Een backdoor die in Chinese belastingsoftware werd aangetroffen wordt stilletjes door de ontwikkelaars verwijderd nadat onderzoekers de aanwezigheid van de malware openbaar maakten. Vorige week lieten onderzoekers van securitybedrijf Trustwave weten dat ze in het programma Intelligent Tax van het bedrijf Aisino een backdoor hadden aangetroffen. Een buitenlands bedrijf dat zaken doet in China moest van een lokale Chinese bank de software installeren om lokale belastingen te voldoen.

De belastingsoftware, die naar behoren werkte, bleek echter ook een backdoor te bevatten waarmee het systeem op afstand kon worden overgenomen. Deze malware wordt twee uur na de installatie van de belastingsoftware stilletjes geïnstalleerd. Daarnaast maakt de malware verbinding met een domein dat losstaat van de belastingsoftware, maar wel andere versies van de malware bleek te bevatten.

Wat ook opvalt is dat de malware, die GoldenSpy wordt genoemd, twee identieke versies van zichzelf als autostart services installeert. Wanneer één van de services niet meer draait zal die door de andere service worden gestart. Daarnaast beschikt de malware over een module die kijkt of één van de services wordt verwijderd. Wanneer dit het geval is zal de module een nieuwe versie downloaden en uitvoeren. Bij het verwijderen van de belastingsoftware via de uninstall feature blijft de malware, die met systeemrechten draait, achter.

Nadat het onderzoek van Trustwave op 25 juni openbaar werd zagen de onderzoekers dat de belastingsoftware zich opeens anders ging gedragen. In plaats van het downloaden van een module die de backdoor installeert, werd op 28 juni een GoldenSpy uninstaller gedownload en uitgevoerd. Deze uninstaller, die stilletjes naar besmette machines wordt gestuurd, verwijdert alle sporen van de backdoor.

Hoewel de backdoor nu is verwijderd maken de onderzoekers zich nog steeds zorgen, aangezien het onbekend is wat de belastingsoftware de volgende keer zal downloaden en installeren. Het doel en de ontwikkelaar van GoldenSpy zijn nog altijd onbekend.