Há uma nova campanha massiva do malware Ramnit, que já infetou mais de 100 mil dispositivos. O aviso é da Check Point que aconselha os utilizadores e as empresas a tomarem precauções perante este possível ataque de grande escala dos criadores do vírus.

O Ramnit pertence à “classe” dos worm, afeta o sistema operativo Windows e não é detetável por antivírus. Foi identificado pela primeira vez em 2011. Este malware é uma sofisticada ferramenta com funções de um rootkit, e acontece por inserção via internet e pela utilização de comunicações encriptadas.

A monitorização da navegação web do sistema infetado e detetar visitas a páginas de banca online; manipulação de páginas web de bancos com o objetivo de parecerem legítimas; roubo de cookies de sessão de browsers para poder substituir a vítima em sites seguros; monitorização dos discos rígidos do computador, assim como roubar paswords; e aceder de forma remota aos computadores afetados são algumas das atividades criminosas em que já foi utilizado.

O trojan Ramnit faz com os dispositivos infetados operem como um botnet altamente centralizado, mesmo que a sua arquitetura implique uma divisão noutras redes independentes, explica a Checkpoint.

Recentemente, foi encontrado um servidor do Ramnit que não está relacionado com o “Demetra” o botnet que foi mais utilizado pelo worm. De acordo com os nomes do domínio em que é resolvida a direção do IP do servidor, este pretende controlar também bots antigos que foram detetados pela primeira vez em 2015.

Este servidor está ativo desde 6 de março de 2018, mas não tinha chamado à atenção até que em maio e julho infetou cerca de 100 mil computadores.

A Check Point já detetou sinais do Ngioweb inseridas no Ramnit em ataques binários que provavelmente foram difundidos como campanhas de spam. No entanto, o Ngioweb é distribuído principalmente através do botnet “Black”.

Os analistas da empresa de cibersegurança apresentam uma análise completa sobre o malware no seu blog.