Горячая лента угроз
30.08 «Доктор Веб» выявил в Google Play 130 мошеннических приложений
30 августа 2018 года
Одну из обнаруженных вредоносных программ, получившую имя
Этот троянец открывает один из фишинговых сайтов, на котором пользователю предлагается скачать ту или иную известную программу либо сообщается о выигрыше ценного приза. У потенциальной жертвы мошенничества запрашивается номер мобильного телефона, якобы необходимый для получения проверочного кода. Однако на самом деле этот код нужен для подтверждения подписки на платную услугу, за использование которой каждый день будет взиматься плата. Если же зараженное устройство подключено к Интернету через мобильное соединение, то после ввода номера телефона на таком сайте владелец Android-смартфона или планшета подписывается на премиум-услугу автоматически. Примеры мошеннических веб-страниц, которые загружает
Кроме того, среди выявленных в августе вредоносных программ, которые распространялись через каталог Google Play, стоит отметить множество других модификаций троянцев семейства
После запуска эти троянцы соединяются с управляющим сервером и получают от него команду на загрузку того или иного сайта, который демонстрируется пользователю. В настоящее время указанные вредоносные программы открывают официальные страницы букмекерских фирм, при этом название троянского приложения никак не влияет на загружаемый сайт. Кроме того, в любой момент управляющий сервер способен отдать троянцам команду на загрузку произвольного веб-ресурса, в том числе мошеннического или вредоносного онлайн-портала, с которого на Android-устройство могут загружаться другие вредоносные программы. Именно поэтому эти троянцы представляют серьезную опасность.
Наконец, другой троянец-мошенник, обнаруженный в уходящем месяце, скрывался в приложении с именем «Опрос». Он был добавлен в вирусную базу как
При запуске
После ответа на несколько таких вопросов владельцу мобильного устройства обещали вознаграждение в размере десятков или даже сотен тысяч рублей. При этом тут же его предупреждали, что якобы из-за лимита платежных систем перевод этих средств будет выполнен несколькими частями в течение определенного промежутка времени. Однако для того, чтобы моментально получить честно заработанное, жертве необходимо всего лишь выполнить некий идентификационный платеж в размере 100–200 рублей, который якобы подтвердит личность «счастливчика». В этом и заключается смысл описанного мошенничества: жертва обмана добровольно отдает свои деньги интернет-жуликам, ожидая получить обещанное вознаграждение, однако никаких баснословных выплат она, конечно же, никогда не увидит. Специалисты компании «Доктор Веб» оповестили корпорацию Google об этом вредоносном приложении, и в настоящее время оно недоступно для загрузки.
Для отъема денег у владельцев мобильных устройств и получения иной выгоды злоумышленники применяют всевозможные уловки, а также изобретают всё новые мошеннические схемы. Компания «Доктор Веб» напоминает, что устанавливать приложения даже из каталога Google Play необходимо с осторожностью. Стоит обращать внимание на имя разработчика, дату публикации интересующей программы, а также отзывы других пользователей. Эти простые действия помогут снизить риск заражения смартфонов и планшетов. Кроме того, для защиты Android-устройств пользователям следует установить антивирусные продукты Dr.Web для Android, которые успешно детектируют и удаляют все известные вредоносные и нежелательные программы.
Подробнее об Android.Click.265.origin
Подробнее об Android.Click.248.origin
Подробнее об Android.FakeApp.110
#Android, #мошенничество, #Google_Play, #троянец
22.08 Мошенники угрожают администраторам доменов
22 августа 2018 года
По всей видимости, для реализации своего замысла злоумышленники каким-то образом раздобыли базу адресов электронной почты администраторов доменов — клиентов компании «Региональный Сетевой Информационный Центр» (RU-CENTER). Администраторы доменов, срок делегирования которых подходит к концу, стали получать по электронной почте сообщения якобы от имени этой компании. В письмах сообщалось об окончании оплаченного периода регистрации доменного имени, а также о том, что администратор должен оплатить услугу продления домена в течение одного рабочего дня с момента получения письма, иначе этот домен будет исключен из реестра.
В сообщении содержится ссылка, ведущая на взломанный сайт. Установленный на этом сайте PHP-сценарий перенаправляет потенциальную жертву на специальную страницу платежной системы Яндекс.Деньги, позволяющую перевести денежные средства на электронный кошелек с номером 410015920079912.
Компания «Доктор Веб» предупреждает о том, что эти сообщения являются мошенническими, и призывает администраторов доменов не терять бдительность. Адрес содержащего вредоносный сценарий сайта был добавлен в базы нерекомендуемых веб-страниц Родительского и Офисного контроля Dr.Web, а компании «Яндекс» и «Региональный Сетевой Информационный Центр» (RU-CENTER) проинформированы об этом инциденте.
#мошенническое_письмо #мошенничество #спам
07.08 «Доктор Веб» обнаружил троянца-клипера для Android
7 августа 2018 года
Троянцев, способных незаметно подменять номера электронных кошельков в буфере обмена, чтобы отправляемые деньги поступали не получателю, а злоумышленникам, принято называть «клиперами» (от термина clipboard, «буфер обмена»). До недавнего времени такие вредоносные программы досаждали в основном пользователям Windows. Аналогичные по возможностям троянцы для Android в «дикой природе» встречаются редко. В августе 2018 года в вирусные базы Dr.Web были добавлены записи для детектирования двух модификаций троянца-клипера
При запуске на инфицированном устройстве троянец выводит поддельное сообщение об ошибке и продолжает работу в скрытом режиме. Он скрывает свой значок из списка приложений главного экрана операционной системы, после чего вредоносную программу можно увидеть только в системных настройках мобильного устройства в разделе управления установленным ПО. Далее обе модификации
После успешного заражения Android-устройства троянец начинает отслеживать изменение содержимого буфера обмена. Если
Автор
В своих рекламных сообщениях вирусописатель заявляет о возможности отправки отчетов о работе вредоносной программы в приложение Telegram и оперативной смены номеров кошельков, внедряемых в буфер обмена, с использованием протокола FTP. Однако в самом троянце эти функции не реализованы. Описанные возможности предоставляет киберпреступникам сам управляющий сервер.
Антивирусные продукты Dr.Web для Android обнаруживают и удаляют все известные модификации троянцев семейства
Подробнее об Android.Clipper.1.origin
Подробнее об Android.Clipper.2.origin
#Android #биткойн #криптовалюты
02.08 Вирусописатели распространяют майнеры для Linux и Windows
2 августа 2018 года
Вредоносные программы и утилиты для добычи криптовалют, о которых пойдет речь в этой статье, были загружены на один из наших «ханипотов» (от англ. honeypot, «горшочек с медом») — специальных серверов, используемых специалистами «Доктор Веб» в качестве приманки для злоумышленников. Первые подобные атаки на работающие под управлением Linux серверы были зафиксированы вирусными аналитиками в начале мая 2018 года. Киберпреступники соединялись с сервером по протоколу SSH, подбирали логин и пароль методом их перебора по словарю (bruteforce) и после успешной авторизации на сервере отключали утилиту iptables, управляющую работой межсетевого экрана. Затем злоумышленники загружали на атакованный сервер утилиту-майнер и файл конфигурации для нее. Для запуска утилиты они редактировали содержимое файла /etc/rc.local, после чего завершали соединение.
В начале июня киберпреступники изменили эту схему и начали использовать вредоносную программу, добавленную в вирусные базы Dr.Web под именем
Вирусные аналитики исследовали принадлежащий злоумышленникам сервер, с которого загружался этот троянец, и обнаружили там несколько майнеров для ОС Windows.
Версия майнера для Windows реализована в виде самораспаковывающегося RAR-архива, содержащего файл конфигурации, несколько VBS-сценариев для запуска майнера и саму утилиту для добычи криптовалюты. После запуска архива утилита распаковывается в папку %SYSTEMROOT%\addins и регистрируется в качестве службы с именем SystemEsinesBreker.
Версии майнера для 32- и 64-разрядных ОС Windows детектируются Антивирусом Dr.Web как представители семейства Tool.BtcMine. Наши пользователи полностью защищены от действия этих вредоносных программ.
#Honeypot #Linux #криптовалюты #майнинг #троянец
09.07 «Доктор Веб» предупреждает: троянец-майнер загружается вместо обновления программы
9 июля 2018 года
В нашу службу технической поддержки от одного из пользователей поступило сообщение о том, что Антивирус Dr.Web регулярно обнаруживает и удаляет на компьютере приложение для добычи криптовалют. Исследование журнала Антивируса показало, что майнер прятался во временной папке на зараженном ПК. В то же время журнал веб-антивируса SpIDer Gate сохранил информацию о том, что приложение пыталось соединиться с IP-адресом, который соответствует сайту компании Astrum Soft — производителя ПО «Компьютерный зал» для автоматизации компьютерных клубов и интернет-кафе.
В самом приложении официально присутствует функция майнинга (добычи) криптовалют, которую пользователь может включить, когда компьютеры простаивают.
Тем не менее, дальнейшее исследование показало, что программой, беспокоившей пользователя, было не само приложение «Компьютерный зал», а скрытый майнер, добавленный в вирусные базы Dr.Web под именем
Приложение «Компьютерный зал» периодически отправляет запрос на сервер своего разработчика, в котором передает версию приложения и сведения о системе. В ответ может поступить команда на загрузку или скачивание и запуск исполняемого файла, в котором должно быть реализовано обновление программы. Однако в исследованном нами образце загружаемый на компьютер файл имеет вредоносный функционал. Это вредоносное ПО завершает работу процессов svchostm.exe и svcnost.exe, сохраняет на диск троянца-майнера и для обеспечения его автоматического запуска модифицирует системный реестр Windows. Данные о кошельке, на который перечисляется добытая криптовалюта, зашиты в теле троянца. При удалении вредоносной программы пользователем механизм обновления может скачать и запустить его заново.
На 9 июля вирусные аналитики насчитали более 2700 зараженных компьютеров, на которых действует
30.05 Киберпреступник заработал миллионы, избрав целью популярную игровую платформу Steam
30 мая 2018 года
«Faker» использует несколько способов незаконного заработка. Главный среди них — разработанная им схема MaaS (Malware As a Service), реализующая аренду вредоносных программ по подписке. От клиентов «Faker»’а, желающих зарабатывать на распространении троянцев, не требуется ничего, кроме денег и, в некоторых случаях, домена: вирусописатель предоставляет им самого троянца, доступ к административной панели и техническую поддержку. По подсчетам аналитиков «Доктор Веб», это решение «под ключ» принесло своему создателю миллионы, а сколько на этом заработали его клиенты, остается только догадываться – с учетом того, что потраченные деньги на оплату месяца использования этой криминальной услуги могут окупиться за сутки. Все созданные «Faker»’ом вредоносные программы угрожают пользователям популярного игрового сервиса Steam.
Steam — это разработанная компанией Valve Corporation платформа, предназначенная для цифрового распространения компьютерных игр и программ. Зарегистрированный пользователь Steam получает доступ к личному кабинету, в котором собрана информация обо всех приобретенных им ранее играх и приложениях. Помимо этого, он может совершать покупки в магазине Steam, приобретая различный цифровой контент, а также продавать и обменивать игровые предметы. Эти предметы имеют ключевое значение в различных многопользовательских играх. Оружие, амуниция и различный инвентарь позволяют менять внешний вид игрока и визуальное представление его имущества в игре. Игровые предметы можно обменивать на специализированных сайтах, а также покупать и продавать за реальные деньги. Именно на этом построил свой криминальный бизнес «Faker».
Один из применяемых им способов заработка — так называемые «рулетки». Так сетевые игроки называют своеобразные аукционы, на которые сразу несколько участников выставляют различные игровые предметы. Вероятность выигрыша зависит от размера сделанной участником ставки, а победитель забирает все участвующие в розыгрыше лоты. Мошенничество заключается в том, что против реального игрока выступают специальные программы-боты, которые гарантированно выигрывают ставку. Иногда потенциальной жертве предлагают стать администратором такой игры и даже позволяют несколько раз выиграть, прежде чем она выставит на очередной кон какой-либо дорогой игровой предмет, который тут же будет проигран и перейдет в собственность злоумышленников.
Административная панель «рулеток» позволяет гибко настраивать внешний вид сайта, на котором производятся розыгрыши, его отображаемое содержимое, менять имена и текст в организованном на сайте чате, управлять ставками, просматривать список принятых у других игроков предметов, а также полностью управлять «рулеткой».
Кроме того, «Faker» предоставляет в аренду другим киберпреступникам созданные им вредоносные программы. Одна из них получила наименование Trojan.PWS.Steam.13604, она предназначена для хищения учетных данных пользователей Steam. Создатель троянца на условиях ежемесячной абонентской платы предоставляет киберпреступникам собранный для них вредоносный файл, а также доступ к панели управления.
Распространяется троянец несколькими путями. Один из них использует методы социальной инженерии: пользователю Steam приходит сообщение о том, что нескольким участникам сообщества в команду требуется новый игрок. После одного совместного матча для удобства дальнейшего взаимодействия потенциальной жертве предлагают скачать и установить программу-клиент для голосового общения. Злоумышленники отправляют жертве ссылку на поддельный сайт этого приложения. По ссылке под видом программы загружается троянец.
Если потенциальная жертва уже использует чат-клиент TeamSpeak, ей присылают адрес сервера, к которому подключается команда игроков для совместного общения. После подключения к этому серверу на экране жертвы отображается окно с предложением обновить какой-либо из компонентов приложения TeamSpeak или драйвер аудиоподсистемы. Под видом этого обновления на компьютер скачивается вредоносная программа.
При запуске троянец выгружает процесс приложения Steam (если этот процесс – не его собственный), затем определяет путь к каталогу Steam на компьютере, язык приложения и имя пользователя. При наличии одного из служебных файлов программы Steam Trojan.PWS.Steam.13604 извлекает из него пары, состоящие из идентификаторов steamid64 и имен учетных записей. Затем троянец отсылает на управляющий сервер собранную на зараженном компьютере информацию, в том числе версию операционной системы, имя пользователя и машины, язык ОС, путь к приложению Steam, языковую версию этого приложения и т. д.
Выполнив указанные действия, вредоносная программа удаляет оригинальный файл приложения Steam и копирует себя на его место. Чтобы лишить пользователя возможности обновить клиент Steam или получить техническую помощь, троянец меняет содержимое файла hosts, блокируя доступ к сайтам steampowered.com, support.steampowered.com, store.steampowered.com, help.steampowered.com, forums.steampowered.com, virustotal.com и некоторым другим. Затем Trojan.PWS.Steam.13604 показывает на экране поддельное окно авторизации Steam. Если жертва вводит в него свои логин и пароль, троянец пытается авторизоваться с их помощью в сервисе Steam. Если эта попытка увенчалась успехом и на компьютере включен Steam Guard — система двухфакторной аутентификации для защиты учетной записи пользователя, — троянец выводит на экран поддельное окно для ввода кода авторизации. Вся эта информация отсылается на сервер злоумышленников.
Для всех своих клиентов вирусописатель использует один и тот же управляющий сервер. Из полученных данных на нем формируется файл, который в дальнейшем злоумышленники используют для доступа к учетной записи жертвы в сервисе Steam. Интерфейс панели администрирования Trojan.PWS.Steam.13604 показан на следующих иллюстрациях:
Помимо Trojan.PWS.Steam.13604 «Faker» сдает в аренду еще одного созданного им троянца. Он получил наименование Trojan.PWS.Steam.15278. Эта вредоносная программа распространяется аналогичным способом и ориентирована на хищение игрового инвентаря у пользователей платформы Steam. Похищенные виртуальные предметы злоумышленники могут впоследствии продать другим игрокам. Вирусописатель также рекламирует услугу по аренде этой вредоносной программы на специализированных форумах.
Trojan.PWS.Steam.15278 использует в своей работе приложение Fiddler — бесплатную утилиту для анализа трафика при передаче данных по протоколу HTTP, работающую по принципу прокси-сервера. Fiddler устанавливает в систему корневой сертификат, благодаря чему Trojan.PWS.Steam.15278 получает возможность прослушивать зашифрованный HTTPS-трафик. Троянец перехватывает ответы сервера и подменяет в них данные.
Если пользователь зараженной машины обменивается с другими игроками инвентарем на специально предназначенных для этого площадках, таких как opskins.com, igxe.cn, bitskins.com, g2a.com, csgo.tm, market.csgo.com, market.dota2.net и tf2.tm, в момент совершения обменной сделки троянец подменяет получателя игрового предмета. Происходит это так. После того как жертва троянца выставит на продажу или обмен собственный игровой инвентарь, вредоносная программа подключается к его аккаунту и с определенным временным интервалом проверяет поступающие предложения. Если предложивший для обмена какой-либо предмет пользователь зараженного компьютера получает запрос на совершение сделки, троянец отменяет этот запрос, определяет имя пользователя, его аватар, а также текст сообщения из оригинального запроса и высылает жертве в точности такой же запрос, но от имени принадлежащей злоумышленникам учетной записи. Физически подмена осуществляется с использованием веб-инжектов: Trojan.PWS.Steam.15278 встраивает в страницы полученный с управляющего сервера вредоносный код. Следует отметить, что «Faker» является автором и других троянцев, работающих по аналогичному принципу и реализованных в виде расширения для браузера Google Chrome.
При обмене инвентаря через официальный сайт steamcommunity.com Trojan.PWS.Steam.15278 позволяет злоумышленникам подменять отображение игровых предметов у пользователя. Троянец модифицирует содержимое веб-страниц сервиса steamcommunity.com таким образом, что потенциальная жертва видит предложение об обмене очень дорогого и редкого игрового предмета. Если пользователь одобрит сделку, вместо ожидаемого предмета он получит какой-либо тривиальный и дешевый элемент инвентаря. Оспорить подобный несправедливый обмен впоследствии практически невозможно, поскольку с точки зрения сервера пользователь сам и добровольно совершил эту сделку. Например, на странице сервиса steamcommunity.com пользователь зараженного компьютера увидит, будто другой участник сервиса предлагает ему к обмену игровой предмет под названием «PLAYERUNKNOWN's Bandana» стоимостью $265.31. На самом же деле по завершении сделки он получит «Combat Pants (White)» — цена этого предмета составляет всего лишь $0.03.
Панель управления Trojan.PWS.Steam.15278 в целом схожа с административной панелью Trojan.PWS.Steam.13604, однако в обновленной версии появился дополнительный раздел, позволяющий управлять заменами игровых предметов при осуществлении сделок обмена. Злоумышленник может сам настраивать изображения и описания игровых предметов, которые будут показаны жертве вместо реальных. Полученный обманным путем игровой инвентарь киберпреступники впоследствии могут продать за реальные деньги на сетевых торговых площадках.
Все известные на сегодняшний день модификации Trojan.PWS.Steam.13604 и Trojan.PWS.Steam.15278 успешно детектируются и удаляются Антивирусом Dr.Web, поэтому они не представляют опасности для наших пользователей. Специалисты «Доктор Веб» передали в компанию Valve Corporation информацию о скомпрометированных учетных записях пользователей, а также об аккаунтах, которые использовались в описанных выше мошеннических схемах.
Подробнее о Trojan.PWS.Steam.13604
Подробнее о Trojan.PWS.Steam.15278
#вредоносное_ПО #геймер #игры #троянец
14.05 «Доктор Веб» провел расследование и выявил автора троянцев-шпионов
14 мая 2018 года
Специалисты компании «Доктор Веб» изучили несколько новых модификаций троянца
Все исследованные модификации шпиона написаны на языке Python и преобразованы в исполняемый файл с помощью программы py2exe. Одна из новых версий этой вредоносной программы, получившая наименование
Другая модификация этого троянца-шпиона получила наименование
Третья модификация шпиона получила наименование
Для распространения этой модификации стилера купившие его у вирусописателя злоумышленники придумали еще один, более оригинальный метод. Киберпреступники связывались с администраторами тематических Telegram-каналов и предлагали им написать пост, посвященный якобы разработанной ими новой программе, и предлагали ее протестировать. По словам злоумышленников, эта программа позволяла одновременно подключаться к нескольким аккаунтам Telegram на одном компьютере. На самом же деле под видом полезного приложения они предлагали потенциальной жертве скачать троянца-шпиона.
В коде этих троянцев-шпионов вирусные аналитики обнаружили информацию, позволившую установить автора вредоносных программ. Вирусописатель скрывается под псевдонимом «Енот Погромист», при этом он не только разрабатывает троянцев, но и продает их на одном популярном сайте.
Создатель троянцев-шпионов также ведет канал на YouTube, посвященный разработке вредоносного ПО, и имеет собственную страницу на GitHub, где выкладывает исходный код своих вредоносных программ.
Специалисты «Доктор Веб» проанализировали данные открытых источников и установили несколько электронных адресов разработчика этих троянцев, а также номер его мобильного телефона, к которому привязан используемый для противоправной деятельности аккаунт Telegram. Кроме того, удалось отыскать ряд доменов, используемых вирусописателем для распространения вредоносных программ, а также определить город его проживания. На представленной ниже схеме показана часть выявленных связей «Енота Погромиста» с используемыми им техническими ресурсами.
Логины и пароли от облачных хранилищ, в которые загружаются архивы с украденными файлами, «зашиты» в тело самих троянцев, что позволяет без особого труда вычислить и всех клиентов «Енота Погромиста», приобретавших у него вредоносное ПО. В основном это граждане России и Украины. Некоторые из них используют адреса электронной почты, по которым нетрудно определить их страницы в социальных сетях и установить их реальную личность. Например, сотрудникам «Доктор Веб» удалось выяснить, что многие клиенты «Енота Погромиста» пользуются и другими троянцами-шпионами, которые продаются на подпольных форумах. Следует отметить, что отдельные покупатели оказались настолько умны и сообразительны, что запускали шпиона на своих собственных компьютерах, вероятно, в попытке оценить его работу. В результате их личные файлы были загружены в облачные хранилища, данные для доступа к которым может без труда извлечь из тела троянца любой исследователь.
Специалисты компании «Доктор Веб» напоминают, что создание, использование и распространение вредоносных программ является преступлением, за которое согласно ст. 273 УК РФ предусмотрено наказание вплоть до лишения свободы на срок до четырех лет. Также к покупателям и пользователям троянцев-шпионов применима статья 272 УК РФ «Неправомерный доступ к компьютерной информации».
#вирусописатель #троянец #вредоносное_ПО
10.05 Мошенники крадут деньги обращающихся за социальными компенсациями
10 мая 2018 года
Схема мошенничества в целом осталась прежней: злоумышленники рассылают по электронной почте спам, предлагая потенциальным жертвам перейти по ссылке на специально созданный ими сайт. Однако нельзя не отметить и новый канал привлечения посетителей: жульнические ресурсы стали рекламироваться с помощью массовых СМС-рассылок и сообщений в мобильных мессенджерах. На веб-страницах по ссылкам, расположенным в этой рекламе, размещен изобилующий ошибками текст, в котором сообщается о якобы существующей возможности получить компенсацию за переплату предоставляемых населению коммунальных, медицинских услуг, либо услуг обязательного страхования. Все эти сайты созданы с использованием одного и того же шаблона и принадлежат неким «Центрам компенсации неиспользованных медицинских услуг», «Союзам независимых энергетических компаний» и прочим несуществующим организациям.
Для «проверки» возможности получить компенсацию посетителю сайта предлагается ввести в специальную форму последние цифры какого-либо документа, а также свое имя и фамилию. Какие бы данные ни указал пользователь, на экране появится информация о доступной выплате, для получения которой требуется перевести мошенникам небольшую денежную сумму.
Специалисты компании «Доктор Веб» выявили более 110 доменов, зарегистрированных сетевыми мошенниками в период с февраля по май 2018 года. При этом многие домены со схожими по звучанию и написанию ключевыми словами регистрировались одновременно целыми группами и были привязаны к одним и тем же хостинговым площадкам. На один из жульнических сайтов осуществлялось перенаправление с адреса, содержащего аббревиатуру “snils” — это может косвенно свидетельствовать о том, что авторами данной криминальной схемы являются те же злоумышленники, о которых мы писали осенью прошлого года. Часть выявленных аналитиками адресов в настоящее время недоступна, на некоторых размещены мошеннические интернет-ресурсы. Все обнаруженные нами адреса были добавлены в базы нерекомендуемых сайтов Родительского контроля Dr.Web.
Следует отметить, что в последнее время также участились случаи почтовых рассылок, в которых злоумышленники перенаправляют получателей на фишинговые и жульнические сайты с использованием сервисов онлайн-календарей. Сообщение содержит приглашение на некое бесплатное мероприятие, для подтверждения участия в котором предлагается отметиться в таблице, размещенной, например, на сайте публичного сервиса «Google Календарь». При переходе по ссылке потенциальная жертва перенаправляется на мошеннический или фишинговый сайт, собирающий конфиденциальную информацию посетителей.
Компания «Доктор Веб» снова напоминает пользователям: не доверяйте интернет-ресурсам, предлагающим получить какие-либо денежные компенсации от лица неких фондов или организаций, а также с осторожностью переходите по ссылкам из почтовых сообщений, полученных от незнакомых отправителей.
#криминал #мошенническое_письмо #мошенничество #нерекомендуемые_сайты
26 апреля 2018 года
После первого запуска приложения, в которое встроен троянец,
При старте вредоносная программа загружает с управляющего сервера и запускает один из троянских модулей, который был добавлен в вирусную базу Dr.Web как
Вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play несколько приложений, в которые был встроен этот троянец. Все они представляют собой различные игры, суммарное число загрузок которых превысило 6 500 000. Специалисты «Доктор Веб» передали в корпорацию Google информацию о найденных программах, и на момент публикации этой новости часть из них была успешно удалена из каталога. При этом некоторые приложения получили обновления, в которых вредоносный модуль уже отсутствует.
- Beauty Salon - Dress Up Game, версия 5.0.8;
- Fashion Story - Dress Up Game, версия 5.0.0;
- Princess Salon - Dress Up Sophie, версия 5.0.1;
- Horror game - Scary movie quest, версия 1.9;
- Escape from the terrible dead, версия 1.9.15;
- Home Rat simulator, версия 2.0.5;
- Street Fashion Girls - Dress Up Game, версия 6.07;
- Unicorn Coloring Book, версия 134.
Кроме того, при дальнейшем анализе специалисты «Доктор Веб» выявили троянца еще в нескольких приложениях, которые ранее уже были удалены из каталога:
- Subwater Subnautica, версия 1.7;
- Quiet, Death!, версия 1.1;
- Simulator Survival, версия 0.7;
- Five Nigts Survive at Freddy Pizzeria Simulator, версия 12;
- Hello Evil Neighbor 3D, версия 2.24;
- The Spire for Slay, версия 1.0;
- Jumping Beasts of Gang, версия 1.9;
- Deep Survival, версия 1.12;
- Lost in the Forest, версия 1.7;
- Happy Neighbor Wheels, версия 1.41;
- Subwater Survival Simulator, версия 1.15;
- Animal Beasts, версия 1.20.
Примеры ПО со встроенным троянцем
Чтобы снизить вероятность заражения мобильных устройств вредоносными и нежелательными программами, специалисты компании «Доктор Веб» рекомендуют устанавливать приложения только от известных и проверенных разработчиков. Антивирусные продукты Dr.Web для Android успешно обнаруживают и удаляют все известные модификации описанных в этом материале троянцев, поэтому для наших пользователей они опасности не представляют.
Подробнее об Android.RemoteCode.152.origin
#Android, #Google_Play, #рекламное_ПО, #троянец
Ваш Android нуждается в защите
Используйте Dr.Web
- Первый российский антивирус для Android
- Более 135 миллионов скачиваний только с Google Play
- Бесплатный для пользователей домашних продуктов Dr.Web
16.04 Обнаруженный "Доктор Веб" энкодер не способен расшифровывать файлы
16 апреля 2018 года
Новый троянец-шифровальщик получил наименование
Размер требуемого злоумышленниками выкупа варьируется от 0,007305 до 0,04 Btc. По нажатию на кнопку HOW TO BUY BITCOIN троянец демонстрирует окно с инструкциями по покупке криптовалюты Bitcoin:
Несмотря на то, что в тексте требований злоумышленники уверяют своих жертв, что они смогут восстановить зашифрованные файлы, из-за допущенной в коде троянца ошибки это в большинстве случаев невозможно.
Пользователи Dr.Web защищены от действий этого шифровальщика, поскольку он успешно детектируется и удаляется превентивной защитой наших антивирусных продуктов. Тем не менее, специалисты компании «Доктор Веб» напоминают о необходимости своевременного резервного копирования всей важной информации.
Чтобы троянец не испортил файлы, используйте защиту от потери данных
| Настрой-ка защиту от потери данных | Видео о настройке | Что делать, если... | Бесплатная расшифровка | Рубрика «Закодировать все» |
16.04 «Доктор Веб»: Android-троянец из Google Play подписывает пользователей на платные мобильные услуги
16 апреля 2018 года
Злоумышленники распространяли
Специалисты «Доктор Веб» уведомили корпорацию Google об
После запуска
При попытке загрузки указанного файла у владельца мобильного устройства запрашивается номер мобильного телефона для некоей авторизации или подтверждения скачивания. После ввода номера пользователю отправляется проверочный код, который необходимо указать на сайте для завершения «загрузки». Однако никаких программ после этого жертва не получает – вместо этого она подписывается на платную услугу.
Если же зараженное устройство подключено к Интернету через мобильное соединение, загружаемый троянцем сайт выполняет несколько перенаправлений, после чего
Если троянец не получил никакого задания, он показывает на экране несколько изображений, которые загружаются из Интернета.
Подключение ненужных контент-услуг – один из самых распространенных и давно известных способов незаконного заработка злоумышленников. Однако оформление таких премиум-подписок через сервис Wap-Click представляет особую опасность, т. к. фактически происходит без какого-либо явного информирования абонентов и часто используется недобросовестными контент-провайдерами.
Чтобы избежать потери денег, владельцам смартфонов и планшетов следует внимательно относиться ко всем посещаемым веб-сайтам и не нажимать на расположенные на них подозрительные ссылки и кнопки. Кроме того, необходимо устанавливать программы только от известных и проверенных разработчиков и пользоваться антивирусом.
Для борьбы с мошенническими подписками всем российским абонентам сотовых сетей рекомендуется активировать Контентный счет. Эта услуга предоставляется бесплатно после обращения в службу поддержки или офис обслуживания мобильных операторов. Согласно поправкам в федеральный закон N 126-ФЗ «О связи», контентный счет – это отдельный счет абонента, предназначенный специально для работы с премиум-услугами. После его подключения все списания для оплаты дорогостоящих подписок от сторонних поставщиков происходят только с него.
Антивирусные продукты Dr.Web для Android успешно детектируют и удаляют все известные модификации
Ваш Android нуждается в защите
Используйте Dr.Web
- Первый российский антивирус для Android
- Более 135 миллионов скачиваний только с Google Play
- Бесплатный для пользователей домашних продуктов Dr.Web
05.04 «Доктор Веб»: свыше 78 000 000 рублей клиентов Сбербанка находятся под угрозой
5 апреля 2018 года
На следующих изображениях показаны разделы панели администрирования
Этот банковский троянец распространяется при помощи мошеннических СМС, которые могут рассылать как киберпреступники, так и сама вредоносная программа. Чаще всего сообщения отправляются от имени пользователей сервиса Avito.ru. В таких СМС потенциальной жертве предлагается перейти по ссылке – якобы чтобы ознакомиться с ответом на объявление. Например, популярен текст: «Добрый день, обмен интересен?». Кроме того, иногда владельцы мобильных устройств получают поддельные уведомления о кредитах, мобильных переводах и зачислениях денег на счет в банке. Ниже показаны примеры фишинговых сообщений, которые задаются в панели администрирования управляющего сервера троянца и рассылаются по команде вирусописателей:
При переходе по ссылке из такого сообщения жертва попадает на принадлежащий злоумышленникам сайт, откуда на мобильное устройство скачивается apk-файл вредоносного приложения. Для большей убедительности вирусописатели используют в
При первом запуске
После инфицирования устройства
Однако на момент публикации этого материала существующие модификации троянца не выполняют полную проверку сведений о банковских картах, и после ввода любых данных снимают блокировку. В результате пострадавшие от
Тем не менее, ничто не мешает вирусописателям отдать команду на повторную блокировку смартфона или планшета после обнаружения обмана. Поэтому после того как фишинговое окно будет закрыто, необходимо как можно скорее проверить устройство антивирусом и удалить троянца с мобильного устройства: https://download.drweb.ru/android/
Если у пользователя подключена услуга Мобильный банк,
Для получения дополнительного дохода некоторые версии
Вирусописатели могут настраивать параметры окон блокировки в панели администрирования управляющего сервера. Например, задавать текст выводимых сообщений, продолжительность их отображения, а также требуемую сумму выкупа. Ниже представлены примеры соответствующих разделов панели управления:
Наряду с кражей денег и блокировкой зараженных устройств
- загружать собственные обновления;
- рассылать СМС-сообщения по всем номерам из телефонной книги;
- рассылать СМС-сообщения по указанным в командах номерам;
- загружать заданные киберпреступниками веб-сайты;
- отправлять на сервер хранящиеся на устройстве СМС-сообщения;
- получать информацию о контактах из телефонной книги;
- создавать поддельные входящие СМС-сообщения.
Антивирусные продукты Dr.Web для Android успешно детектируют и удаляют все известные модификации
#Android #банкер #мобильный #вымогательство #банковский_троянец
Ваш Android нуждается в защите
Используйте Dr.Web
- Первый российский антивирус для Android
- Более 135 миллионов скачиваний только с Google Play
- Бесплатный для пользователей домашних продуктов Dr.Web
Скачайте Dr.Web Security Space для Android по QR-коду
23.03 «Доктор Веб»: новый троянец распространяется на сайте YouTube
23 марта 2018 года
Вредоносная программа, получившая наименование
Запустившись на инфицированном компьютере, троянец собирает следующую информацию:
- файлы Cookies браузеров Vivaldi, Chrome, Яндекс.Браузер, Opera, Kometa, Orbitum, Dragon, Amigo, Torch;
- сохраненные логины/пароли из этих же браузеров;
- снимок экрана.
Также он копирует с Рабочего стола Windows файлы с расширениями ".txt", ".pdf", ".jpg", ".png", ".xls", ".doc", ".docx", ".sqlite", ".db", ".sqlite3", ".bak", ".sql", ".xml".
Все полученные данные
Вирусные аналитики компании «Доктор Веб» обнаружили несколько образцов этого троянца. Часть из них детектируется под именем
20.03 «Доктор Веб»: Банкер Android.BankBot.149.origin стал грозным оружием киберпреступников
20 марта 2018 года
На момент своего появления
Еще один троянец, при создании которого киберпреступники использовали опубликованный ранее код, был добавлен в вирусную базу Dr.Web как
- отправлять СМС с заданным текстом на указанный в команде номер;
- выполнять USSD-запросы;
- отсылать на управляющий сервер копии хранящихся на устройстве СМС;
- получать информацию об установленных приложениях;
- показывать диалоговые окна с заданным в команде текстом;
- запрашивать дополнительные разрешения для работы;
- демонстрировать push-уведомления, содержимое которых указывалось в команде;
- показывать push-уведомление, содержимое которого задано в коде троянца;
- блокировать экран устройства окном WebView, в котором демонстрировалось содержимое полученной от сервера веб-страницы;
- передавать на сервер все номера из телефонной книги;
- рассылать СМС по всем номерам из телефонной книги;
- получать доступ к информации об устройстве и его местоположению;
- запрашивать доступ к функциям специальных возможностей (Accessibility Service);
- узнавать IP-адрес зараженного смартфона или планшета;
- очищать свой конфигурационный файл и останавливать собственную работу.
На иллюстрациях ниже показан пример панели управления одной из первых версий троянца
Однако по мере выпуска обновлений
При этом анализ банкера показал, что вирусописатели используют в названиях методов, а также в командах управления аббревиатуру «VNC», которая расшифровывается как Virtual Network Computing и относится к системе удаленного доступа к рабочему столу. Однако в троянце
Одна из последних модификаций
- отправка СМС с заданным текстом на указанный в команде номер;
- выполнение USSD-запросов;
- запуск программ;
- смена адреса управляющего сервера;
- отправка на управляющий сервер копий хранящихся на устройстве СМС;
- получение информации об установленных приложениях;
- перехват вводимых на клавиатуре символов (кейлоггер);
- запрос дополнительных разрешений для работы;
- показ диалоговых окон с заданным в команде содержимым;
- показ push-уведомлений, содержимое которых указывается в команде;
- показ push-уведомления, содержимое которого задано в коде троянца;
- отправка на сервер всех номеров из телефонной книги;
- рассылка СМС по всем номерам из телефонной книги;
- блокировка экрана устройства окном WebView, в котором демонстрируется содержимое полученной от сервера веб-страницы;
- запрос доступа к функциям специальных возможностей (Accessibility Service);
- переадресация телефонных звонков;
- открытие в браузере заданных в командах веб-сайтов;
- открытие ссылок на веб-страницы с использованием WebView;
- шифрование файлов и требование выкупа;
- расшифровка файлов;
- запись окружения с использованием микрофона устройства;
- получение доступа к информации об устройстве и его местоположении;
- получение IP-адреса устройства;
- очистка конфигурационного файла и остановка работы троянца.
На следующих иллюстрациях продемонстрирован список команд, которые злоумышленники могут отправлять банкеру через панель администрирования:
Большинство команд, передаваемых банкеру, настраиваются в этой же панели. Например, на изображении ниже показана конфигурация параметров шифрования файлов. Вирусописатели могут задать ключ шифрования, сумму выкупа (например, в биткойнах), которую
Там же настраиваются поддельные уведомления, которые должны заставить пользователя запустить нужное киберпреступникам приложение. Сразу после старта целевой программы троянец показывает поверх ее окна фишинговую форму ввода логина, пароля и другой секретной информации и передает ее вирусописателям.
Аналогичным образом настраиваются и сами фишинговые окна вместе с дополнительными параметрами:
Вирусные аналитики установили, что троянец атакует пользователей из России, Украины, Турции, Англии, Германии, Франции, Индии, США, Гонконга, Венгрии, Израиля, Японии, Новой Зеландии, Кении, Польши и Румынии. Однако в любое время этот список может пополниться и другими государствами, если киберпреступники проявят к ним интерес.
Специалисты компании «Доктор Веб» ожидают, что авторы
Ваш Android нуждается в защите
Используйте Dr.Web
- Первый российский антивирус для Android
- Более 135 миллионов скачиваний только с Google Play
- Бесплатный для пользователей домашних продуктов Dr.Web
13 марта 2018 года
Выявленные программы имеют названия известных приложений, а также схожие с оригиналами значки. Специалисты «Доктор Веб» обнаружили подделки ПО Qiwi Кошелек, Сбербанк Онлайн, Одноклассники, ВКонтакте и НТВ. Ниже продемонстрировано, как интернет-мошенники обманывают потенциальных жертв. На иллюстрации слева показана страница программы-имитатора, которую можно легко найти в каталоге Google Play. Справа – страница подлинного ПО.
При каждом запуске эти приложения-подделки соединяются с управляющим сервером, который в ответ либо отправляет параметр «none», либо передает заданную злоумышленниками веб-ссылку. При получении первого параметра программы извлекают из своих ресурсов несколько изображений и показывают их пользователям. В этом и заключается весь их «полезный» функционал. Если же в ответе программам поступает ссылка на веб-страницу, они загружают и отображают ее. Открытие страницы выполняется с применением WebView непосредственно в самих приложениях, где ссылка на целевой интернет-адрес не видна. При этом содержимое показываемых страниц может быть абсолютно любым. В частности, это могут оказаться поддельные формы входа в учетную запись онлайн-банкинга или социальных сетей. В результате владельцы Android-смартфонов и планшетов рискуют стать жертвами фишинговых атак. Поскольку такой функционал представляет серьезную опасность, указанное ПО добавлено в вирусную базу Dr.Web как вредоносное и детектируется под именем
Помимо уже описанных троянцев, вирусные аналитики «Доктор Веб» выявили более 70 аналогичных программ, которые в общей сложности загрузили свыше 270 000 пользователей. Среди этих приложений – поддельные игры, сборники рецептов и пособия по вязанию, некоторые из них действительно обладают заявленными функциями. Однако, как и троянец
Троянцев распространяли как минимум 4 разработчика: Tezov apps, Aydarapps, Chmstudio и SVNGames. Специалисты «Доктор Веб» оповестили корпорацию Google обо всех найденных вредоносных приложениях, однако на момент публикации этой новости они все еще были доступны для загрузки.
Компания «Доктор Веб» напоминает, что при установке программ даже из надежных источников, таких как Google Play, необходимо обращать внимание на имя разработчика. Злоумышленники могут копировать внешний вид приложений, а также использовать похожие названия, чтобы обманом заставить потенциальных жертв установить подделки, которые легко находятся при поиске в каталогах ПО. Антивирусные продукты Dr.Web для Android детектируют и удаляют все известные модификации троянцев
- Подробнее о троянце Android.Click.415
- Подробнее о троянце Android.Click.416
- Подробнее о троянце Android.Click.417
Ваш Android нуждается в защите
Используйте Dr.Web
- Первый российский антивирус для Android
- Более 135 миллионов скачиваний только с Google Play
- Бесплатный для пользователей домашних продуктов Dr.Web
06.03 «Доктор Веб»: новые троянцы-загрузчики работают скрытно
6 марта 2018 года
Семейство вредоносных программ
Один из файлов, которые загружает
После скачивания троянец извлекает из себя исполняемый файл, восстанавливает его заголовок и сохраняет во временной папке, а потом запускает. Указанный файл детектируется Dr.Web под именем Trojan.Siggen7.35395. Благодаря тому, что вирусописатели не реализовали в коде вредоносных программ никаких визуальных эффектов, все упомянутые выше троянцы не проявляют себя в зараженной системе, поэтому обнаружить их вредоносную деятельность непросто.
Вирусные аналитики «Доктор Веб» продолжают исследование этого семейства вредоносных программ и загружаемых ими из Интернета опасных файлов. По мере выявления новых фактов мы будем информировать о них наших читателей. Антивирусные продукты Dr.Web надежно защищают от всех известных на сегодняшний день представителей семейства
05.03 «Доктор Веб» выявил в Google Play троянца, атакующего клиентов российских банков
5 марта 2018 года
Вредоносная программа, получившая имя
Троянец предлагал пользователям либо войти в уже существующую учетную запись мобильного банкинга, используя имеющиеся логин и пароль, либо зарегистрироваться, введя информацию о банковской карте. Однако после того как жертвы указывали секретные данные, он передавал их вирусописателям, в результате чего те могли украсть деньги обманутых владельцев мобильных устройств. Как и предыдущая версия троянца,
Компания «Доктор Веб» напоминает, что для работы с системами онлайн-банкинга необходимо устанавливать только официальные приложения кредитных организаций. Антивирусные продукты Dr.Web для Android детектируют и удаляют все известные модификации троянца
Ваш Android нуждается в защите
Используйте Dr.Web
- Первый российский антивирус для Android
- Более 135 миллионов скачиваний только с Google Play
- Бесплатный для пользователей домашних продуктов Dr.Web
01.03 «Доктор Веб»: более 40 моделей Android-смартфонов заражены на этапе производства
1 марта 2018 года
Сразу после обнаружения
Анализ приложения, которое компания-партнер предложила внести в прошивку Leagoo M9, показал, что оно подписано тем же сертификатом, что и троянец
К настоящему времени вирусные аналитики выявили
- Leagoo M5
- Leagoo M5 Plus
- Leagoo M5 Edge
- Leagoo M8
- Leagoo M8 Pro
- Leagoo Z5C
- Leagoo T1 Plus
- Leagoo Z3C
- Leagoo Z1C
- Leagoo M9
- ARK Benefit M8
- Zopo Speed 7 Plus
- UHANS A101
- Doogee X5 Max
- Doogee X5 Max Pro
- Doogee Shoot 1
- Doogee Shoot 2
- Tecno W2
- Homtom HT16
- Umi London
- Kiano Elegance 5.1
- iLife Fivo Lite
- Mito A39
- Vertex Impress InTouch 4G
- Vertex Impress Genius
- myPhone Hammer Energy
- Advan S5E NXT
- Advan S4Z
- Advan i5E
- STF AERIAL PLUS
- STF JOY PRO
- Tesla SP6.2
- Cubot Rainbow
- EXTREME 7
- Haier T51
- Cherry Mobile Flare S5
- Cherry Mobile Flare J2S
- Cherry Mobile Flare P1
- NOA H6
- Pelitt T1 PLUS
- Prestigio Grace M5 LTE
- BQ-5510 Strike Power Max 4G (пр-ва Россия)
Этот список – не окончательный, перечень инфицированных моделей смартфонов может оказаться гораздо шире.
Такое широкое распространение
Продукты Dr.Web для Android обнаруживают все известные модификации
Обновление от 15 марта 2018 года
Вскоре после того как компания «Доктор Веб» проинформировала производителей зараженных мобильных устройств о наличии троянца
- Cubot Rainbow
- Leagoo M5
- Leagoo M5 Plus
- Leagoo M5 Edge
- Leagoo M8
- Leagoo M8 Pro
- Leagoo Z5C
- Leagoo T1 Plus
- Leagoo Z3C
- Leagoo Z1C
- Leagoo M9
При этом в новой версии прошивки смартфона Leagoo M9, в которой
Владельцам инфицированных смартфонов, для которых вышли новые версии прошивок, рекомендуется проверить наличие доступных обновлений и установить их. После этого следует выполнить полное сканирование системы с использованием антивирусных продуктов Dr.Web для Android, чтобы убедиться, что
Ваш Android нуждается в защите
Используйте Dr.Web
- Первый российский антивирус для Android
- Более 135 миллионов скачиваний только с Google Play
- Бесплатный для пользователей домашних продуктов Dr.Web
01.03 «Доктор Веб» предупреждает о мошеннической рассылке якобы от имени Mail.Ru
1 марта 2018 года
1 марта 2018 года специалисты по информационной безопасности зафиксировали массовую рассылку электронных писем, отправленных якобы от имени компании Mail.Ru. В этих сообщениях злоумышленники предупреждают получателей о блокировке их учетных записей на сервере Mail.Ru и предлагают пройти авторизацию, чтобы избежать утраты аккаунта.
Ссылка в фишинговом письме ведет на мошеннический сайт, оформление которого в точности копирует интерфейс портала Mail.Ru. Введенные в форме авторизации логин и пароль будут автоматически отправлены злоумышленникам.
Специалисты «Доктор Веб» обратились с жалобой в компанию ООО «Регистратор доменных имен РЕГ.РУ», на серверах которой расположен мошеннический ресурс. Также эта компания является регистратором домена, используемого злоумышленниками. После жалобы сайт был удалён примерно в 15:30.
Адрес поддельного сайта добавлен в базы Офисного и Родительского контроля Dr.Web, однако рекомендуем не ослаблять бдительность и не переходить по ссылкам в подозрительных сообщениях электронной почты. Повторение такой же мошеннической схемы с использованием другого доменного имени возможно в ближайшем будущем.
Обязательно обращайте внимание на адреса сайтов, которые вы открываете в окне браузера. Если ранее вы получали такое письмо и переходили по ссылке, обязательно смените пароль своей учетной записи на сервере Mail.Ru.
8 февраля 2018 года
Этот Android-троянец, предназначенный для добычи криптовалюты Monero, способен инфицировать другие устройства без участия пользователя. Вредоносная программа
Распространение троянца происходит следующим образом. С другого зараженного устройства на атакуемый узел устанавливается приложение droidbot.apk, а также файлы с именами nohup, sss и bot.dat. Затем файл sss запускается с помощью утилиты nohup и в процессе работы становится демоном. После этого он извлекает из bot.dat другие компоненты троянца, в том числе конфигурационный файл в формате JSON, приложения-майнеры (для 32- и 64-разрядной версии ОС) и экземпляр троянской программы droidbot. После запуска droidbot в непрерывном цикле случайным образом генерирует IP-адрес и пытается подключиться к порту 5555. В случае успеха троянец предпринимает попытку заразить обнаруженное устройство с использованием интерфейса отладчика ADB. В отдельном потоке
В ОС Android отладчик ADB по умолчанию отключен, однако некоторые производители все же оставляют его включенным. Кроме того, ADB по каким-либо причинам может быть включен самим пользователем — чаще всего режим отладки необходим разработчикам программ. Согласно статистике, собранной Dr.Web для Android, отладчик Android Debug Bridge включен на 8% устройств, защищенных нашим антивирусом. Поскольку такая настройка может представлять потенциальную угрозу, специальный компонент Dr.Web – Аудитор безопасности – предупреждает пользователя о включенном отладчике и предлагает отключить его.
Специалисты компании «Доктор Веб» рекомендуют всем владельцам Android-устройств выполнить проверку операционной системы на предмет потенциально опасных настроек. Для этого на нашем сайте или в официальном каталоге Google Play можно приобрести Dr.Web Security Space для Android, в состав которого входит Аудитор безопасности. Если на вашем устройстве включена, но не используется отладка по USB, лучше эту функцию отключить. Троянец-майнер
#Android #майнинг #криптовалюты
Ваш Android нуждается в защите
Используйте Dr.Web
- Первый российский антивирус для Android
- Более 135 миллионов скачиваний только с Google Play
- Бесплатный для пользователей домашних продуктов Dr.Web
05.02 «Доктор Веб» предупреждает о распространении нового троянца-шифровальщика
5 февраля 2018 года
Троянец, названный создателями «GandCrab!», был добавлен в вирусные базы Dr.Web под именем
Запустившись на атакуемом устройстве, работающем под управлением Microsoft Windows,
Троянец шифрует содержимое фиксированных, съемных и сетевых дисков, за исключением ряда папок, среди которых имеются служебные и системные. Каждый диск шифруется в отдельном потоке. После окончания шифрования троянец отправляет на сервер данные о количестве зашифрованных файлов и времени, потраченном на шифрование.
Троянец использует управляющий сервер, доменное имя которого не разрешается стандартными способами. Для получения IP-адреса этого сервера шифровальщик выполняет команду nslookup и ищет нужную информацию в ее выводе.
В настоящее время расшифровка файлов, зашифрованных троянцем
Чтобы троянец не испортил файлы, используйте защиту от потери данных
| Подробнее о шифровальщиках | Что делать, если... | Видео о настройке | Бесплатная расшифровка | Рубрика «Закодировать все» |
24.01 Уязвимость в Cleverence Mobile SMARTS Server используется для добычи криптовалют
24 января 2018 года
Приложения семейства Cleverence Mobile SMARTS Server созданы для автоматизации магазинов, складов, различных учреждений и производств. Они предназначены для работы на ПК под управлением Microsoft Windows. В конце июля прошлого года специалисты компании «Доктор Веб» обнаружили критическую уязвимость в одном из компонентов Cleverence Mobile SMARTS Server, с использованием которой злоумышленники получают несанкционированный доступ к серверам и устанавливают на них троянцев семейства Trojan.BtcMine, предназначенных для добычи (майнинга) криптовалют. Об этой уязвимости мы незамедлительно сообщили разработчикам программного комплекса.
Изначально киберпреступники использовали несколько версий майнера, детектируемых антивирусом Dr.Web как
Этот троянец представляет собой динамическую библиотеку, которую киберпреступники сохраняют во временную папку и затем запускают. Вредоносная программа заменяет собой одну из легитимных системных служб Windows, выбирая «жертву» по ряду параметров, при этом файл оригинальной службы удаляется. Затем вредоносная служба получает ряд системных привилегий и устанавливает для своего процесса флаг критического. После этого троянец сохраняет на диск необходимые для своей работы файлы и приступает к майнингу криптовалюты, используя аппаратные ресурсы инфицированного сервера.
Несмотря на то, что разработчики Cleverence Mobile SMARTS Server своевременно выпустили обновление, закрывающее уязвимость в программном комплексе, многие администраторы серверов не торопятся с его установкой, чем и пользуются злоумышленники. Киберпреступники продолжают устанавливать на взломанные ими серверы троянцев-майнеров, постоянно модифицируя их версии. Со второй половины ноября 2017 года злоумышленники начали использовать принципиально нового троянца, которого они совершенствуют и по сей день. Эта вредоносная программа получила название
Майнер запускается в качестве критически важного системного процесса с отображаемым именем «Plug-and-Play Service», при попытке завершить который Windows аварийно прекращает работу и демонстрирует «синий экран смерти» (BSOD). После запуска
Получив из собственной конфигурации список портов,
В теле майнера содержится список IP-адресов управляющих серверов, которые он проверяет с целью обнаружить активный. Затем троянец настраивает на зараженной машине прокси-серверы, которые будут использоваться для добычи криптовалют. Также
Выполнив эти действия, троянец встраивает во все запущенные процессы модуль, предназначенный для добычи криптовалют. Первый процесс, в котором этот модуль начинает работу, и будет использоваться для майнинга Monero (XMR) и Aeon.
Несмотря на то, что
| Подробнее о троянце |
16.01 «Доктор Веб» обнаружил в Google Play зараженные игры, скачанные более 4 500 000 раз
16 января 2018 года
При запуске программ, в которые встроен этот SDK,
В действительности же в этом графическом файле спрятан еще один троянский модуль, представляющий обновленную версию
После расшифровки и запуска новая версия троянского модуля (детектируется Dr.Web как
Его основная задача – незаметное открытие веб-сайтов и нажатие на расположенные на них элементы – например, ссылки и баннеры. Для этого
Специалисты компании «Доктор Веб» обнаружили в каталоге Google Play 27 игр, в которых использовался троянский SDK. В общей сложности их загрузили более 4 500 000 владельцев мобильных устройств. Список приложений с внедренным
| Название программы | Название программного пакета | Версия |
|---|---|---|
| Hero Mission | com.dodjoy.yxsm.global | 1.8 |
| Era of Arcania | com.games37.eoa | 2.2.5 |
| Clash of Civilizations | com.tapenjoy.warx | 0.11.1 |
| Sword and Magic | com.UE.JYMF&hl | 1.0.0 |
| خاتم التنين - Dragon Ring (For Egypt) | com.reedgame.ljeg | 1.0.0 |
| perang pahlawan | com.baiduyn.indonesiamyth | 1.1400.2.0 |
| 樂舞 - 超人氣3D戀愛跳舞手遊 | com.baplay.love | 1.0.2 |
| Fleet Glory | com.entertainment.mfgen.android | 1.5.1 |
| Kıyamet Kombat Arena | com.esportshooting.fps.thekillbox.tr | 1.1.4 |
| Love Dance | com.fitfun.cubizone.love | 1.1.2 |
| Never Find Me - 8v8 real-time casual game | com.gemstone.neverfindme | 1.0.12 |
| 惡靈退散-JK女生の穿越冒險 | com.ghosttuisan.android | 0.1.7 |
| King of Warship: National Hero | com.herogames.gplay.kowglo | 1.5.0 |
| King of Warship:Sail and Shoot | com.herogames.gplay.kowsea | 1.5.0 |
| 狂暴之翼-2017年度最具人氣及最佳對戰手遊 | com.icantw.wings | 0.2.8 |
| 武動九天 | com.indie.wdjt.ft1 | 1.0.5 |
| 武動九天 | com.indie.wdjt.ft2 | 1.0.7 |
| Royal flush | com.jiahe.jian.hjths | 2.0.0.2 |
| Sword and Magic | com.linecorp.LGSAMTH | Зависит от модели устройства |
| Gumballs & Dungeons：Roguelike RPG Dungeon crawler | com.qc.mgden.android | 0.41.171020.09-1.8.6 |
| Soul Awakening | com.sa.xueqing.en | 1.1.0 |
| Warship Rising - 10 vs 10 Real-Time Esport Battle | com.sixwaves.warshiprising | 1.0.8 |
| Thủy Chiến - 12 Vs 12 | com.vtcmobile.thuychien | 1.2.0 |
| Dance Together | music.party.together | 1.1.0 |
| 頂上三国 - 本格RPGバトル | com.yileweb.mgcsgja.android | 1.0.5 |
| 靈魂撕裂 | com.moloong.wjhj.tw | 1.1.0 |
| Star Legends | com.dr.xjlh1 | 1.0.6 |
Вирусные аналитики проинформировали корпорацию Google о наличии троянского компонента в указанных приложениях, однако на момент выхода этой публикации они все еще были доступны для загрузки. Владельцам Android-смартфонов и планшетов, которые установили игры с троянцем
Ваш Android нуждается в защите
Используйте Dr.Web
- Первый российский антивирус для Android
- Более 135 миллионов скачиваний только с Google Play
- Бесплатный для пользователей домашних продуктов Dr.Web
2017
22.12 «Доктор Веб» исследовал новый бэкдор для Windows
22 декабря 2017 года
Троянец, получивший имя
- скачивание файлов с заданного удаленного сервера;
- загрузка файлов на удаленный сервер;
- запуск файла на инфицированном устройстве;
- выполнение команд в консоли cmd.exe;
- перенаправление трафика между портами;
- загрузка и установка собственных модулей.
Запись для
| Подробнее о троянце |
14 декабря 2017 года
Примерно четверть посетителей сайта компании «Доктор Веб» работают в организациях, где имеется небольшой, численностью до пяти сотрудников, IT-отдел. Столько же респондентов сообщили о том, что вся компьютерная инфраструктура их предприятия поддерживается усилиями единственного системного администратора. Порядка 16% ответивших пользуются услугами приходящих сисадминов, чуть меньше — сторонних организаций по принципу аутсорсинга. Вот как охарактеризовали ситуацию с системным администрированием посетители нашего сайта:
Большинство – а именно 84% опрошенных – знает, что делать и кого следует оповестить в случае заражения вредоносными программами личного устройства или компьютера, с которого осуществляется доступ в корпоративную сеть:
В выходные принято отдыхать. Этот тезис подтверждают и результаты опроса: более 60% респондентов сообщили, что в праздничные и нерабочие дни за функционированием электронной почты и других сервисов в их компаниях никто не следит. А значит, атаки на эти 60% компаний в выходные могут быть не замечены. Но даже если в компании есть дежурная смена - в 17 процентах ее наличие может и не спасти, тревожные списки ведутся формально, найти нужного сотрудника будет сложно.
Согласно результатам опроса, в 31% компаний не проводится никакого обучения сотрудников правилам безопасной работы, а к вопросам информационной безопасности руководство относится формально. Регулярное обучение осуществляется только в организациях 23% опрошенных, примерно столько же респондентов сообщили о том, что обучение проводится нерегулярно:
У 31% респондентов компьютеры на рабочих местах настроены так, что открыть вредоносное письмо или запустить опасный файл пользователь попросту не может. Еще 25% опрошенных утверждают, что сотрудники компании беспрепятственно могут переходить по любым ссылкам и открывать вложения в сообщениях электронной почты. Примерно столько же посетителей сайта уверены в том, что их коллеги неукоснительно соблюдают все правила безопасности:
Установка и удаление программ, а также настройка операционной системы — очень важный аспект информационной безопасности. Многие компании ограничивают для своих сотрудников возможность самостоятельной установки приложений и настройки ПК: таковых, по сообщениям наших респондентов, насчитывается 30%. При этом системные администраторы в этих организациях выполняют все необходимые действия вручную по заявке пользователей. Системы удаленного доступа используются в 19% случаев, а централизованное управление антивирусным ПО и прочими сложными системами — на 21% предприятий. Полной «информационной свободой» с правами администратора на рабочем компьютере наслаждаются лишь 16% респондентов.
Антивирус Dr.Web установлен на компьютерах 34% респондентов, другие платные антивирусы присутствуют на ПК 35% участников опроса. Бесплатными решениями пользуются 16% предприятий. Несколько человек сознались в том, что устанавливали взломанные антивирусные программы или антивирусы с пиратскими ключами.
Мобильные устройства сотрудников компаний, в которых работают посетители нашего сайта, не защищены никаким антивирусом в 28% случаев. Мобильный Антивирус Dr.Web используют 14% опрошенных, платное антивирусное ПО других производителей — 7% респондентов, столько же установили на свои смартфоны различные бесплатные продукты.
Домашние и личные компьютеры, с помощью которых сотрудники могут подключаться к корпоративной локальной сети или обрабатывать важные данные своей компании, защищены продуктами Dr.Web у 20% опрошенных. 16% таких устройств не имеют никакой защиты, а 10% полагаются на возможности бесплатных антивирусных программ. Один человек использует пиратское антивирусное ПО.
Почти половина опрошенных — 48% — утверждает, что в течение последнего года в их компаниях не произошло ни одного случая заражения компьютеров вредоносным ПО. В организациях 37% респондентов имело место 5 или менее заражений в течение года, большее количество инцидентов зафиксировано у 15% опрошенных.
В случае заражения корпоративных компьютеров вредоносными программами 26% респондентов сканируют каждую машину в отдельности при помощи Dr.Web CureIt!, 15% проверяют сразу всю сеть с использованием Dr.Web CureNet!. 5% опрошенных для лечения зараженных ПК покупают лицензионный антивирус, а 4% используют антивирусы с демолицензией, которые удаляют по завершении лечения. Еще 4% опрошенных «лечат» инфицированные компьютеры переустановкой операционной системы.
Среди всех участников опроса 60% работают в частных компаниях, 40% — в государственных. В непроизводственном секторе (ЖКХ, бытовое обслуживание, общественный транспорт, здравоохранение, социальное обеспечение, образование и наука, искусство и культура, общественные организации) занято 47% респондентов, в реальном секторе (отрасли, производящие нематериальные и материальные товары и услуги) — 45%, оставшиеся 8% работают в финансовой, кредитной и банковской сфере. Возрастное распределение участников опроса показано на диаграмме ниже, при этом несколько респондентов сообщили, что им меньше 18 лет.
Численность сотрудников компаний, в которых работают посетители нашего сайта, представлена на следующей иллюстрации:
Проведенный компанией «Доктор Веб» опрос позволяет сделать следующие выводы:
- большинство организаций имеет либо малочисленный IT-отдел, либо пользуется услугами единственного системного администратора, и сотрудникам хорошо известно, к кому обращаться в случае возникновения нештатных ситуаций в сфере информационной безопасности;
- вместе с тем руководители предприятий уделяют недостаточно внимания обучению персонала, подходя к вопросам их информирования о правилах безопасной работы слишком формально;
- в выходные и праздничные дни за IT-инфраструктурой большинства компаний никто не следит, злоумышленники могут атаковать компанию, рассчитывая на отсутствие профессионального противодействия;
- корпоративные компьютеры и локальные сети, как правило, защищены от внешних угроз с использованием различных политик безопасности и антивирусного ПО;
- тем не менее, недостаточно внимания уделяется вопросам безопасности личных компьютеров и мобильных устройств, в том числе тех, с использованием которых сотрудники могут подключаться к корпоративной сети.
