تروجان Vawtrak از پنهان‌نگاری دیجیتال استفاده میکند

یک بررسی از شرکت AVG درهفته اول فروردین 1394 نشان داد که نسخه تروجان (Trojan) Vawtrak بر اساس پنهان‌نگاری دیجیتال (digital steganography) عمل میکند و در این روش داده ها در تصاویر پنهان میگردند .

فاوآیکن یک آیکن بسیار کوچک با اندازه 4 کیلوبایت در نوار مرورگر ها است

.URL های سرور های فرماندهی و کنترل تروجان در این آیکن ها به عنوان LSB گذاشته میشوند و با اینکار تاثیری در نمایش آیکن در مرورگر مشاهده نمیشود.

در روش نوین پنهان‌نگاری دیجیتال از فاوآیکن یا faviconبرای ذخیره لیست های بروز شده سرور های فرماندهی و کنترل (command and control servers) و ارسال آن به سیستم های آلوده استفاده میشود.

لیست بروز شده  C & C به صورت زمان واقعی به سیستم آلوده شده در زمان اتصال در اینترنت ارسال میشود. سیستم های بروز رسانی در شبکه های ناشناس Tor قرار دارند و دسترسی به آنها فقط از طریق پراکسی Tor2Web امکان پذیر است.

این یعنی هکر ها هیچ نرم افزار مخصوصی را نیاز ندارند و فاوآیکن ها رمز گذاری شده است. پیام های Vawtrak به صورت دیجیتالی امضآ شده و توسط یک کلید عمومی (public key) در داخل باینری آن برای احراز هویت چک میشوند.

فقط پیام های با امضآ درست قابل قبول میباشند.
تروجان مالی Vawtrak به نظر میرسد که در حال تکامل است و سازنده آن مرتبآ در حال یافتن روش های جدید برای ارتباط گیری و عدم شناسایی آن هستند. این تروجان به بیش از 13000 قربانی در کانادا حمله نموده است.آمار ها نشان میدهد که 20 سازمان مالی در کانادا هدف این حمله قرار گرفته است.

اخیرآ این تروجان توسط  روش حمله و گریز (drive-by attacks) بر اساس آدرس IP در کانادا نیزارسال شده و 15000 آلودگی ایجاد نمود است.

این بدافزار توسط داده های دورسنجی (telemetry) از نقاط AVG به کشور های چک، آمریکا، انگلستان، آلمان و غیره ارسال میگردد.

روش دیگر آلودگی از طریق ایمیل های تبلیغاتی مخرب است که با رفتن به لینک وب سایت، تروجان سیستم را آلوده میسازد. مجرمین قادر هستند که تزریق زمان واقعی در وب (real-time web injections) انجام دهند و از احراز هویت دو فاکتوری (two-factor authentication) نیز عبور کنند.