilangrep i fortiden, blant annet av den syriske regjeringen å spionere på politiske aktivister i landet. Det som er interessant om varianten funnet av Trend Micro, er at den er skrevet i AutoIt og har en svært lav antivirus deteksjonsrate.

Bruken av skriptspråk for å utvikle sofistikert skadelig programvare er ikke en utbredt praksis, fordi de fleste av disse språkene krever tolk å bli installert på maskinen eller produsere svært store frittstående kjørbare filer, sa Botezatu.

Det har imidlertid vært unntak. For eksempel brukte Flame cyberespionage malware LUA skriptspråk for å automatisere noen oppgaver uten å bli oppdaget av antivirusprodukter, sier Botezatu.

AutoIt er ekstremt intuitiv og enkel å bruke, produserer kompilerte binærfiler som går tom for boksen på moderne Windows versjoner og er godt dokumentert, sa Bitdefender forsker. Også det er allerede mye skadelig AutoIt-kode tilgjengelig på nettet for gjenbruk, sa han.

"Viktigst er at skadelig programvare opprettet i AutoIt, er ekstremt fleksibel og lett kan forvirres, noe som betyr at en enkelt ras av skadelig programvare er skrevet i AutoIt kan ompakket og re-utformes på en rekke måter for å forhindre deteksjon og forlenge holdbarheten, sier Botezatu.

Som skriptspråk som AutoIt fortsetter å få popularitet, forventes flere malware-utviklere å overføre til dem, Wilhoit sa. "Brukervennlighet og læring, samt muligheten til å poste kode lett til populære dropsites, gjør dette til en flott mulighet for skuespillere med falske intentioner for å forplante sine verktøy og malware."