Szkodnik ochrzczony jako „rootkit.hearse” lub „Trojan hearse” (trojański karawan) został odkryty przez specjalistów Sana Security w czasie badań nad robakiem Win32.Alcra. „Karawan” współpracuje z tym robakiem, aby przedostać sie na system użytkownika – Alcra po zainfekowaniu systemu łączy się z różnymi stronami i pobiera dodatkowe pliki, w tym właśnie komponenty (trojana i rootkita) opisywanego szkodnika.
Zdaniem Sana Security, program jest bardzo groźny, bo kradnie loginy i hasła, które mogą być używane np. w serwisach aukcyjnych i bankach. Potrafi pozyskiwać te dane z menedżera używanego do automatycznego logowania, a więc użytkownik nie musi ich wpisywać, aby paść ofiarą szkodnika.
Szkodnik korzysta z rootkita aby ukryć swoją obecność na systemie. Stosowane jest tutaj podobne rozwiązanie jak – w głośnej swojego czasu – technologii XCP stosowanej przez Sony BMG.
Przez dłuższy czas „karawan” działa w uśpieniu, „budzi się” dopiero w momencie, gdy użytkownik komputera łączy się ze stroną, która wymaga autoryzacji. Wtedy to rejestruje wszystkie wprowadzane dane i przesyła je na serwer w Rosji. Co ważne, może je potem odczytać każdy internauta odwiedzając działającą na tym serwerze i niezabezpieczoną w żaden sposób stronę WWW.
Sana Security zwróciła się już do rosyjskiego dostawcy internetu z prośbą o zamknięcie tej strony, ale jej nie spełniono.
Ponadto Sana Security podaje, iż przetestowała 24 programy antywirusowe pod kątem ochrony przed szkodnikiem. Tylko pięć z nich dawało sobie radę z „karawanem”. Być może publikacje w prasie zwrócą uwagę firm pracujących nad zabezpieczeniami na nowego szkodnika.
