Сообщений в теме: 84

[Forum Moderator]

Новая версия BackDoor.BlackEnergy скрывается за "Невинностью мусульман"



Многокомпонентный бэкдор BlackEnergy до недавнего времени использовался для создания одного из самых крупных спам-ботнетов: в пик активности на его долю приходилось до 18 миллиардов сообщений в день. Благодаря усилиям ряда компаний и специалистов по информационной безопасности в июле 2012 года было произведено отключение нескольких управляющих серверов ботнета, контролировавших значительное число инфицированных машин. Это привело к заметному снижению общемирового объема спам-трафика. Однако полностью вредоносная деятельность BlackEnergy не была прекращена, т. к. активными оставались менее крупные командные центры бот-сети. Судя по всему, создатели сети зомби-компьютеров не оставляют попыток восстановить былую мощность ботнета, о чем свидетельствует появление новой версии троянца.
Новая модификация бэкдора, добавленная в антивирусные базы Dr.Web под именем BackDoor.BlackEnergy.18, распространяется при помощи сообщений электронной почты с вложенным документом Microsoft Word. Интересной особенностью обнаруженных писем является то, что они адресованы лицам из украинских государственных ведомств, таких как Министерство иностранных дел Украины и посольство Украины в Соединенных Штатах Америки.

На представленном выше изображении видно, что в качестве «горячей темы» злоумышленники используют скандальный фильм «Невинность мусульман», который вызвал волну протестов по всему миру и уже успел привести к человеческим жертвам.
Вложенный в сообщение документ, детектируемый антивирусным ПО Dr.Web как Exploit.CVE2012-0158.14, содержит код, который эксплуатирует уязвимость одного из компонентов ActiveX. Этот компонент применяется приложением Word и некоторыми другими продуктами Microsoft для Windows. При попытке открытия документа во временный каталог пользователя сохраняются два файла, имеющие имена « WinWord.exe» и «Невинность мусульман.doc». Первый файл является дроппером троянца BackDoor.BlackEnergy.18 и служит для установки его драйвера в системный каталог.
После запуска дроппера выполняется открытие второго сохраненного файла, представляющего собой обычный документ Microsoft Word. Именно он содержит исходную информацию, которую жертва и ожидала получить. Таким образом, снижается риск возникновения каких-либо подозрений со стороны пользователя.

Бэкдоры семейства BackDoor.BlackEnergy представляют собой модульных троянцев, выполняющих вредоносную деятельность при помощи отдельно загружаемых плагинов. Новая модификация в этом плане ничем не отличается от предыдущих. Для своей работы троянец использует специальный конфигурационный файл в формате xml, получаемый с управляющего сервера, расположенного по адресу 194.28.172.58. Следуя этому файлу,BackDoor.BlackEnergy.18 может выполнить загрузку следующих модулей: Название Версия Дата компиляции Предназначение ps 14 04.09.2012 Кража паролей от популярных интернет-приложений (браузеры, почтовые клиенты и т.п.) fs 24 16.09.2011 Взаимодействие с файловой системой и сбор информации о компьютере ss 9 17.04.2012 Создание скриншотов и видеозаписей upd 4 03.03.2012 Получение обновлений троянца vsnet_l 3 06.09.2012 Доступ к компьютеру при помощи функции удаленного рабочего стола
Помимо модулей для операционных систем семейства Windows, были обнаружены плагины, которые представляют собой исполняемые ELF-файлы, работающие в ОС Linux на базе процессоров Intel c 32-битной системной логикой: Название Версия Предназначение fs_lin 1 Взаимодействие с файловой системой (например, получение списка имеющихся файлов и директорий) up_lin 1 Получение обновлений троянца weap_lin 1 Осуществление DDoS-атак
Отметим, что для плагинов, скомпилированных под ОС Linux, в конфигурационном файле указана первая версия и отсутствует информация об управляющих серверах. Вполне вероятно, что включение их в список загрузки, предназначенный для Windows-версии троянца, является ошибкой его авторов. Специалисты компании «Доктор Веб» предполагают, что Linux-версия этой вредоносной программы распространяется при помощи специального дроппера.

drweb.com

[БОБРИШКА]

Что а вирус такой здесь могла быть ваша реклама, сожрал все на моем компе, я в ужасе

[Forum Moderator]

Этот вирус называется Trojan.KillFiles.
Удаляет все папки и файлы, в алфавитном порядке. Если файл занят, программа делает его скрытым. Не трогает только системные файлы

[Forum Moderator]

Trojan.Proxy.23012 — универсальная спам-машина злоумышленников



Этот троянец обладает целым рядом отличительных особенностей, выделяющих его в ряду других вредоносных программ.
Trojan.Proxy.23012 загружается на инфицированные компьютеры с использованием других вредоносных программ, в частности Trojan.PWS.Panda.2395.

Исполняемый файл троянца сжат с использованием того же вирусного упаковщика, что и троянцы семейства Trojan.PWS.Panda, также известные под именами Zeus и Zbot, поэтому нередко он детектируется именно этой сигнатурной записью.
Проникнув в операционную систему, Trojan.Proxy.23012 распаковывается и загружается в память, после чего начинается процедура инсталляции троянца. Папка, в которую будет установлена эта вредоносная программа, зависит от версии ОС и от того, под какими правами был запущен установщик. В любом случае инсталлятор модифицирует системный реестр с целью обеспечить автоматический запуск троянца в процессе загрузки Windows. Также вредоносная программа пытается отключить систему контроля учетных записей пользователей. Наконец, на финальном этапе установки троянец встраивается в процесс explorer.exe.
Ботнет, состоящий из инфицированных Trojan.Proxy.23012 компьютеров, используется злоумышленниками в качестве системы управления прокси-серверами, через которые по команде осуществляется рассылка почтового спама. Пример одного из рассылаемых сообщений показан на представленной ниже иллюстрации.

Установив соединение с удаленным командным центром, по команде злоумышленников Trojan.Proxy.23012открывает прокси-туннель, посредством которого вирусописатели могут пользоваться протоколами SOCKS5, SOCKS4, HTTP (включая методы GET, POST, CONNECT). Для рассылки спама используются smtp-сервисы gmail.com, hotmail.com и yahoo.com.
Отличительной особенностью данной вредоносной программы являются методы взаимодействия ботнета с управляющим сервером: командный центр в режиме реального времени выбирает, через какие именно узлы сети осуществлять ту или иную рассылку, кроме того, в проксировании участвуют боты, установленные на компьютерах без внешнего IP-адреса. Есть у данного троянца и еще одна особенность: в нем прописан только один адрес управляющего центра, при блокировке которого троянец может быть обновлен через пиринговую сетьTrojan.PWS.Panda.2395.

drweb.com

[Forum Moderator]

Встроенное приложение Facebook ставит под угрозу безопасность пользователей


6 февраля 2013 года
Компания «Доктор Веб» — российский разработчик средств информационной безопасности — предупреждает о новой волне распространения вредоносных программ среди пользователей популярной социальной сети Facebook. На этот раз для своих целей злоумышленники задействуют встроенное приложение, позволяющее размещать на страницах Facebook произвольный HTML-код. Для распространения троянцев используются фейковые тематические группы, в которых размещаются замаскированные под видеоролик ссылки на вредоносное приложение.
С целью распространения вредоносного ПО киберпреступники создали в социальной сети Facebook множество тематических групп с названием Videos Mega или Mega Videos: на 5 февраля 2013 года их общая численность достигала нескольких сотен. В каждой из подобных групп злоумышленники разместили замаскированную под видеоролик ссылку на встроенное приложение социальной сети, позволяющее встраивать в веб-страницу произвольный HTML-код. Посетитель группы, желая просмотреть провокационное видео, щелкал мышью на миниатюре видеоролика, активируя тем самым заранее созданный киберпреступниками сценарий. В результате этого действия на экране отображалось диалоговое окно с предложением обновить встроенный в браузер видеопроигрыватель, причем оформление данного окна копирует дизайн страниц социальной сети Facebook.
Если пользователь соглашается установить обновление, на его компьютер загружается самораспаковывающийся архив, содержащий вредоносную программу Trojan.DownLoader8.5385. При этом троянец (как и другие загружаемые им компоненты) имеет легитимную цифровую подпись, выданную на имя фирмы Updates LTD компанией Comodo, поэтому в процессе своей установки вредоносные приложения не вызывают подозрений у операционной системы.

Trojan.DownLoader8.5385 — это традиционный троянец-загрузчик, основная задача которого заключается в скачивании на инфицированный компьютер и запуске другого вредоносного ПО. В данном случае троянец загружает плагины для браузеров Google Chrome и Mozilla Firefox, предназначенные для массовой рассылки приглашений в различные группы Facebook, а также для автоматической установки пометок Like в данной социальной сети. Среди прочего эти вредоносные надстройки имеют следующие функциональные возможности:

• получать данные о пользователях Facebook, занесенных в список друзей жертвы,
• устанавливать пометку Like на странице социальной сети или на внешней ссылке,
• открывать доступ к фотоальбому на заданной странице,
• вступать в группы,
• рассылать пользователям из списка друзей приглашения о вступлении в группу,
• публиковать ссылки на «стене» пользователей,
• изменять статус,
• открывать окна чата,
• присоединяться к страницам мероприятий,
• рассылать пользователям приглашения на мероприятия,
• публиковать комментарии к постам,
• получать и отправлять предложения.

Конфигурационный файл со всеми необходимыми для работы плагинов данными загружается на зараженный ПК с принадлежащего злоумышленникам сервера. Указанные плагины детектируются антивирусным ПО Dr.Web какTrojan.Facebook.310.
Помимо этого Trojan.DownLoader8.5385 устанавливает на инфицированный компьютер вредоносную программуBackDoor.IRC.Bot.2344, способную объединять зараженные рабочие станции в ботнеты. Этот троянец реализует функции бэкдора и способен выполнять различные команды, передаваемые ему с использованием протокола обмена текстовыми сообщениями IRC (Internet Relay Chat), для чего бот подключается к специально созданному злоумышленниками чат-каналу. Среди директив, которые способен выполнять BackDoor.IRC.Bot.2344, можно отметить следующие:

• выполнение команд командного интерпретатора CMD,
• возможность загружать файл с заданного URL и помещать его в указанную локальную папку,
• проверять, запущен ли указанный в команде процесс,
• передавать на удаленный сервер список запущенных процессов, полученный с использованием стандартной утилиты tasklist.exe,
• останавливать указанный процесс,
• запускать произвольное приложение,
• загружать с указанного URL и устанавливать плагин для браузера Google Chrome.

Таким образом можно сделать вывод, что текущая политика безопасности встроенных приложений Facebook способствует распространению троянских программ. Все указанные вредоносные программы добавлены в вирусные базы и потому не представляют опасности для пользователей антивирусной продукции Dr.Web. Компания «Доктор Веб» призывает проявлять осмотрительность при посещении групп в социальной сети Facebook и устанавливать на свой компьютер только обновления, загруженные из доверенных источников.

drweb.com

[Forum Moderator]

Airpush невольно способствует распространению СМС-троянцев среди пользователей Android



Специалистами антивирусной лаборатории «Доктор Веб» периодически фиксируются жалобы от пользователей на ложные срабатывания со стороны антивируса Dr.Web для Android в отношении приложения GooglePlay_install.apk, в котором обнаруживается троянец Android.SmsSend.315.origin. После изучения проблемы вирусные аналитики подтвердили обоснованность детектирования данной программы, которая является поддельным инсталлятором и фактически взимает плату за доступ к бесплатным приложениям, отправляя премиум-СМС на короткий номер. Тем не менее, обращения с подобными жалобами все еще продолжают поступать. Проведенное по этому поводу расследование позволило выявить один из источников распространения этого троянца: им оказалась рекламная система Airpush.
Как известно, многие игры и приложения для ОС Android являются бесплатными, однако чтобы окупить вложенные в их создание средства и время, разработчики зачастую используют специальные системы, которые встраиваются непосредственно в целевую программу и демонстрируют пользователям различные рекламные сообщения. К таким системам, в частности, относится популярная рекламная платформа Airpush. Типичным алгоритмом ее работы является демонстрация рекламы в приложении в специально отведенном для этого месте, однако некоторые версии этого модуля могут также отображать различные диалоговые окна как при работе с программой, так и без ее непосредственно запуска. При этом содержимое самих рекламных сообщений может быть абсолютно любым, чем и воспользовались злоумышленники, решившие таким образом распространять троянцаAndroid.SmsSend.315.origin.
Так, демонстрируемое модулем Airpush диалоговое окно может предлагать загрузить некое обновление для ОС Android, и неискушенный в особенностях работы мобильного устройства пользователь способен с легкостью принять его за «официальное» сообщение от операционной системы.

После нажатия на соответствующую кнопку выполняется процедура загрузки вредоносного пакета, который вслед за установкой и запуском демонстрирует процесс инсталляции требуемого приложения, в данном случае – приложения GooglePlay.
В действительности же троянец лишь создает видимость процесса установки, после чего отображает на экране ссылку на загрузку настоящего каталога Google Play, одновременно с этим опустошая мобильный счет пользователей на сумму от 170 до 240 рублей.
Компания «Доктор Веб» рекомендует владельцам Android-устройств внимательнее относиться к демонстрируемым на их экране сообщениям, особенно к тем, которые предлагают установить обновления приложений или операционной системы. Прежде чем согласиться на установку, необходимо удостовериться в подлинности загружаемых файлов, а также в необходимости их инсталляции, для чего можно обратиться к официальным сайтам соответствующих приложений. Кроме того, для обеспечения безопасности мобильного устройства можно воспользоваться антивирусными продуктами Dr.Web для Android.

drweb.com

[Forum Moderator]

В каталоге Google Play обнаружены 28 приложений, распространяющих Android-троянцев



Реклама в Android-приложениях уже давно и успешно применяется различными разработчиками для монетизации своих трудов: это легальный и весьма удобный способ окупить затраченные на создание программ средства и время. Тем не менее, предприимчивые киберпреступники еще в 2011 году решили использовать в своих целях возможности рекламных сетей для мобильных устройств, а именно распространять с их помощью троянские программы. До сих пор наиболее популярными среди них являются троянцы семейства Android.SmsSend, предназначенные для отправки дорогостоящих СМС-сообщений и подписки пользователей на платные контент-услуги. Об одном из таких инцидентов компания «Доктор Веб» сообщала совсем недавно. Кроме того, в последнее время расширяется список вредоносных программ, распространяемых таким образом.
Несмотря на то, что существующие рекламные сети для мобильных Android-устройств, такие как Google AdMob, Airpush, Startapp и пр., вполне успешно удовлетворяют потребности мошенников, последние решили пойти дальше и создали себе в помощь собственную рекламную платформу. На первый взгляд она ничем не отличается от остальных, представленных на рынке: сеть предлагает Android-разработчикам весьма заманчивые условия использования рекламного API, обещая высокий и стабильный доход, а также удобство управления и контроля учетных записей. Не удивительно, что некоторые разработчики приложений серьезно заинтересовались новой платформой.
Как и во многих других Adware-модулях, для отображения рекламных сообщений в этом рекламном API используется push-метод, когда в панель состояния мобильного Android-устройства выводится то или иное информационное уведомление. Однако помимо заявленных функций данная платформа содержит ряд скрытых возможностей.

Так, в push-уведомлениях от мошеннической рекламной сети может демонстрироваться информация о необходимости установки важного обновления для тех или иных приложений. В случае если ничего не подозревающий пользователь соглашается на установку такого «обновления», рекламный модуль выполняет загрузку некоего apk-пакета и помещает его на карту памяти в каталог загрузок /mnt/sdcard/download. Этот модуль может также создать на главном экране мобильного устройства ярлык, связанный с только что загруженным ПО, и в дальнейшем при нажатии пользователя на этот ярлык будет инициирован процесс установки соответствующей ему программы.
Проведенное специалистами компании «Доктор Веб» исследование показало, что загружаемые таким образом apk-файлы являются представителями семейства троянских программ Android.SmsSend. Дальнейший анализ позволил выявить источник, откуда происходила загрузка данных троянцев: им оказались сервера, на IP-адресах которых зарегистрированы различные поддельные каталоги приложений. В частности, в трех проанализированных приложениях мошенническая рекламная платформа использует связь с управляющим сервером по адресу 188.130.xxx.xx, а в остальных двадцати пяти – связь осуществляется через управляющий сервер с адресом 91.226.xxx.xx. Данные адреса еще несколько дней назад были оперативно внесены в модуль Родительского контроля антивируса Dr.Web и успешно им блокируются.

Ниже представлен полный список команд с управляющих серверов, которые может принимать и выполнять вредоносная рекламная платформа:

• news – показать push-уведомление
• showpage – открыть веб-страницу в браузере
• install – скачать и установить apk
• showinstall – показать push-уведомление с установкой apk
• iconpage – создать ярлык на веб-страницу
• iconinstall – создать ярлык на загруженный apk
• newdomen – сменить адрес управляющего сервера
• seconddomen – запасной адрес сервера
• stop – прекратить обращаться к серверу
• testpost – посылает запрос повторно
• ok – ничего не делать

Помимо выполнения данных команд, мошеннический модуль способен также собирать и отправлять на командный сервер следующую информацию: imei мобильного устройства, код оператора и номер imsi сотового телефона.
Особая опасность этого рекламного API заключается в том, что содержащие его приложения были обнаружены в официальном каталоге Google Play, который де-факто считается наиболее безопасным источником Android-программ. Из-за того, что многие пользователи привыкли доверять безопасности Google Play, число установок пораженных данным рекламным модулем программ весьма велико. Из-за ограничений, накладываемых компанией Google на статистическую информацию о числе загрузок приложений из ее каталога, нельзя с абсолютной точностью назвать общее число потенциальных жертв, однако на основании имеющихся в распоряжении специалистов «Доктор Веб» сведений справедливо утверждать, что возможное число пострадавших может достигать более чем 5,3 миллиона пользователей. Это крупнейший и наиболее массовый со времен ввода антивирусной системы Google Bouncer случай заражения вредоносными приложениями, которые находились в каталоге Google Play.

Принимая во внимание вредоносный функционал исследованного рекламного API, а также обнаруженную связь с сайтами, распространяющими вредоносное ПО для Android, специалисты компании «Доктор Веб» отнесли данный модуль к adware-системам, созданным киберпреступниками именно для вредоносных целей. В антивирусные базы он внесен под именем Android.Androways.1.origin и не представляет угрозы для пользователей антивируса Dr.Web для Android.

drweb.com

[Forum Moderator]

Первая утилита дешифровки для пострадавших от Trojan.Encoder.252



Один из выявленных способов распространения этой вредоносной программы — почтовая рассылка с вложением, отправляемая якобы от арбитражного суда. Запустившись на компьютере жертвы, троянец сохраняет свою копию в одной из системных папок под именем svhost.exe, модифицирует отвечающую за автоматическую загрузку приложений ветвь системного реестра и запускается.
Троянец Trojan.Encoder.252 шифрует файлы только в том случае, если инфицированный компьютер подключен к Интернету. При этом вредоносная программа последовательно обходит дисковые накопители от С: до N: и получает список файлов с заданными расширениями (.jpg, .jpeg, .doc, .rtf, .xls, .zip, .rar, .7z, .docx, .pps, .pot, .dot, .pdf, .iso, .ppsx, .cdr, .php, .psd, .sql, .pgp, .csv, .kwm, .key, .dwg, .cad, .crt, .pptx, .xlsx, .1cd, .txt, .dbf), который сохраняет в текстовый файл. Затем Trojan.Encoder.252 проверяет доступность своих серверов, на которые впоследствии отсылается ключ шифрования. Если данные серверы недоступны, троянец выводит на экран сообщение якобы от арбитражного суда с предложением проверить настройки подключения к Интернету. В случае успешного завершения шифрования к именам файлов дописывается строка Crypted, а в качестве обоев Рабочего стола Windows устанавливается следующее изображение:

Также на компьютере жертвы появляется текстовый файл ПРОЧТИЭТО.txt, содержащий ID для расшифровки файлов, уникальный для каждого компьютера.
Несмотря на то, что на нескольких тематических ресурсах в Интернете сообщалось о невозможности расшифровки файлов в силу особенностей используемых троянцем Trojan.Encoder.252 алгоритмов шифрования, специалисты компании «Доктор Веб» разработали специальную утилиту, успешно справляющуюся с этой задачей. Правда, для подбора ключей потребуется компьютер с мощной аппаратной конфигурацией: на обычных домашних ПК этот процесс может занять около месяца, однако на сервере, оснащенном 24 процессорными ядрами, был поставлен своеобразный рекорд: ключ удалось подобрать за 20 часов. Данная утилита стала своего рода испытательным полигоном для множества инновационных идей, рожденных вирусными аналитиками «Доктор Веб» — все эти идеи будут применяться и в будущем для расшифровки файлов, пострадавших от действия троянцев-энкодеров файлов. Исследования в области разработки новых методов борьбы с шифровальщиками тем временем продолжаются.
Если вы стали жертвой вредоносной программы Trojan.Encoder.252, придерживайтесь простых правил, которые помогут вам вернуть зашифрованные файлы:

• не меняйте расширение зашифрованных файлов;
• не переустанавливайте операционную систему — в этом случае вернуть данные будет уже невозможно;
• не пытайтесь «чистить» или лечить операционную систему с использованием различных утилит и специальных приложений;
• не запускайте утилиты Dr.Web самостоятельно, без консультации с вирусным аналитиком;
• напишите заявление о совершенном преступлении в правоохранительные органы;
• обратитесь в антивирусную лабораторию компании «Доктор Веб», прислав зашифрованный троянцем DOC-файл и дождитесь ответа вирусного аналитика.

Помните, что в связи с большим количеством запросов персональная помощь в расшифровке файлов оказывается только лицензионным пользователям продукции Dr.Web. Специалисты компании призывают пользователей не пренебрегать необходимостью регулярного резервного копирования хранящейся на дисках вашего компьютера информации.

drweb.com

[Forum Moderator]

Обзор шпионского ПО, угрожающего конфиденциальности пользователей мобильных iOS-устройств



Владельцы мобильных устройств под управлением операционной системы iOS привыкли к тому, что они надежно защищены от вредоносных программ и атак киберпреступников, однако факт такой защищенности во многом справедлив лишь для тех пользователей, которые не вносили каких-либо модификаций в операционную систему. Если же на их мобильном устройстве выполнен jailbreak (разблокирован доступ к файловой системе), то им может угрожать вполне серьезная опасность раскрытия конфиденциальной информации, которая исходит от коммерческого шпионского ПО, и о такой угрозе большинство из них даже не подозревает.
Для того чтобы установить подобное приложение-монитор, злоумышленнику потребуется совсем немного времени. Все, что ему необходимо, — это получить физический доступ к мобильному iOS-устройству, загрузить программу из Интернета при помощи каталога Cydia (который практически всегда автоматически устанавливается при выполнении процедуры jailbreak) и настроить шпиона. Эти приложения работают незаметно для пользователя, скрытно отправляя все собранные данные на удаленный сервер, откуда при помощи зарегистрированной учетной записи заинтересованный в слежке человек может получить необходимую ему информацию. На представленных ниже изображениях показана процедура установки одного из таких шпионов.

Как видно на последнем изображении, успешно установленная программа отображается в списке каталога Cydia, однако она носит нейтральное название MessagingService, призванное сбить с толку неопытных владельцев взломанных iOS-устройств. Не исключено, что и более опытные пользователи не обратят внимания на приложение, похожее на один из системных компонентов, либо они просто не придадут его наличию особого значения. Практически все производители шпионских программ стараются минимизировать возможность легкого обнаружения их продукции, поэтому для наибольшей конспирации приложения-монитора ими часто используются названия, созвучные с приведенным выше. Например, возможны такие варианты как Radio, MobileService, Core Utilities и т. п.

Важно также отметить, что в большинстве случаев коммерческое шпионское ПО для iOS не создает отдельный ярлык на рабочем столе, либо позволяет спрятать его через соответствующие настройки. В частности, им может быть активирован весь функционал, либо только необходимые функции. Более того, существуют способы скрыть значок и самого каталога Cydia, поэтому при хорошо спланированной атаке злоумышленники могут незаметно установить мобильного шпиона на заведомо защищенное iOS-устройство, выполнив на нем jailbreak.
После установки шпиона злоумышленнику необходимо выполнить его настройку. В частности, им может быть активирован весь функционал, либо только необходимые функции. Также на данном этапе часто имеется возможность задать периодичность, с которой приложение будет связываться с удаленным сервером для загрузки на него всей собранной информации.

После всех этих процедур готовая к работе шпионская программа начинает свою скрытую деятельность, фиксируя всю важную активность пользователя-жертвы и загружая собранные данные на сервер. Ниже показан пример управляющей веб-панели, содержащей сведения, которые могут быть получены в результате такой слежки.

В зависимости от разработчика и версий программ-мониторов, работающих в среде операционной системы iOS, их функционал может варьироваться. На диаграмме ниже наглядно продемонстрированы функции, наиболее часто встречающиеся в подобных программах.

Из этой диаграммы становится видно, что в подавляющем большинстве случаев шпионское ПО позволяет вести наблюдение за всеми важными аспектами частной жизни пользователей iOS-устройств: от чтения их СМС и email-сообщений, до получения сведений об их контактах, планах, встречах и окружающей обстановке.
На данный момент вирусная база Dr.Web содержит более 50 записей для шпионских iOS-приложений, которые принадлежат к 15 различным семействам. Следующая диаграмма содержит сведения об их процентном распределении.

Учитывая, что число iOS-устройств, подвергавшихся процедуре jailbreak, на данный момент может превышать 20 миллионов, а также то, что существует весьма высокая вероятность выполнения целенаправленного взлома остальных устройств, угроза кражи персональной информации шпионскими приложениями становится вполне ощутимой для многих пользователей мобильной продукции производства компании Apple. Для того чтобы обезопасить себя от потенциальной опасности раскрытия конфиденциальных сведений, рекомендуется соблюдать ряд простых, но важных правил:

• не оставляйте надолго свое мобильное устройство в местах массового скопления незнакомых людей, даже если рядом с ним будут те, кому вы доверяете – подготовленный злоумышленник легко может обойти данное препятствие и без особого труда установить шпиона;
• обращайте внимание на подозрительную активность мобильного устройства, например, на появление странных сообщений или изменений в графическом интерфейсе, причина которых вам неизвестна;
• создайте заведомо «чистую» резервную копию содержимого вашего мобильного устройства: при необходимости вы сможете восстановить все важные данные, а также вернуть изначальное состояние операционной системы (в большинстве случаев jailbreak исправляется при помощи обновления или восстановления ОС).

drweb.com

[Forum Moderator]

Обнаружена крупнейшая в мире бот-сеть из 200 000 зараженных устройств на базе Android



Специалисты компании «Доктор Веб» — российского производителя антивирусных средств защиты информации — обнаружили самую крупную в мире бот-сеть из инфицированных мобильных устройств на базе ОС Android. На сегодняшний день известно о более чем 200 000 смартфонах, которые были заражены вредоносными программами семейства Android.SmsSend и входят в ее состав. Основной источник заражения в этом случае – принадлежащие злоумышленникам или взломанные интернет-ресурсы. Наибольшее число инфицированных устройств принадлежит российским пользователям, на втором месте по данному показателю располагается Украина, далее следуют Казахстан и Белорусь. По предварительным оценкам ущерб, нанесенный пользователям злоумышленниками в результате данного инцидента, может исчисляться многими сотнями тысяч долларов.
Для заражения мобильных устройств и включения их в состав бот-сети злоумышленники использовали несколько вредоносных приложений: среди них новый троянец Android.SmsSend.754.origin, а также вредоносные программы Android.SmsSend.412.origin (известна с марта 2013 года, распространяется под видом мобильного браузера), Android.SmsSend.468.origin (известна с апреля 2013 года) и маскирующийся под мобильный клиент для социальной сети «Одноклассники» троянец Android.SmsSend.585.origin, известный антивирусному ПО Dr.Web с июня 2013 года. Наиболее ранняя версия троянца, замеченного в ходе расследования данного инцидента — Android.SmsSend.233.origin — была добавлена в базы Dr.Web еще в ноябре 2012 года. В большинстве случаев источниками заражения являются принадлежащие злоумышленникам, а также взломанные сайты, распространяющие вредоносные программы.
Троянец Android.SmsSend.754.origin представляет собой apk-приложение с именем Flow_Player.apk. Устанавливаясь в операционной системе, он просит пользователя запустить данную программу с привилегиями администратора устройства — это позволит вредоносному приложению осуществлять управление блокировкой дисплея. Кроме того, Android.SmsSend.754.origin в дальнейшем скрывает свой значок с главного экрана мобильного устройства.


После завершения процедуры установки троянец отправляет злоумышленникам информацию об инфицированном устройстве, включая уникальный идентификатор IMEI, сведения о балансе, код страны, номер телефона жертвы, код оператора, модель мобильного телефона и версию ОС. Затем Android.SmsSend.754.origin ожидает поступления от злоумышленников соответствующей команды, по которой он может отправить СМС-сообщение с определённым текстом на заданный номер, выполнить СМС-рассылку по списку контактов, открыть заданный URL в браузере или продемонстрировать на экране мобильного устройства сообщение с определённым заголовком и текстом.
По сведениям, собранным специалистами компании «Доктор Веб», в бот-сеть на сегодняшний день входит более 200 000 мобильных устройств, работающих под управлением Google Android, при этом наибольшая их часть (128 458) принадлежит российским пользователям, на втором месте располагается Украина с показателем 39 020 случаев заражения, на третьем — Казахстан: здесь от действий злоумышленников пострадали 21 555 пользователей. Более подробная картина распространения угроз показана на следующей иллюстрации.


Распределение инфицированных мобильных устройств по операторам мобильной связи, к которым они подключены, продемонстрировано на представленной ниже диаграмме.


Это — один из наиболее массовых случаев заражения Android-совместимых мобильных устройств, зафиксированных в текущем полугодии. По предварительным оценкам специалистов «Доктор Веб» ущерб, нанесенный пользователям злоумышленниками в результате данного инцидента, может исчисляться многими сотнями тысяч долларов.

drweb.com

[Forum Moderator]

Обзор вирусной активности в сентябре 2013 года

Первый осенний месяц 2013 года ознаменовался целым рядом важных событий, которые в будущем могут серьезно повлиять на сферу информационной безопасности. Так, в начале сентября было зафиксировано распространение опасного бэкдора, способного выполнять поступающие от злоумышленников команды, а чуть позже специалисты компании «Доктор Веб» обнаружили крупнейший по масштабам ботнет, состоящий более чем из 200 000 инфицированных устройств, работающих под управлением операционной системы Google Android. В сентябре также было выявлено значительное число других вредоносных программ для этой мобильной платформы. Вирусная обстановкаСогласно данным, собранным с использованием лечащей утилиты Dr.Web CureIt!, в сентябре 2013 года среди наиболее часто детектируемых на компьютерах пользователей угроз по-прежнему лидирует Trojan.LoadMoney.1— это приложение для загрузки файлов, автоматически генерируемые партнерской программой Loadmoney. На втором месте располагается Trojan.Hosts.6815 — вредоносная программа, модифицирующая содержимое файла hosts с целью перенаправления браузера пользователя на мошеннические или фишинговые ресурсы. На третьем месте находится троянец Trojan.InstallMonster.28 — еще один файловый загрузчик, но уже от партнерской программы Installmonster. За ними следуют рекламный троянец Trojan.Packed.24524 и вредоносная программаTrojan.Mods.3, предназначенная для подмены просматриваемых пользователем в браузере веб-страниц. Двадцатка наиболее актуальных угроз, обнаруженных в сентябре на компьютерах пользователей при помощи лечащей утилиты Dr.Web CureIt!.

drweb.com

[Forum Moderator]

Обнаружен троянец, угрожающий пользователям SAP



Модуль установки троянца обладает функционалом, позволяющим определить попытку запуска вредоносной программы в отладочной среде или виртуальной машине, чтобы затруднить её исследование специалистами. Также выполняется проверка на выполнение в изолированной среде «песочницы» Sandboxie — утилиты для контроля за работой различных программ. При этом троянец способен действовать как в 32-битных, так и в 64-битных версиях Microsoft Windows, используя различные способы внедрения в операционную систему. Основной модуль троянца, способен выполнять две новые команды (по сравнению с предыдущими версиями Trojan.PWS.Ibank) — одна из них активирует/дезактивирует блокировку банковских клиентов, другая — позволяет получить от управляющего сервера конфигурационный файл.
Еще одной важной отличительной особенностью троянца Trojan.PWS.Ibank является его способность встраиваться в различные работающие процессы, а обновленная версия получила дополнительный функционал, позволяющий проверять имена запущенных программ, в том числе клиента SAP — комплекса бизнес-приложений, предназначенных для управления предприятием. Данный программный комплекс включает множество модулей, в том числе, компоненты управления налогообложением, сбытом, товарооборотом, и потому оперирует конфиденциальной информацией, весьма чувствительной для коммерческих предприятий. Первая версия троянца, проверявшего наличие SAP в инфицированной системе, получила распространение еще в июне: она была добавлена в базы Dr.Web под именем Trojan.PWS.Ibank.690, текущая же имеет обозначение Trojan.PWS.Ibank.752. Напомним, что троянцы Trojan.PWS.Ibank обладают весьма широким набором вредоносных функций, среди которых можно отметить следующие:

• похищение и передача злоумышленникам вводимых пользователем паролей;
• воспрепятствование доступу к сайтам антивирусных компаний;
• выполнение команд, поступающих от удаленного командного сервера;
• организация на инфицированном компьютере прокси-сервера и VNC-сервера;
• уничтожение по команде операционной системы и загрузочных областей диска.

Возросший интерес вирусописателей к программным комплексам SAP и ERP-системам не может не беспокоить специалистов по информационной безопасности: с использованием подобных технологий злоумышленники могут попытаться похитить критическую для коммерческих предприятий информацию, обработка которой осуществляется с применением данных систем. Однако стоит отметить, что на сегодняшний день троянцы семейства Trojan.PWS.Ibank не предпринимают никаких деструктивных действий в отношении программного комплекса SAP, но проверяют факт его наличия в инфицированной системе и пытаются встроиться в соответствующий процесс, если он запущен в Windows. Вполне возможно, что таким образом вирусописатели создают для себя некий «задел на будущее». Возросший интерес вирусописателей к программным комплексам SAP и ERP-системам не может не беспокоить специалистов по информационной безопасности: с использованием подобных технологий злоумышленники могут попытаться похитить критическую для коммерческих предприятий информацию, обработка которой осуществляется с применением данных систем.
На сегодняшний день троянцы семейства Trojan.PWS.Ibank не предпринимают никаких деструктивных действий в отношении программного комплекса SAP, но проверяют факт его наличия в инфицированной системе и пытаются встроиться в соответствующий процесс, если он запущен в Windows. Вполне возможно, что таким образом вирусописатели создают для себя некий «задел на будущее».

drweb.com

[Forum Moderator]

Trojan.Skimer.18 заражает банкоматы


Целью злоумышленников, разработавших данное вредоносное приложение, стали банкоматы производства одного из крупнейших мировых производителей. Троянец способен перехватывать и передавать злоумышленникам данные банковских карт, обрабатываемые инфицированным банкоматом, включая хранящуюся на карте информацию и секретный PIN-код.
Trojan.Skimer.18 — не первый бэкдор, способный инфицировать программное обеспечение банкоматов, однако первый из троянцев такого типа, ориентированный на устройства, которые, по данным из открытых источников, являются весьма распространенными в России. Вредоносная программа, реализованная в виде динамической библиотеки, запускается из инфицированного приложения, после чего выбирает имя файла журнала для хранения похищенной информации о транзакциях.

Запустившись в операционной системе инфицированного банкомата, Trojan.Skimer.18 ожидает авторизации пользователя, после чего считывает и сохраняет в файл журнала Track2 (хранящиеся на карте данные, включающие номер карты (счета), дату окончания срока действия карты, сервисный код и другую важную информацию), а также PIN-код. Примечательно, что в целях сохранения конфиденциальности разработчики банковского оборудования используют специальную технологию, благодаря которой вводимый пользователем PIN-код передается банкомату в зашифрованном виде, при этом ключ шифрования регулярно обновляется с банковского сервера. Trojan.Skimer.18 обходит эту защиту, расшифровывая PIN-код средствами ПО банкомата.
Как и в более ранних версиях подобных троянцев-бэкдоров, управление вредоносной программой осуществляется с помощью специальным образом подготовленных мастер- карт. Как только инфицированный банкомат опознает помещенную в считыватель мастер-карту, на дисплее появляется диалоговое окно управления троянцем, при этом для реализации интерактивного взаимодействия с оператором-злоумышленником используется интерфейс XFS (Extensions for Financial Services). Поскольку банкоматы не оборудованы полноценной клавиатурой, с использованием интерфейса XFS троянец перехватывает нажатия клавиш PIN-пада (EPP, Encrypted PIN Pad) и транслирует их в собственное окно.

По команде злоумышленников Trojan.Skimer.18 может «вылечить» инфицированную систему банкомата, вывести на экран статистику по похищенным данным, удалить файл журнала, перезагрузить банкомат, изменить режим своей работы или обновить свою версию (либо только вредоносную библиотеку), запустив соответствующее приложение, которое считывается с чипа мастер-карты. При этом процедуру обновления вирусописатели визуализировали при помощи аппаратных индикаторов считывателя банковской карты и демонстрируемого на дисплее банкомата индикатора процесса.

Похищенные троянцем данные также записываются по команде «оператора» на чип мастер-карты, при этом информация из файла журнала предварительно проходит двухэтапную процедуру сжатия.
Схожесть данного троянца с другими аналогичными вредоносными программами, предназначенными для заражения банкоматов, позволяет сделать вывод о том, что их авторство принадлежит одному и тому же человеку.

drweb.com

[Goshia]

У меня в последнее время, при выключения компьютера, появляется сообщение о том, что Аваст, блокировал угрозу от каких-то рипмалваров. Я установил программу, для борьбы с малварами, но, сообщение о блокировке появляется все равно. Кроме того, программа, не все автоматически удаляет, а предлагает это сделать пользователь, но, не пойму, что можно удалять, а, что нет.

[Forum Moderator]

500 000 000 долларов в год: как уберечь свои деньги от банковских троянцев?


К сожалению, до сих пор вредоносные программы, способные похитить информацию о банковских картах и причинить серьезный финансовый ущерб отдельным людям или целым организациям, остаются насущной проблемой.
Пик распространения банковских троянцев пришелся на 2011 год, но и сегодня цифры продолжают оставаться пугающими: по оценкам специалистов, совокупный ежегодный ущерб от банковских троянцев составляет более полумиллиарда долларов. И эта сумма складывается в том числе из денег самых обычных людей, воспользовавшихся зараженными системами «банк-клиент». На их месте может оказаться каждый – если не будет заранее знать все о коварстве этой угрозы.
К категории наиболее опасных можно отнести несколько банковских троянцев — это Trojan.Carberp,Trojan.PWS.Ibank, Trojan.PWS.Panda (также известный под именами Zeus и Zbot) и Trojan.PWS.SpySweep(также известный под именем SpyEye). В новом разделе сайта вы найдете максимум информации об этих и других банковских троянцах – начиная с истории их появления, а также описания их функционирования, и заканчивая вполне конкретными советами по защите от этой угрозы, как для частных пользователей, так и для организаций. Эти советы созданы нашими специалистами с учетом ряда распространенных массовых заблуждений и позволяют объективно взглянуть на опасность и принять меры для ее нейтрализации.

drweb.com

[Forum Moderator]

Рекламный троянец распространяется через Facebook и маскируется под Adobe Flash Player


Trojan.Zipvideom.1, устанавливающей на компьютер пользователя вредоносные расширения (плагины) к браузерам Mozilla Firefox и Google Chrome. Эти плагины препятствуют свободному просмотру веб-страниц, демонстрируя навязчивую рекламу.
Вредоносная программа Trojan.Zipvideom.1 попадает на компьютеры жертв под видом обновления для браузерного плагина Adobe Flash Player. Также, согласно поступившей от пользователей информации, в начале 2014 года образцы данного троянца распространялись с использованием массовых рассылок сообщений в социальной сети Facebook. Имеются основания полагать, что автор троянца говорит на турецком языке.
Если пользователь соглашается с рекомендацией обновить Adobe Flash Player, на его компьютер скачивается первый компонент троянца — программа FlashGuncelle.exe, при этом пользователю демонстрируется ход установки якобы обновления к Adobe Flash Player.
Далее FlashGuncelle.exe связывается с сервером злоумышленников и скачивает на компьютер жертвы следующий компонент троянца — дроппер, который устанавливает и запускает еще несколько компонентов вредоносной программы. Среди них файл Flash_Plugin.exe, который модифицирует ветвь системного реестра, отвечающую за автозагрузку приложений, а затем скачивает и устанавливает плагины к браузерам Mozilla Firefox и Google Chrome.

Опасность этого троянца заключается в том, что загружаемые им плагины мешают свободному просмотру сайтов, демонстрируя рекламу, а также имеют возможность скачивать на компьютер жертвы другое нежелательное программное обеспечение. Установлено, что при посещении сайтов популярных социальных сетей (Twitter, Facebook, Google+, YouTube, «ВКонтакте») эти плагины загружают Java-скрипты сомнительного назначения.

Чтобы избежать заражения Trojan.Zipvideom, пользователям рекомендуется скачивать обновления программ и другой софт только из официальных источников, а также использовать антивирус, который блокирует установку вредоносных файлов.

drweb.com

[Forum Moderator]

Некорректная работа Android-приложения приводит к финансовым тратам пользователей

 

Владельцы мобильных Android-устройств могут столкнуться с действием подобных вредоносных программ не только во время установки стороннего образа операционной системы, содержащего такого троянца, но также и при покупке совершенно нового устройства, на котором может находиться нежелательное приложение. Именно с последним случаем пришлось столкнуться ряду наших пользователей.

Вредоносная программа, внесенная в вирусную базу компании «Доктор Веб» как Android.SmsSend.1081.origin, представляет собой встроенный непосредственно в одну из Android-прошивок аудиоплеер, который имеет скрытую функцию пересылки информации об IMSI-идентификаторе пользователя на заданный мобильный номер. По замыслу авторов программы, данное действие предполагает регистрацию пользователя в одном из музыкальных онлайн-сервисов, расположенных в Китае. Однако фактически ее работа никак не регулируется: нет ни проверки географического положения владельца мобильного устройства, ни контроля числа сообщений, которые отправляются каждый раз при запуске плеера. Например, российским пользователям эта оплошность обходится в 5-7 рублей за одно СМС. Таким образом, функционал программы, изначально заложенный разработчиками как полезный, в конечном итоге стал нежелательным, именно поэтому она была классифицирована вирусными аналитиками компании как троянская.

 

Стоит отметить, что троянцы, содержащиеся внутри образов операционной системы, в настоящее время не имеют широкого распространения, однако они не менее опасны, чем другие вредоносные программы, устанавливаемые самими пользователями и распространяемые злоумышленниками при помощи различных каталогов приложений, форумов и сайтов – сборников ПО. В частности, один из последних инцидентов с участием подобной троянской программы освещался компанией «Доктор Веб» в январе. Тогда на сотнях тысяч мобильных устройств был обнаружен троянец Android.Oldboot.1, скрытый внутри файловой системы и выполняющий инфицирование мобильного устройства при каждом его включении. Основной его задачей являлась установка и удаление различных программ. А позднее в вирусную базу была внесена запись для троянца, предназначенного для отправки на заданный номер СМС-сообщения, содержащего информацию об IMEI-идентификаторе мобильного устройства. Эта вредоносная программа, детектируемая Dr.Web для Android как Android.SmsSend.1067.origin, является модифицированной версией стандартного системного пакета для работы с короткими сообщениями.

Главной опасностью таких вредоносных программ, вне зависимости от их функционала, является то, что их удаление стандартными способами осложняется необходимостью получения привилегированного доступа к функциям операционной системы, а также системным файлам (root-доступ), либо установкой заведомо «чистой» версии прошивки. Все эти действия сопровождаются определенными рисками, поскольку требуют вмешательства в файловую систему и могут стать причиной не только отзыва гарантии, но и потери ценных данных и даже поломки мобильного устройства.

Чтобы минимизировать негативные последствия от действия таких вредоносных приложений, владельцам мобильных устройств под управлением ОС Android следует избегать использования непроверенных версий файлов-прошивок, а также не приобретать мобильные устройства сомнительного происхождения. Тем же пользователям, которые все-таки столкнулись с подобными случаями распространения троянских программ, рекомендуется выполнить следующие шаги.

• Удостовериться, является ли используемая версия прошивки оригинальной – поставляемой производителем мобильного устройства. Для этого необходимо связаться с представителями компании-изготовителя, например, с ее службой технической поддержки. В случае если используемая прошивка является неоригинальной, рекомендуется установить заводскую версию образа операционной системы в соответствии с инструкциями поставщика оборудования.
• Если вы самостоятельно установили стороннюю прошивку для своего мобильного устройства, и она содержит в себе троянца, рекомендуется вернуться к заводской версии прошивки.
• В случае если текущая версия прошивки является заводской, однако содержит вредоносную программу, необходимо также связаться с компанией-изготовителем для дальнейшего прояснения ситуации.
• Если вы обладаете достаточными техническими знаниями и навыками, вы можете попытаться удалить вредоносную программу, предварительно получив root-права, однако в этом случае не исключены отзыв гарантии или поломка мобильного устройства, поэтому данное действие должно выполняться на свой страх и риск.
• Если в текущей версии прошивки присутствует вредоносная программа, вы можете попытаться выполнить ее полное или частичное отключение, для чего следует зайти в системное меню управления приложениями и для соответствующей программы выбрать опцию «Отключить».

drweb.com

[Forum Moderator]

Trojan.Rbrute взламывает Wi-Fi-роутеры

 

Злоумышленники используют данную вредоносную программу для распространения файлового вируса, известного под именем Win32.Sector.

Запустившись на инфицированном компьютере, работающем под управлением Windows, Trojan.Rbruteустанавливает соединение с удаленным сервером и ожидает от него соответствующих команд. В качестве одной из них троянец получает диапазон IP-адресов для выполнения сканирования. Вредоносная программа обладает функционалом по подбору паролей к следующим моделям Wi-Fi-роутеров: D-Link DSL-2520U, DSL-2600U, TP-Link TD-W8901G, TD-W8901G 3.0, TD-W8901GB, TD-W8951ND, TD-W8961ND, TD-8840T, TD-8840T 2.0, TD-W8961ND, TD-8816, TD-8817 2.0, TD-8817, TD-W8151N, TD-W8101G, ZTE ZXV10 W300, ZXDSL 831CII и некоторым другим. Фактически, троянец способен выполнять две команды:

1. сканирование сети по заданному диапазону IP-адресов;
2. перебор паролей по словарю.

При этом перечисленные команды не взаимосвязаны и могут выполняться троянцем по отдельности. Если по одному из опрошенных IP-адресов обнаруживается работающий роутер, Trojan.Rbrute получает оттуда веб-страницу, определяет модель устройства с использованием тега realm=\", и рапортует об этом событии на управляющий сервер.

Также троянец может получить команду на подбор пароля к обнаруженному роутеру по словарю — такое задание содержит все необходимые исходные данные: IP-адрес цели, DNS для подмены и словарь паролей. В качестве логина Trojan.Rbrute использует значения admin или support.

Если аутентификация с подобранным сочетанием логина и пароля прошла успешно, троянец рапортует на удаленный сервер об успешном факте взлома и посылает роутеру запрос на изменение адресов зарегистрированных в его настройках DNS-серверов. В результате при попытке открытия в окне браузера различных веб-сайтов пользователь может быть перенаправлен на другие ресурсы, специально созданные злоумышленниками. Эта схема в настоящее время используется киберпреступниками для расширения численности бот-сети, созданной с использованием вредоносной программы Win32.Sector.

В целом используемая злоумышленниками схема выглядит следующим образом.

1. На компьютер, уже инфицированный вирусом Win32.Sector, с использованием этой вредоносной программы загружается Trojan.Rbrute.
2. Trojan.Rbrute получает с управляющего сервера задания на поиск Wi-Fi-маршрутизаторов и данные для подбора паролей к ним.
3. В случае успеха Trojan.Rbrute подменяет в настройках роутера адреса DNS-серверов.
4. При попытке подключения к Интернету пользователь незараженного компьютера, использующий подключение через скомпрометированный маршрутизатор, перенаправляется на специально созданную злоумышленниками веб-страницу.

   

5. С этой страницы на компьютер жертвы загружается вирус Win32.Sector и инфицирует его.
6. Впоследствии Win32.Sector может загрузить на вновь инфицированный ПК копию троянца Trojan.Rbrute. Цикл повторяется.

Сигнатура Trojan.Rbrute добавлена в вирусные базы Dr.Web. Специалисты компании «Доктор Веб» рекомендуют владельцам Wi-Fi-роутеров не использовать на своих устройствах настройки по умолчанию и устанавливать в административном интерфейсе роутеров сложные пароли, которые затруднят их взлом методом простого перебора.

drweb.com

[adolf5453125]

Мне этот троян не грозит, у меня проводной интернет. Что интересно, не посещая никаких вредоносных сайтов, разве есть вероятность подхватить вирус?

[Forum Moderator]

Конечно есть.
Они есть в обычных баннерах.