Em um nível fundamental, esse tipo de ferramenta não é diferente de um arquivo de extração automática (SFX). Tudo o que ele faz é compactar alguns arquivos e incluí-los como recursos em um executável que os descompactará e, em seguida, executará um ou mais arquivos. Essa mesma funcionalidade está disponível em ferramentas comuns como o 7-zip e o WinRAR, e é como os instaladores trabalham em um nível básico.
A única coisa diferente sobre este produto é que o auto-extrator (a parte executável que extrai os outros arquivos) foi projetado para ser indetectável, enquanto SFXs normais mostrarão um diálogo quando forem executados indicando a descompressão, e são projetados que, mesmo quando o conteúdo é criptografado, eles são reconhecíveis como SFX. Esta é a única maneira de que este produto difere de um sistema SFX padrão.
Portanto, a funcionalidade não é nova nem específica de malware. O que é específico para malware é que ele foi projetado para ser escondido assim. Mesmo assim, antes dos usuários inteligentes, isso ainda não é uma maneira muito eficaz de distribuir malware. Embora o arquivo possa receber um ícone e um nome arbitrários, ele deve ser um arquivo executável e ser marcado como tal, portanto, essa ferramenta apenas reitera que você nunca deve executar executáveis obscuros.
Quando você usa isso em malware, o vetor é assim: você envia por e-mail (ou, de outra forma, distribui, na maioria das vezes envia por e-mail) um arquivo chamado funny cats.docx.exe ou algo parecido. Em máquinas Windows, a extensão do arquivo é oculta, portanto, o usuário vê apenas funny cats.docx . Você pode empacotar com o executável um ícone do Microsoft Word para que fique bem na primeira inspeção. Quando o usuário clica duas vezes no arquivo para abri-lo, você descompacta um documento real do Word e o executa para que o Word inicie e carregue o arquivo (o usuário obtém o que deseja, alguns gatos engraçados). Ao mesmo tempo, porém, você descompacta um trojan / downloader e o executa. Ele se instala em algum lugar discreto e faz o download de uma carga real (algum tipo de cliente de botnet).
Isso pode ser evitado pelos usuários que são diligentes com relação aos arquivos que executam. Lembre-se de ver que tipo de arquivo realmente existe, especialmente se você tiver extensões de arquivo desativadas (eu sempre altero as configurações para mostrar as extensões de arquivo). Em versões recentes do Windows (Vista e 7), a maioria dos trojans requer privilégios administrativos, portanto, para ser eficaz, funny cats.docx teria que acionar um prompt do UAC para instalar o trojan, para garantir que os usuários sejam treinados para pensar nos prompts do UAC. eles não devem ver um quando não estão esperando um.