Горячая лента угроз
16.10 «Доктор Веб» исследовал бэкдор, написанный на Python
16 октября 2017 года
Эта вредоносная программа была добавлена в вирусные базы Dr.Web под именем
После перезагрузки троянец пытается заразить все подключенные к устройству накопители с именами от C до Z. Для этого он создает скрытую папку, сохраняет в ней копию своего исполняемого файла (также с атрибутом «скрытый»), после чего в корневой папке диска создает ссылку вида <имя тома>.lnk, которая ведет на вредоносный исполняемый файл. Все файлы, отличные от файла .lnk, VolumeInformation.exe и .vbs, он перемещает в созданную ранее скрытую папку.
Затем троянец пытается определить IP-адрес и доступный порт управляющего сервера, отправляя запрос к нескольким серверам в Интернете, включая pastebin.com, docs.google.com и notes.io. Полученное значение имеет следующий вид:
Если бэкдору удалось получить IP-адрес и порт, он отсылает на управляющий сервер специальный запрос. Если троянец получит на него ответ, он скачает с управляющего сервера и запустит на инфицированном устройстве сценарий на языке Python, добавленный в вирусные базы Dr.Web под именем
- красть информацию из браузеров Chrome, Opera, Yandex, Amigo, Torch, Spark;
- фиксировать нажатия клавиш и делать снимки экрана;
- загружать дополнительные модули на Python и исполнять их;
- скачивать файлы и сохранять их на носителе инфицированного устройства;
- получать содержимое заданной папки;
- перемещаться по папкам;
- запрашивать информацию о системе.
Помимо прочего, в структуре
12.10 Монеты-амулеты, сыворотка для бороды и другие «чудесные» интернет-товары
12 октября 2017 года
Технологии, как известно, не стоят на месте. Судя по содержанию спам-рекламы, красные нитки от сглаза в последнее время понемногу выходят из моды. Вместо них сетевые жулики теперь предлагают всем желающим приобрести чудесные монеты-амулеты, якобы приносящие богатство и удачу.
В описаниях этого волшебного товара прекрасно решительно все: от придуманной неведомыми копирайтерами истории про молодого русского царя, которому дьякон православного монастыря подарил чудодейственный заговоренный амулет (что есть безусловный признак самого настоящего колдовства, за которое в те времена награждали торжественной посадкой на кол при большом скоплении народа), до описания самого амулета. Передаем микрофон сетевым коммерсантам: «Амулет согласно ритуала изготавливается и привязывается на конкретного человека, на его Имя. Ритуал основан на силе молитвы и предков. Основой, из которой изготавливается талисман, и выполняется ритуал, является царская монета. Мы используем только настоящие монеты царских времён!». Судя по китайским иероглифам на аверсе этих самых «амулетов», настоящие царские монеты в древние времена закупались мелким оптом исключительно на «Али-экспрессе», откуда и поставлялись ко двору. Как уверяют жулики, чудодейственный амулет «притягивает позитивные денежные потоки» (и, вероятно, оттягивает негативные денежные потоки – прямо в карман сетевых мошенников), в результате чего владелец этой безделушки обязательно сможет найти высокооплачиваемую работу, вернуть долги, выиграть в лотерее, построить дом, посадить печень и вырастить чакры на затылке. Мы ничуть не сомневаемся, что покупка монеты-амулета может принести богатство. Причем исключительно тем, кто ее продает по цене в полтора десятка раз выше, чем в интернет-магазинах Поднебесной.
Как говорил один из персонажей популярного фантастического сериала, зима близко. А в холода, как известно, согревает борода. Поэтому второе место в нашем сегодняшнем рейтинге нелепых интернет-товаров по праву занимает не что-нибудь, а самая настоящая «сыворотка для роста бороды».
Продавцы этого чудодейственного эликсира утверждают, что красивая борода — это реально, приводя в качестве обезоруживающего доказательства этого утверждения слегка отфотошопленную стоковую фотографию мужика, напоминающего гибрид Деда Мороза с моджахедом. Полностью согласна с этим выводом и «Ольга Алексеева, парикмахер высшей категории», чей восторженный отзыв красуется на сайте сетевых коммерсантов, — видимо, она уже отрастила себе длинную и шелковистую бороду с помощью волшебного «эликсира» и сейчас успешно выступает в цирке. К сожалению, специалисты «Доктор Веб» пока еще не имели шанса оценить эффективность волшебной «сыворотки для роста бороды», но при первой же возможности обязательно испытают ее на специально подготовленном для этой цели сотруднике.
Народная молва гласит, что реклама обычно врет. Нам известен как минимум один пример правдивой рекламы — слоган «У вас все склеится!», используемый продавцами моментального клея. Суперклей и вправду склеивает абсолютно все: пальцы, волосы, одежду – но только не то, что планировалось изначально. Однако интернет-коммерсанты предлагают уникальный и современный способ решения этой проблемы: чудесный суперклей по цене сварочного аппарата!
Волшебный моментальный клей, изготовленный, судя по стоимости, из смеси золота и платины, обладает удивительными свойствами: он затвердевает за 5 секунд, а также работает с различными материалами вроде пластика, дерева и стекла. То есть умеет все то же самое, что и обычный клей за 20 рублей, но в 100 раз дороже. Трудно сказать, пользуется ли это уникальное предложение спросом, но повеселило оно нас от души.
Среди прочих забавных предметов, активно рекламируемых в последнее время спамерами, нельзя не отметить замечательное изделие с таинственным названием «мультирезка». Нет, это не помесь мультиварки со стеклорезкой, а удивительное многофункциональное устройство, имеющее ручку от бритвы, лезвие от терки и цену от самолета.
«За доступную цену вы получаете приспособление для нарезания продуктов», — сообщают интернет-торговцы всем, кто ни разу в жизни не держал в руках кухонного ножа. Действительно, нарезание продуктов — это высокотехнологичный процесс, с которым может справиться только специалист с высшим кулинарным образованием и исключительно при помощи особого сертифицированного «приспособления». Но самое главное — «мультирезка» настолько универсальна, что ее можно мыть даже — даже! — в посудомоечной машине. Подумать только! Представляете? Правда, инструкции к современным посудомоечным машинам гласят, что в них можно мыть любые кухонные и столовые приборы. Один наш сотрудник как-то раз даже случайно вымыл в посудомойке свой айфон, и для машины это вовсе не закончилось чем-то ужасным. В отличие от айфона. Так что «мультирезку» мы пока заказывать не планируем — подождем, когда технологии достигнут такого уровня, что ее можно будет мыть мочалкой под обычным водопроводным краном.
Ну а в завершение этой статьи нам хотелось бы еще раз напомнить читателям, что к публикуемым на всевозможных торговых площадках сомнительным предложениям следует относиться с определенной долей скепсиса и здорового юмора. А мы, в свою очередь, продолжим добавлять ссылки на сайты сетевых «торговцев чудесами» в списки нежелательных для посещения ресурсов.
12.09 Злоумышленники используют «Интернет вещей» для рассылки спама
12 сентября 2017 года
Речь идет о вредоносной программе
Вирусные аналитики «Доктор Веб» выяснили, что с использованием
Subject: Kendra asked if you like hipster girls
A new girl is waiting to meet you.
And she is a hottie!
Go here to see if you want to date this hottie
(Copy and paste the link to your browser)
http://whi*******today.com/
check out sexy dating profiles
There are a LOT of hotties waiting to meet you if we are being honest!
Согласно статистике, имеющейся в распоряжении компании «Доктор Веб», в среднем в течение суток каждое зараженное
Количество уникальных IP-адресов зараженных устройств показано на следующей диаграмме. Следует отметить, что иллюстрация показывает только число наблюдаемых аналитиками «Доктор Веб» ботов, реальное же количество инфицированных устройств может быть больше.
Распределение источников атак с использованием
Можно предположить, что ассортимент реализуемых Linux-троянцами функций будет расширяться и в дальнейшем. «Интернет вещей» уже давно находится в фокусе интересов вирусописателей, о чем свидетельствует широкое распространение вредоносных программ для Linux, способных заражать устройства с различной аппаратной архитектурой.
24.08 Dr.Web первым обнаружил загрузчик троянца для «умных» Linux-устройств на базе MIPS и MIPSEL
24 августа 2017 года
Троянцы семейства
Помимо вредоносного загрузчика для ARM-устройств в «дикой природе» уже более полугода распространяются аналогичные по своим функциям модули для устройств с архитектурой MIPS и MIPSEL. Первый из них получил наименование
Собранная специалистами «Доктор Веб» статистика показывает, что на первом месте среди стран, к которым относятся IP-адреса зараженных
На следующей диаграмме показано количество зафиксированных компанией «Доктор Веб» атак с целью распространения
Компания «Доктор Веб» напоминает: одним из наиболее надежных способов предотвращения атак на Linux-устройства является своевременная смена установленных по умолчанию логина и пароля. Кроме того, рекомендуется ограничивать возможность подключения к устройству извне по протоколам Telnet и SSH и своевременно обновлять прошивку. Антивирус Dr.Web для Linux определяет и удаляет все упомянутые версии загрузчиков
21.08 Нового троянца создал «фанат» Кребса
21 августа 2017 года
Троянцы-майнеры появляются с завидной регулярностью, при этом вирусные аналитики «Доктор Веб» отмечают любопытную тенденцию: создатели таких программ все чаще ориентируются на платформу Linux. В последнее время широкое распространение получили работающие под управлением Linux «умные» устройства, владельцы которых не меняют установленные по умолчанию настройки, прежде всего — логин и пароль администратора. Именно поэтому взлом таких устройств не представляет для киберпреступников большой проблемы.
Очередной троянец-майнер, предназначенный для работы под управлением ОС Linux, получил наименование
Анализ загрузчика майнера показал забавную особенность этого приложения: в его коде несколько раз встречается адрес сайта krebsonsecurity.com, принадлежащего известному эксперту по информационной безопасности Брайану Кребсу. По всей видимости, автор троянца является его тайным поклонником.
Троянец предназначен для майнинга Monero (XMR) — криптовалюты, созданной в 2014 году. В настоящее время известны сборки
Сигнатура
17.08 «Доктор Веб»: около 9% банковских доменов используют неправильные настройки DNS
17 августа 2017 года
Доменная система имен (DNS, Domain Name System) позволяет получать информацию о доменах и обеспечивает адресацию в Интернете. С помощью DNS клиентское программное обеспечение, в частности браузер, определяет IP-адрес интернет-ресурса по введенному URL. Администрированием DNS-серверов занимаются, как правило, сами владельцы доменов.
Многие интернет-ресурсы помимо основного домена второго уровня используют несколько дополнительных доменов третьего или даже четвертого уровней. Например, домен drweb.com использует поддомены vms.drweb.ru, на котором размещается сайт, позволяющий проверить ссылку, файл или найти описание вируса, free.drweb.ru — домен для веб-страницы утилиты Dr.Web CureIt!, updates.drweb.com — страница системы обновлений Dr.Web и т д. С использованием таких доменов обычно реализованы различные технические и вспомогательные службы — системы администрирования и управления сайтом, системы онлайн-банкинга, веб-интерфейсы почтовых серверов и всевозможные внутренние сайты для сотрудников компании. Также поддомены могут быть задействованы, например, для организации систем контроля версий, баг-трекеров, различных служб мониторинга, вики-ресурсов и прочих нужд.
При осуществлении целевых атак на веб-сайты с целью их компрометации злоумышленники в первую очередь собирают информацию о целевом интернет-ресурсе. В частности, они пытаются определить тип и версию веб-сервера, который обслуживает сайт, версию системы управления контентом, язык программирования, на котором написан «движок», и прочую техническую информацию, среди которой — список поддоменов основного домена атакуемого веб-сайта. С использованием такого списка злоумышленники могут попытаться проникнуть в инфраструктуру интернет-ресурса через «черный ход», подобрав учетные данные и успешно авторизовавшись на одном из внутренних непубличных сервисов. Многие системные администраторы не уделяют должного внимания безопасности таких ресурсов. Между тем такие «внутренние» сайты могут использовать устаревшее программное обеспечение с известными уязвимостями, содержать отладочную информацию или допускать открытую регистрацию. Все это может значительно упростить задачу злоумышленникам.
Если обслуживающие веб-сайт DNS-серверы настроены правильно, взломщики не смогут получить по своему запросу информацию о доменной зоне. Однако в случае неправильной настройки DNS-серверов специальный AXFR-запрос позволяет киберпреступникам получить полные данные о зарегистрированных в доменной зоне поддоменах. Неправильная настройка DNS-серверов сама по себе не является уязвимостью, однако может стать косвенной причиной компрометации интернет-ресурса.
Аналитики «Доктор Веб» провели исследование настройки DNS-серверов ряда российских банков и государственных организаций. Было установлено, что из примерно 1000 проверенных доменов российских банков 89 отдают доменную зону в ответ на внешний AXFR-запрос. Информация об этом была передана в Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (FinCERT) Банка России. Кроме того, некорректные настройки были выявлены на сайтах нескольких государственных организаций. Компания «Доктор Веб» напоминает администраторам сайтов о том, что корректная настройка DNS является одним из факторов, способных обеспечить безопасность интернет-ресурсов.
02.08 «Доктор Веб» предупреждает о мошеннических рассылках от имени RU-CENTER
2 августа 2017 года
Для рассылки мошеннических писем киберпреступники используют, по всей видимости, базу контактов администраторов доменов, зарегистрированных в компании RU-CENTER. Ссылаясь на некие изменения в правилах ICANN, злоумышленники предлагают администратору домена создать в корневой директории сайта php-файл определенного содержания, якобы с целью подтвердить право использования этого домена получателем сообщения. Само письмо содержит логотип компании «Региональный Сетевой Информационный Центр» (RU-CENTER) и отправлено якобы от ее имени.
Файл, который предлагают сохранить в корневой папке сайта злоумышленники, содержит команду, способную выполнить заданный в переменной произвольный код. Этот код киберпреступники могут передать размещенному на сервере скрипту в виде GET или POST-запроса. Специалисты «Доктор Веб» предупреждают: выполнение требований злоумышленников приведет к компрометации веб-сайта. Получив подобное письмо, проигнорируйте его. Если вы предполагаете, что сообщение может быть действительно отправлено регистратором домена, уточните эту информацию в службе технической поддержки компании-регистратора.
27 июля 2017 года
Троянцы семейства
В отличие от других представителей этого семейства, которые для выполнения вредоносных действий пытаются получить root-привилегии, обнаруженный вирусными аналитиками «Доктор Веб» троянец
Внедрение
После инициализации вредоносная программа выполняет предварительную настройку ряда параметров, создает рабочий каталог и проверяет, в каком окружении она работает. Если троянец функционирует в среде Dalvik, он перехватывает один из системных методов, что позволяет ему отслеживать старт всех приложений и начинать вредоносную деятельность сразу после их старта.
Основная функция
В результате
Кроме того,
Поскольку
Защитите ваше Android-устройство с помощью Dr.Web
24 июля 2017 года
Об атаке троянца
Недавние результаты исследования показали, что троянца скачивал и запускал в целевых системах один из компонентов приложения ePrica, которое используют руководители аптек для анализа цен на лекарства и выбора наиболее подходящих поставщиков. Этот модуль загружал с сервера «Спарго Технологии» установщик
Дальнейший анализ приложения показал, что компоненты
Старт этих плагинов выполняет модуль runmod.exe, который при получении команды сервера расшифровывает и запускает их в памяти. После этого они копируют информацию из баз данных, которая затем передается на удаленный сервер. Указанный компонент приложения подписан сертификатом «Протек» — группы компаний, в которую входит разработчик ePrica «Спарго Технологии».
Важно отметить, что даже после удаления ПО ePrica бэкдор оставался в системе и продолжал шпионить за пользователями. Существует вероятность того, что на компьютерах пользователей, удаливших ПО ePrica, до сих пор присутствует
Установщик ePrica версии 4.0.14.6, в котором были найдены троянские модули, был выпущен 18 ноября 2013 года, в то время как некоторые файлы бэкдора в нем датированы еще далеким 2010 годом. Таким образом, копирование информации о закупках аптек и фармацевтических компаний могло начаться как минимум за год до первого обнаружения бэкдора.
Более подробная информация об установщике ePrica с троянцем
19.07 «Доктор Веб»: опасный Android-банкер получает контроль над мобильными устройствами
19 июля 2017 года
Режим специальных возможностей упрощает работу с Android-смартфонами и планшетами и применяется в том числе для помощи пользователям с ограниченными возможностями. Он позволяет программам самостоятельно нажимать на различные элементы интерфейса, такие как кнопки в диалоговых окнах и системных меню. Вынудив пользователя предоставить троянцу эти полномочия,
После успешного заражения троянец подключается к управляющему серверу, регистрирует на нем мобильное устройство и ожидает дальнейших команд.
- отправлять СМС с заданным текстом на указанный в команде номер;
- передавать на сервер сведения об СМС, которые хранятся в памяти устройства;
- загружать на сервер информацию об установленных приложениях, список контактов и сведения о телефонных вызовах;
- открывать заданную в команде ссылку;
- изменять адрес командного центра.
Кроме того, вредоносная программа отслеживает все входящие СМС и также передает их киберпреступникам.
Помимо стандартных команд, злоумышленники могут отправлять троянцу специальные директивы. В них в зашифрованном виде содержится информация о приложениях, которые банкеру необходимо атаковать. При получении таких команд
- показывать поддельные формы ввода логина и пароля поверх запускаемых банковских программ;
- отображать фишинговое окно настроек платежного сервиса с запросом ввода информации о банковской карте (например, при работе с программой Google Play);
- блокировать работу антивирусов и других приложений, которые могут помешать троянцу.
Ниже представлены примеры мошеннических окон, которые может показывать
Троянец также собирает информацию обо всех запускаемых приложениях и действиях, которые пользователь в них выполняет. Например, он отслеживает доступные текстовые поля, такие как элементы меню, а также фиксирует нажатия на кнопки и другие компоненты пользовательского интерфейса.
Кроме того,
Так как
- загрузить зараженный смартфон или планшет в безопасном режиме;
- зайти в системные настройки и перейти к списку администраторов устройства;
- найти троянца в этом списке и отозвать у него соответствующие права (при этом вредоносная программа попытается напугать владельца устройства, предупредив о неизбежной потере всех важных данных, однако это лишь уловка, и никакой опасности для файлов нет);
- перезагрузить устройство, выполнить его полное сканирование антивирусом и удалить троянца после окончания проверки.
Все известные модификации
13 июля 2017
Дату начала компрометации, а также прошлую активность по этому вектору атаки, установить на данный момент не представляется возможным. Вредоносный код заставляет браузер любого посетителя сайта незаметно связываться с одним из не менее 15 доменных адресов, зарегистрированных на неизвестное частное лицо. В ответ с этих доменов может поступить любой независимый документ, начиная от фальшивой формы ввода данных кредитной карточки и заканчивая перебором набора уязвимостей с целью получить доступ к компьютеру посетителя сайта.
В процессе динамического генерирования страницы сайта, к которой обращается пользователь, в код сайта добавляется контейнер <iframe>, позволяющий загрузить или запросить любые сторонние данные у браузера пользователя. На текущий момент специалистами обнаружено не менее 15 доменов, среди которых: m3oxem1nip48.ru, m81jmqmn.ru и другие адреса намеренно неинформативных наименований. Как минимум для 5 из них диапазон адресов принадлежит компаниям, зарегистрированным в Нидерландах. За последние сутки запросы к этим доменам либо не завершаются успехом, так как сертификат безопасности большинства этих сайтов просрочен, либо ответ не содержит вредоносного кода, однако ничего не мешает владельцам доменов в любой момент обновить сертификаты и разместить на этих доменах вредоносный программный код.
На данный момент сайт gosuslugi.ru по-прежнему скомпрометирован, информация передана в техническую поддержку сайта, но подтверждения принятия необходимых мер по предотвращению инцидентов в будущем и расследования в прошлом не получено. «Доктор Веб» рекомендует проявлять осторожность при использовании портала государственных услуг Российской Федерации до разрешения ситуации. ООО «Доктор Веб» рекомендует администрации сайта gosuslugi.ru и компетентным органам осуществить проверку безопасности сайта.
Любой пользователь может проверить наличие кода самостоятельно, использовав поисковый сервис и задав запрос о поиске следующей формулировки:
site:gosuslugi.ru "A1996667054"
05.07 Более миллиона загрузок: «Доктор Веб» выявил в Google Play очередного Android-троянца
5 июля 2017 года
Вредоносное приложение, получившее имя
В отличие от стандартной процедуры обновления, когда старая версия приложения полностью заменяется новой, указанный SDK позволяет загружать необходимые компоненты по отдельности без переустановки всего программного пакета. Это дает разработчикам возможность поддерживать версию установленного на мобильных устройствах ПО в актуальном состоянии даже если пользователи самостоятельно не следят за выходом его новых версий. Однако платформа Excelliance работает как троянец-загрузчик, поскольку может скачивать и запускать непроверенные компоненты приложений. Такой способ обновления нарушает правила каталога Google Play, т. к. он представляет опасность.
Троянский модуль отслеживает сетевую активность и пытается соединиться с управляющим сервером. В зависимости от настроек сервера в ответ
Помимо дополнительных ресурсов приложения и его обновлений
В то же время при установке скачиваемых apk-файлов пользователь видит стандартное диалоговое окно, однако при наличии root-доступа в системе
Специалисты «Доктор Веб» уведомили компанию Google об опасном поведении троянского компонента в SDK, который используется в игре BlazBlue, однако на момент выхода этого материала в каталоге Google Play для скачивания все еще была доступна ее версия с
Приложения, в которые встроен этот троянец, детектируются как
04.07 «Доктор Веб»: M.E.Doc содержит бэкдор, дающий злоумышленникам доступ к компьютеру
4 июля 2017 года
В сообщениях утверждается, что первоначальное распространение червя
Специалисты «Доктор Веб» обратили внимание на этот ключ реестра в связи с тем, что этот же путь использует в своей работе троянец-шифровальщик Trojan.Encoder.12703. Анализ журнала антивируса Dr.Web, полученного с компьютера одного из наших клиентов, показал, что энкодер Trojan.Encoder.12703 был запущен на инфицированной машине приложением ProgramData\Medoc\Medoc\ezvit.exe, которое является компонентом программы M.E.Doc:
id: 425036, timestamp: 15:41:42.606, type: PsCreate (16), flags: 1 (wait: 1), cid: 1184/5796:\Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe
source context: start addr: 0x7fef06cbeb4, image: 0x7fef05e0000:\Device\HarddiskVolume3\Windows\Microsoft.NET\Framework64\v2.0.50727\mscorwks.dll
created process: \Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe:1184 --> \Device\HarddiskVolume3\Windows\System32\cmd.exe:6328
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: "cmd.exe" /c %temp%\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18o EJeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6 UGTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad9 2ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvD X0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
status: signed_microsoft, script_vm, spc / signed_microsoft / clean
id: 425036 ==> allowed [2], time: 0.285438 ms
2017-Jun-27 15:41:42.626500 [7608] [INF] [4480] [arkdll]
id: 425037, timestamp: 15:41:42.626, type: PsCreate (16), flags: 1 (wait: 1), cid: 692/2996:\Device\HarddiskVolume3\Windows\System32\csrss.exe
source context: start addr: 0x7fefcfc4c7c, image: 0x7fefcfc0000:\Device\HarddiskVolume3\Windows\System32\csrsrv.dll
created process: \Device\HarddiskVolume3\Windows\System32\csrss.exe:692 --> \Device\HarddiskVolume3\Windows\System32\conhost.exe:7144
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 0, new: 0, dbg: 0, wsl: 0
curdir: C:\windows\system32\, cmd: \??\C:\windows\system32\conhost.exe "1955116396976855329-15661177171169773728-1552245407-149017856018122784351593218185"
status: signed_microsoft, spc / signed_microsoft / clean
id: 425037 ==> allowed [2], time: 0.270931 ms
2017-Jun-27 15:41:43.854500 [7608] [INF] [4480] [arkdll]
id: 425045, timestamp: 15:41:43.782, type: PsCreate (16), flags: 1 (wait: 1), cid: 1340/1612:\Device\HarddiskVolume3\Windows\System32\cmd.exe
source context: start addr: 0x4a1f90b4, image: 0x4a1f0000:\Device\HarddiskVolume3\Windows\System32\cmd.exe
created process: \Device\HarddiskVolume3\Windows\System32\cmd.exe:1340 --> \Device\HarddiskVolume3\Users\user\AppData\Local\Temp\wc.exe:3648
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: C:\Users\user\AppData\Local\Temp\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18oE JeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6U GTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad92 ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvDX 0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
fileinfo: size: 3880448, easize: 0, attr: 0x2020, buildtime: 01.01.2016 02:25:26.000, ctime: 27.06.2017 15:41:42.196, atime: 27.06.2017 15:41:42.196, mtime: 27.06.2017 15:41:42.196, descr: wc, ver: 1.0.0.0, company: , oname: wc.exe
hash: 7716a209006baa90227046e998b004468af2b1d6 status: unsigned, pe32, new_pe / unsigned / unknown
id: 425045 ==> undefined [1], time: 54.639770 ms
Запрошенный с зараженной машины файл ZvitPublishedObjects.dll имел тот же хэш, что и исследованный в вирусной лаборатории «Доктор Веб» образец. Таким образом, наши аналитики пришли к выводу, что модуль обновления программы M.E.Doc, реализованный в виде динамической библиотеки ZvitPublishedObjects.dll, содержит бэкдор. Дальнейшее исследование показало, что этот бэкдор может выполнять в инфицированной системе следующие функции:
- сбор данных для доступа к почтовым серверам;
- выполнение произвольных команд в инфицированной системе;
- загрузка на зараженный компьютер произвольных файлов;
- загрузка, сохранение и запуск любых исполняемых файлов;
- выгрузка произвольных файлов на удаленный сервер.
Весьма интересным выглядит следующий фрагмент кода модуля обновления M.E.Doc — он позволяет запускать полезную нагрузку при помощи утилиты rundll32.exe с параметром #1:
Именно таким образом на компьютерах жертв был запущен троянец-шифровальщик, известный как NePetya, Petya.A, ExPetya и WannaCry-2 (
В одном из своих интервью, которое было опубликовано на сайте агентства Reuters, разработчики программы M.E.Doc высказали утверждение, что созданное ими приложение не содержит вредоносных функций. Исходя из этого, а также учитывая данные статического анализа кода, вирусные аналитики «Доктор Веб» пришли к выводу, что некие неустановленные злоумышленники инфицировали один из компонентов M.E.Doc вредоносной программой. Этот компонент был добавлен в вирусные базы Dr.Web под именем
30 июня 2017 года
В опубликованных статьях говорится, что существует способ предотвратить срабатывание на компьютере троянца
Подобные инструкции размещены в том числе по адресам:
- http://www.telegraph.co.uk/technology/2017/06/28/security…
- https://www.bleepingcomputer.com/news/security/vaccine…
- http://www.foxnews.com/tech/2017/06/28/
petya-ransomware … - http://www.zdnet.com/article/
create-a-single … - http://mashable.com/2017/06/28/
ransomware-notpetya … - https://www.scmagazineuk.com/
notpetya-researchers … - https://xakep.ru/2017/06/28/
petya-vaccine - http://www.securitylab.ru/news/486967.php
Компания «Доктор Веб» утверждает, что этот способ борьбы с троянцем
- Файл, с помощью которого
Trojan.Encoder.12544 осуществляет контроль повторного запуска, зависит от имени файла троянца. Стоит злоумышленникам переименовать вредоносный файл, и наличие в папке C:\Windows файла perfc уже не спасет компьютер от заражения. - Троянец осуществляет проверку наличия файла perfc, только если у него достаточно для этого привилегий в операционной системе.
Компания «Доктор Веб» выпустила статью с предварительным исследованием шифровальщика
29.06 «Доктор Веб»: подобные методы заражения мы встречали и раньше
29 июня 2017 года
Аналитики, исследовавшие шифровальщик
Еще в 2012 году вирусные аналитики компании «Доктор Веб» выявили целенаправленную атаку на сеть российских аптек и фармацевтических компаний с использованием вредоносной программы
Специалисты компании «Доктор Веб» провели расследование, длившееся целых 4 года. Проанализировав жесткие диски, предоставленные одной из пострадавших от
Сходство этих двух случаев показывает, что инфраструктура разработки программного обеспечения требует повышенного внимания к вопросам информационной безопасности. Прежде всего, процессы обновления любого коммерческого ПО должны находиться под пристальным вниманием как самих разработчиков, так и пользователей. Утилиты обновления различных программ, обладающие в операционной системе правами на установку и запуск исполняемых файлов, могут неожиданно стать источником заражения. В случае с MEDoc к этому привел взлом злоумышленниками и компрометация сервера, с которого загружались обновления, а в ситуации с
Подробности о проведенном компанией "Доктор Веб" расследовании
Именно таким образом на компьютерах жертв был запущен троянец-шифровальщик, известный как NePetya, Petya.A, ExPetya и WannaCry-2 (Trojan.Encoder.12544).
В одном из своих интервью, которое было опубликовано на сайте агентства Reuters, разработчики программы M.E.Doc высказали утверждение, что созданное ими приложение не содержит вредоносных функций. Исходя из этого, а также учитывая данные статического анализа кода, вирусные аналитики «Доктор Веб» пришли к выводу, что некие неустановленные злоумышленники инфицировали один из компонентов M.E.Doc вредоносной программой. Этот компонент был добавлен в вирусные базы Dr.Web под именем BackDoor.Medoc.
28.06 Новая глобальная атака шифровальщика: подробности от «Доктор Веб»
28 июня 2017 года
Наделавший много шума червь-шифровальщик
На текущий момент известно, что троянец заражает компьютеры при помощи того же набора уязвимостей, которые ранее использовались злоумышленниками для внедрения на компьютеры жертв троянца WannaCry. Массовое распространение
В своем теле троянец содержит 4 сжатых ресурса, 2 из которых являются 32- и 64-разрядной версиями утилиты Mimikatz, предназначенной для перехвата паролей открытых сессий в Windows. В зависимости от разрядности ОС он распаковывает соответствующую версию утилиты, сохраняет ее во временную папку, после чего запускает. При помощи утилиты Mimikatz, а также двумя другими способами
Контроль своего повторного запуска энкодер осуществляет с помощью файла, сохраняемого им в папке C:\Windows\. Этот файл имеет имя, соответствующее имени троянца без расширения. Поскольку распространяемый злоумышленниками в настоящий момент образец червя имеет имя perfc.dat, то файл, предотвращающий его повторный запуск, будет иметь имя C:\Windows\perfc. Однако стоит злоумышленникам изменить исходное имя троянца, и создание в папке C:\Windows\ файла с именем perfc без расширения (как советуют некоторые антивирусные компании), уже не спасет компьютер от заражения. Кроме того, троянец осуществляет проверку наличия файла, только если у него достаточно для этого привилегий в операционной системе.
После старта троянец настраивает для себя привилегии, загружает собственную копию в память и передает ей управление. Затем энкодер перезаписывает собственный файл на диске мусорными данными и удаляет его. В первую очередь
Троянец шифрует файлы только на фиксированных дисках компьютера, данные на каждом диске шифруются в отдельном потоке. Шифрование осуществляется с использованием алгоритмов AES-128-CBC, для каждого диска создается собственный ключ (это — отличительная особенность троянца, не отмеченная другими исследователями). Этот ключ шифруется с использованием алгоритма RSA-2048 (другие исследователи сообщали, что используется 800-битный ключ) и сохраняется в корневую папку зашифрованного диска в файл с именем README.TXT. Зашифрованные файлы не получают дополнительного расширения.
После выполнения созданного ранее задания компьютер перезагружается, и управление передается троянской загрузочной записи. Она демонстрирует на экране зараженного компьютера текст, напоминающий сообщение стандартной утилиты для проверки дисков CHDISK.
В это время
Если в момент запуска на экране появилось сообщение о запуске утилиты CHDISK, незамедлительно выключите питание ПК. Загрузочная запись в этом случае будет повреждена, но ее можно исправить при помощи утилиты восстановления Windows или Консоли восстановления, загрузившись с дистрибутивного диска. Восстановление загрузочной записи обычно возможно в ОС Windows версии 7 и более поздних, если на диске имеется используемый системой скрытый раздел с резервной копией критичных для работы Windows данных. В Windows XP такой способ восстановления загрузки не сработает. Также для этого можно использовать Dr.Web LiveDisk — создайте загрузочный диск или флешку, выполните загрузку с этого съемного устройства, запустите сканер Dr.Web, выполните проверку пострадавшего диска, выберите функцию «Обезвредить» для найденных угроз.
По сообщениям из различных источников единственный используемый распространителями
С целью профилактики заражения троянцем
27.06 Появился новый шифровальщик, атакующий компании России и Украины
27 июня 2017 года
По имеющейся у наших специалистов информации, троянец распространяется самостоятельно, как и нашумевший WannaCry. Точных данных о том, используется ли тот же самый механизм распространения, пока нет. В настоящее время аналитики исследуют нового троянца, позднее мы сообщим подробности. Некоторые источники в СМИ проводят параллели с вымогателем Petya (детектируется Dr.Web в частности как Trojan.Ransom.369) в связи с внешними проявлениями работы вымогателя, однако способ распространения новой угрозы отличается от использовавшейся Petya стандартной схемы.
Сегодня, 27 июня, в 16:30 по московскому времени, этот шифровальщик был добавлен в вирусные базы Dr.Web как
«Доктор Веб» призывает всех пользователей быть внимательными и не открывать подозрительные письма (эта мера необходима, но не достаточна). Следует также создавать резервные копии критически важных данных и устанавливать все обновления безопасности для ПО. Наличие антивируса в системе также обязательно.
23.06 «Доктор Веб»: персональные данные более 122 000 пользователей социальных сетей под угрозой
23 июня 2017 года
В мае текущего года на территории Украины указом президента был ограничен доступ к услугам и сервисам ряда российских компаний, среди которых оказались социальные сети «ВКонтакте» и «Одноклассники». Это привело к росту популярности средств обхода блокировки, таких как браузер Tor, VPN и анонимайзеры. Кроме того, стали появляться новые программы, предоставляющие аналогичный функционал, однако далеко не все из этих новинок безопасны.
Вирусные аналитики «Доктор Веб» обнаружили в каталоге Google Play несколько приложений, которые позволяют работать с заблокированными сайтами «ВКонтакте» и «Одноклассники». Для доступа к этим социальным сетям владельцам Android-устройств предлагается указать свой логин и пароль, после чего программы выполняют вход в учетную запись пользователя в обход ограничения. Специалисты «Доктор Веб» выявили 8 таких программ, которые распространяются разработчиками JDX Studio, Soukaina Bousfiha, Zikolabs, Boubakri yassir, affzakanab и simon faiz.
Все эти приложения выглядят очень похожими. Они устанавливаются на мобильные устройства как программы с именами «ВК В Украина», «ВК Украина», «ВК Украина 2», «ОК Украина», «Украина ОК», «ВК VPN Украина.», «ВК Украiна» и «ВК Украина VPN»» и имеют схожие значки. В общей сложности их скачали более 122 000 пользователей, каждый из которых рискует столкнуться с утечкой персональных данных.
Проблема состоит в том, что для обхода блокировки сайтов социальных сетей это ПО перенаправляет трафик через один из онлайн-анонимайзеров. Анонимайзеры – это специализированные серверы, которые пропускают через себя сетевые запросы, а также скрывают информацию о компьютере или мобильном устройстве для обхода ограничения на посещение заблокированных интернет-ресурсов. Такие сервисы востребованы, например, среди пользователей из корпоративных сетей, где системные администраторы на уровне шлюза запретили доступ к доменам социальных сетей.
Введенные в программах логин и пароль передаются серверу-анонимайзеру в незашифрованном виде, поэтому ничто не мешает его владельцам использовать полученную информацию в незаконных целях. Например, они могут зайти в социальную сеть от имени пользователя и без его ведома рассылать сообщения, добавлять друзей, вступать в группы, читать переписку, просматривать фотографии и т. п. При этом пользователь не знает, что авторизуется в социальной сети через сторонний домен, так как в приложениях не отображается адресная строка. Дальнейшая работа с сайтами «ВКонтакте» и «Одноклассники» через это ПО также происходит без шифрования, что позволяет контролировать все выполняемые в этих социальных сетях действия.
Даже если предположить, что такой безответственный подход к защите конфиденциальных сведений со стороны владельцев анонимайзера и авторов приложений продиктован ошибкой или элементарным незнанием основ информационной безопасности, нет никакой гарантии, что незашифрованный сетевой трафик не перехватят злоумышленники.
Поскольку использование указанных программ может привести к утечке персональной информации, антивирус Dr.Web детектирует их как потенциально опасные приложения
Во избежание риска пользователям заблокированных онлайн-ресурсов следует избегать сомнительных приложений и сервисов для обхода ограничений доступа. На рынке существуют более безопасные решения, которые предоставляют достаточный уровень защищенности. Среди них – коммерческие и бесплатные VPN (Virtual Network Provider или частные виртуальные сети), а также Proxy-серверы.
Все известные версии
20.06 Громкая атака на хостера — все не так безоблачно
20 июня 2017 года
10 июня южнокорейская хостинговая компания NAYANA стала жертвой атаки
В сообщении, опубликованном на сайте NAYANA 12 июня, компания сообщила, что злоумышленники потребовали беспрецедентный по размеру выкуп в 550 биткоинов (BTC) или 1,62 миллиона долларов за расшифровку файлов на всех заражённых серверах.
14 июня NAYANA сообщила о договорённости по выплате в рассрочку суммы в размере 397,6 BTC (около 1,01 миллиона долларов США по состоянию на 19 июня 2017 года).
С точки зрения специалистов случай совершенно рядовой. Не обновленное ПО, ошибки в настройке
Кто виноват?
- Провайдер услуг — он не предложил клиентам услуги резервного копирования и сам не позаботился о «бэкапе» своей инфраструктуры.
- Клиенты — не резервировавшие свои данные в расчете на надежность инфраструктуры провайдера.
Успешные атаки на провайдеров облачных услуг случались и раньше, но таких громких еще не было.
Мы в «Доктор Веб» ожидаем резкого роста подобных инцидентов.
Потому что любая такая новость порождает подражателей. Возможно, в дальнейшем волна атак на провайдеров сойдет на нет, а возможно — станет новой тенденцией, как стали атаки на системы на основе Linux. Предсказания делать рано.
Dr. Web рекомендует
- Всем, кто сейчас держит данные в облаках и не использует резервное копирование, начать делать копии и хранить их обязательно у другого провайдера услуг, дома или в ином месте.
- Если вы арендуете сервер, сайт, услугу в облаке — это не избавляет вас от необходимости защищаться. Безопасность — это ваша забота. Вдобавок к резервированию требуется как минимум антивирус. Причем и в облаке, и на ПК.
Безопасность инфраструктуры провайдеров услуг обеспечивают продукты Dr. Web Server Security Suite (защита серверов провайдера от заражения вредоносными программами) и Dr.Web Gateway Security Suite (проверка входящего трафика на наличие вредоносных программ, а также доступ к
Безопасность клиентов провайдеров услуг обеспечивают продукты, входящие в линейку продуктов для защиты бизнеса любого масштаба Dr. Web Enterprise Security Suite. Обращаем особое внимание, что антивирусная защита должна осуществляться как на стороне провайдера услуг, так и на уровне локальной сети компании и компьютеров ее сотрудников. Только это может защитить от атак типа
19.06 «Доктор Веб»: за иранскими пользователями шпионит Android-троянец, управляемый через Telegram
19 июня 2017 года
Троянец, получивший имя
При запуске троянец предлагает владельцу мобильного устройства проверить, насколько тот популярен среди других пользователей Telegram, для чего просит указать персональный идентификатор. После того как жертва вводит любую информацию в соответствующую форму,
После удаления значка программы
Ниже показаны примеры файлов, которые
После кражи конфиденциальной информации
- call – выполнить телефонный звонок;
- sendmsg – отправить СМС;
- getapps – передать на сервер информацию об установленных приложениях;
- getfiles – передать на сервер информацию обо всех доступных на устройстве файлах;
- getloc – отправить на сервер информацию о местоположении устройства;
- upload – загрузить на сервер указанный в команде файл, который хранится на устройстве;
- removeA – удалить с устройства указанный в команде файл;
- removeB – удалить группу файлов;
- lstmsg – передать на сервер файл с информацией обо всех отправленных и полученных СМС, включая номера отправителей и получателей, а также содержимое сообщений.
При выполнении каждой команды вредоносная программа информирует об этом Telegram-бота вирусописателей.
Помимо сбора конфиденциальных данных по команде киберпреступников
Специалисты компании «Доктор Веб» предупреждают, что вирусописатели очень часто распространяют вредоносные приложения под видом безобидных программ. Для защиты от Android-троянцев следует устанавливать ПО только от известных разработчиков и загружать его из надежных источников, таких как каталог Google Play. Все известные версии троянца
15.06 «Доктор Веб» предупреждает о распространении троянца-майнера
15 июня 2017 года
Эта вредоносная программа, предназначенная для добычи криптовалюты Monero (XMR) и установки бэкдора Gh0st RAT, получила наименование
Сразу после старта
Основной модуль, предназначенный для добычи криптовалюты Monero, также реализован в виде библиотеки, при этом троянец содержит как 32-, так и 64-разрядную версию майнера. Соответствующая реализация троянца используется на зараженном компьютере в зависимости от разрядности операционной системы. В конфигурации для этого модуля указано, сколько ядер и вычислительных ресурсов процессора будет задействовано для добычи криптовалюты, с каким интервалом будет автоматически перезапускаться майнер, а также иные параметры. Троянец отслеживает работающие на зараженном компьютере процессы и при попытке запустить Диспетчер задач завершает свою работу.
Несмотря на то, что первые троянцы-майнеры были обнаружены уже более 6 лет назад (запись для троянца
05.06 «Доктор Веб» исследовал двух троянцев для Linux
5 июня 2017 года
Первый из двух исследованных специалистами «Доктор Веб» троянцев был добавлен в вирусные базы Dr.Web под именем
Другой троянец получил название
Значительная часть IP-адресов, с которых осуществляются атаки, расположена на территории России. На втором месте — Китай, на третьем — Тайвань. Распределение источников атак с использованием
Троянец использует специальный набор методов для детектирования ханипотов (от англ. honeypot – «горшочек с медом») — специальных серверов-приманок, применяемых специалистами по информационной безопасности для исследования вредоносного ПО. После старта он соединяется с управляющим сервером и, получив от него подтверждение, запускает на инфицированном устройстве SOCKS-прокси-сервер. Злоумышленники могут использовать его для обеспечения собственной анонимности в Интернете.
Оба этих троянца детектируются и удаляются Антивирусом Dr.Web для Linux и потому не представляют опасности для наших пользователей.
25.05 «Доктор Веб» исследовал многокомпонентного троянца для Linux
25 мая 2017 года
Первые атаки с применением троянца, вошедшего в семейство
Все входящие в состав
Один из модулей
Опасность
Вирусные аналитики «Доктор Веб» собрали статистику об уникальных IP-адресах устройств, зараженных
Специалистам «Доктор Веб» известно несколько модификаций
17.05 «Доктор Веб» публикует предварительное описание троянца WannaCry
17 мая 2017 года
Вредоносная программа, известная под названием WannaCry, представляет собой сетевого червя, способного заражать компьютеры под управлением Microsoft Windows без участия пользователя. Антивирус Dr.Web детектирует все компоненты червя под именем
Сетевой червь
Сразу после запуска червь пытается отправить запрос на удаленный сервер, домен которого хранится в троянце. Если ответ на этот запрос получен, червь завершает свою работу. Некоторые СМИ сообщали, что эпидемию WannaCry удалось остановить, зарегистрировав этот домен: к моменту начала распространения троянца он был свободен якобы из-за оплошности злоумышленников. На самом деле анализ троянца показывает, что он будет работать и распространяться на компьютерах, имеющих доступ к локальной сети, но не имеющих подключения к Интернету. Поэтому об остановке эпидемии говорить пока преждевременно.
После запуска троянец регистрирует себя в качестве системной службы с именем mssecsvc2.0. При этом червь чувствителен к параметрам командной строки: если указан какой-либо аргумент, он пытается настроить автоматический перезапуск службы в случае возникновения ошибки. Через 24 часа после своего запуска в качестве системной службы червь автоматически завершает работу.
Успешно стартовав на инфицированной машине, червь начинает опрашивать узлы, доступные в локальной сети зараженной машины, а также компьютеры в Интернете со случайными IP-адресами. Он пытается соединиться с портом 445. Если ему удалось установить соединение, червь предпринимает попытку заразить эти компьютеры с использованием уязвимости в протоколе SMB.
Дроппер
Дроппер — это компонент, предназначенный для установки в операционную систему вредоносного исполняемого файла. Дроппер червя WannaCry содержит большой защищенный паролем ZIP-архив, в котором хранится зашифрованный файл с троянцем-энкодером, обои Рабочего стола Windows с требованиями злоумышленников, файл с адресами onion-серверов и именем кошелька для приема биткойнов, а также архив с программами для работы в сети Tor. Дроппер запускается из тела червя, устанавливается в систему, после чего пытается запустить свою копию в виде системной службы со случайным именем. Если это не удается, он выполняется, как обычная программа. Основная задача дроппера — сохранить на диск содержимое архива, а также расшифровать и запустить шифровальщик.
Троянец-шифровальщик
Энкодер
Троянец содержит в себе авторский декодер, который удаляет на зараженном компьютере теневые копии и отключает функцию восстановления системы. Он меняет обои Рабочего стола Windows на графический файл следующего содержания:
Затем он распаковывает приложения для работы с сетью Tor (или скачивает их из сети) и соединяется с onion-серверами, адреса которых указаны в конфигурации троянца. Оттуда он получает имя кошелька для приема криптовалюты Bitcoin и записывает его в конфигурацию. Для обмена данными с onion-серверами
Декодер позволяет расшифровать несколько тестовых файлов, список которых хранится в файле f.wnry. Приватный ключ, необходимый для их расшифровки, хранится в одном из компонентов вредоносной программы. Поэтому их можно расшифровать даже без использования самого троянца. Однако расшифровка тестовых и всех остальных файлов выполняется с использованием разных ключей. Следовательно, никаких гарантий успешного восстановления поврежденных шифровальщиком данных даже в случае оплаты выкупа не существует.
К сожалению, в настоящее время расшифровка поврежденных
Признаки заражения
Признаками заражения червем WannaCry являются:
- наличие системной службы "mssecsvc2.0" (видимое имя - "Microsoft Security Center (2.0) Service");
- наличие файла троянца-энкодера C:\WINDOWS\tasksche.exe, предыдущий экземпляр вредоносной программы хранится в файле C:\WINDOWS\qeriuwjhrf.
Что делать в случае заражения
- во избежание распространения инфекции изолировать зараженные машины и ПК с ценными данными от компьютерных сетей;
- сохранить резервную копию информации на отдельные носители, которые после этого должны храниться отключенными от любых компьютеров.
С техническим описанием червя можно ознакомиться по ссылке.
15.05 «Доктор Веб»: наши пользователи не пострадали от шифровальщика WannaCry
15 мая 2017 года
Самая первая известная Dr.Web модификация троянца (Wanna Decryptor 1.0) поступила на анализ в вирусную лабораторию «Доктор Веб» 27 марта 2017 года в 07:20 и в тот же день в 11:51 была добавлена в вирусные базы.
Шифровальщик
«Доктор Веб» получил его образец 12 мая в 10:45 утра и добавил в вирусные базы Dr.Web.
До добавления записи в базу троянец определялся Dr.Web как BACKDOOR.Trojan.
Сам троянец представляет собой многокомпонентный шифровальщик, получивший наименование
Причиной массового распространения троянца стала уязвимость протокола SMB. Этой уязвимости подвержены все операционные системы Windows младше 10 версии. Для наших пользователей
Чтобы исключить попадание этого троянца на ваши компьютеры, мы рекомендуем следующее:
- установить обновление для вашей операционной системы MS17-010, доступное по адресу technet.microsoft.com/en-us/library/security/ms17-010.aspx, а также все текущие обновления безопасности;
- обновить антивирус;
- закрыть с помощью брандмауэра атакуемые сетевые порты (139, 445);
- отключить атакуемый и уязвимый сервис операционной системы;
- запретить установку и запуск нового ПО (исполняемых файлов);
- убрать лишние права пользователей (права на запуск и установку нового ПО);
- удалить ненужные сервисы в системе;
- запретить доступ к сети Tor.
