Nemrégiben egy új fejlett hátsó kaput (backdoor) rejtő káros szoftvert fedeztünk fel – a neve VirTool:WinNT/Exforel.A. A hagyomámyos backdoor-okkal ellentétben ez az NDIS (Network Driver Interface Specification) szinten működik, és egy egyszerű, saját TCP/IP stack-et valósít meg és elfogja a TCP/IP protokolltól érkező NDIS_OPEN_BLOCK hívásokat. Ez azt jelenti, hogy az operációs rendszer vagy egy alkalmazás által meghívott bizonyos függvényeket a VirTool:WinNT/Exforel.A fogja végrehajtani, és ezen képesség birtokában az alábbi műveleteket tudja végrehajtani egy távoli támadó az áldozat rendszerén:
- Le és fel tud tölteni tetszőleges állományokat
- Futtatni tud tetszőleges programot
- Át tudja irányítani a TCP/IP forgalmat egy tetszőleges címre
Az NDIS szinten működő backdoor-t sokkal nehezebb észlelni, mint a hagyományos félépítésűeket, mivel nincs olyan port, amin kapcsolatot vár vagy kezdeményez, ezért az adatforgalma tökéletesen láthatatlan a felhasználó módú alkalmazások számára. A káros kódot bizonyos szervezetek ellen végrehajtott célzott támadásokban használták fel.
https://blogs.technet.com/b/mmpc/archive/2012/12/09/the-quot-hidden-quot-backdoor-virtool-winnt-exforel-a.aspx?Redirected=true
