Nu steeds meer computers op een 64-bit besturingssysteem draaien passen cybercriminelen hun malware hierop aan. In het verleden zijn er al specifieke 64-bit versies malware ontdekte, zoals de Zeus banking Trojan. In de tweede helft van 2013 bleek zelfs dat zo'n 10% van de malware die bij gerichte aanvallen werd ingezet alleen op 64-bit platformen werkte.

Een van deze malware-exemplaren is de Kivar-backdoor. De malware verspreidt zich via de RTLO-techniek. RTLO staat voor Right-to-Left-Override en zorgt ervoor dat via een speciaal unicode-karakter de volgorde van karakters van een bestandsnaam kan worden omgedraaid. Hierdoor wordt SexyPictureGirlAl[RTLO]gpj.exe in Windows als SexyPictureGirlAlexe.jpg weergegeven.

In het geval van Kivar doet de malware zich via RTLO voor als een Word-document, voorzien van bijbehorend icoon, maar is in werkelijkheid een uitvoerbaar bestand. Om de gebruiker niets te laten vermoeden wordt er een na het openen van de malware een afleidingsdocument geladen. In de achtergrond kan Kivar echter bestanden stelen, screenshots maken en toetsaanslagen opslaan.

De informatie die Kivar als eerste van een besmette computer verstuurt bestaat onder andere uit het IP-adres van het slachtoffer, Windows-versie, hostnaam, gebruikersnaam, versie van de malware, keyboardindeling en de recente documenten en desktop-map, zo meldt Trend Micro. Windowsgebruikers kunnen zich tegen de RTLO-techniek beschermen door detailweergave voor mappen in te stellen, aangezien dan zichtbaar wordt dat het zogenaamde document in werkelijkheid een applicatie is.