Компьютерный раздел > Антивирусы, ключи
Все новости о вирусах и антивирусах
Gorra:
Новая версия троянца угрожает серверам на базе ОС Linux
Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — сообщает об обнаружении новой версии троянской программы Linux.Sshdkit, представляющей опасность для работающих под управлением ОС Linux серверов. Согласно собранной аналитиками «Доктор Веб» статистике, на сегодняшний день от действий троянцев данного семейства пострадало уже несколько сотен серверов, среди которых имеются серверы крупных хостинг-провайдеров.
О первых версиях вредоносной программы Linux.Sshdkit компания «Доктор Веб» сообщала в феврале 2012 года. Данный троянец представляет собой динамическую библиотеку. При этом существуют ее разновидности как для 32-разрядных, так и для 64-разрядных версий дистрибутивов Linux. После успешной установки в систему троянец встраивается в процесс sshd, перехватывая функции аутентификации. После установки сессии и успешного ввода пользователем логина и пароля они отправляются на принадлежащий злоумышленникам удаленный сервер.
Специалисты компании «Доктор Веб» перехватили несколько управляющих серверов предыдущей версии Linux.Sshdkit. Кроме того, нам удалось собрать статистику не только по количеству зараженных машин, но и определить их адреса. Всего в течение мая 2013 года троянец передал на контролируемый аналитиками «Доктор Веб» управляющий узел данные для доступа к 562 инфицированным Linux-серверам, среди которых в том числе встречаются серверы крупных хостинг-провайдеров.
Обнаруженная специалистами «Доктор Веб» новая версия троянца, получившая название Linux.Sshdkit.6, также представляет собой динамическую библиотеку: в настоящий момент выявлена модификация, предназначенная для 64-битных Linux-систем. В данной реализации Linux.Sshdkit злоумышленники внесли ряд изменений с целью затруднить перехват вирусными аналитиками украденных паролей. Так, вирусописатели изменили метод определения адресов серверов, на которые троянец передает краденую информацию. Теперь для вычисления целевого сервера используется специальная текстовая запись, содержащая данные, зашифрованные RSA-ключом размером 128 байт. Алгоритм генерации адреса командного сервера показан на приведенной ниже иллюстрации.
Кроме того, вирусописатели изменили алгоритм получения троянцем команд: теперь для их успешного выполнения вредоносной программе передается специальная строка, для которой проверяется значение хеш-функции.
Троянцы семейства Linux.Sshdkit представляют высокую опасность для серверов, работающих под управлением ОС Linux, поскольку позволяют злоумышленникам получить данные для несанкционированного доступа на сервер. Администраторам серверов, работающих под управлением ОС Linux, специалисты «Доктор Веб» рекомендуют проверить операционную систему на наличие данной угрозы.
kuki:
Троян семейства Bicololo поражает пользователей российских соцсетей
Вирус подменяет ссылки на социальные сети в файле hosts, и ворует конфиденциальную информацию пользователей.
Международная компания по разработке антивирусного ПО Eset заявила о том, что в интернете активно распространяется новый вирус Win32/Bicololo, который действует преимущественно в социальных сетях. Вредоносная программа используется для кражи персональной информации. Троян проявляет себя как ссылку на графические файлы с расширением .jpg и при активации загружает вредоносное программное обеспечение, модифицируя системный файл hosts и переправляя пользователя на фальшивую страницу вместо загрузки страницы социальной сети.
В один день Bicololo стал проявлять себя одновременно в четырех различных странах – Аргентине, Бразилии, Колумбии и Чили. Примечательно, что в его коде были обнаружены комментарии на русском языке.
Хотя в измененный файл hosts и прописывается много мобильных версий сайтов, действует этот вирус только на семейство настольных операционных систем Windows.
Для размещения вредоносного ПО используются легальные ресурсы, расположенные в доменных зонах .ar, .br, .cl и .co. Эти ресурсы были заражены хакерами и в дельнейшем использовались без ведома их владельцев. Скорее всего, злоумышленники нашли эти сайты с помощью специальных инструментов для поиска уязвимых web-приложений.
При развертывании своей схемы взломщики использовали два сервера. На одном из них хранились фальшивые подделки «ВКонтакте», «Одноклассники» и Mail.ru, а другой применяется для связи с вредоносной программой. IP-адреса серверов указывают на то, что они расположены в Латинской Америке.
Марат:
Новый вирус “замораживает” жёсткий диск
Исследователи обнаружили вредоносную программу, которая устанавливает сразу несколько модулей на компьютеры своих жертв, “замораживая” деятельность жёсткого диска.
Эксперты из компании Bkav обнаружили и проанализировали так называемый руткит, который скрывает следы присутствия злоумышленника или вредоносной программы в системе.
“Заморозка” жёсткого диска является специфическим механизмом защиты руткита. Вирус запускает несколько модулей, которые исполняют основные функции вредоносного ПО, и способствуют его распространению.
Один из них, PassThru, – это драйвер сетевого модуля, блокирующий или перенаправляющий пользователя на определенные сайты. А модуль Wininite подключается к C&C-серверам и получает от них команды. Один из этих серверов расположен в Китае, а другой – в США.
Наконец, модуль DiskFit каждый раз после перезагрузки компьютера восстанавливает жёсткий диск компьютера до статуса, который был до инфицирования машины.
Кроме того, DiskFit создаёт на компьютере жертвы область для хранения кэшированных данных, в которой хранится информация обо всех операциях, осуществляемых пользователем.
Таким образом, пользователь не может вносить изменения в данные на оригинальном диске.
Каждый раз, когда пользователь проводит перезагрузку компьютера, все его действия на системе удаляются, начиная с создания или загрузки новых документов, и заканчивая установкой программного обеспечения.
student:
Стали известны новые подробности о троянце-вымогателе FileCoder
ESET сегодня сообщила новые подробности о трояне FilеCoder, который шифрует личные файлы пользователя с целью получения выкупа за расшифровку. Напомним, что с июля 2013 года активность Win32/Filecoder возросла втрое, по сравнению со средними показателями первой половины года. От действий трояна сильнее всего пострадали российские пользователи – по данным ESET, на нашу страну приходится 44% обнаружений FileCoder. Кроме того, значительная доля заражений зафиксирована в Европе и США.
Для заражения ПК разработчики FileCoder и его модификаций используют целый ряд методик, в том числе: скрытая установка с помощью набора эксплойтов, использующих различные программные уязвимости (drive-by download); вредоносные вложения в письмах, рассылаемых злоумышленниками по электронной почте; установка с помощью другой троянской программы.
Также была зафиксирована установка FileCoder вручную, c использованием доступа к компьютеру жертвы через службу подключения к удаленному рабочему столу Windows. Попав на компьютер тем или иным способом, троян шифрует файлы пользователя, по расширению выбирая те, которые с наибольшей вероятностью представляют для него ценность – как правило, документы, фотографии, музыкальные файлы или архивы.
Для шифрования файлов различные модификации FileCoder могут использовать как встроенный функционал самого трояна, так и сторонние легальные программы – например, была отмечена архивация файлов при помощи WinRAR с функцией защиты паролем.
После шифрования или архивации FileCoder избавляется от оригинального файла – иногда он просто удаляется (в таких случаях его нетрудно восстановить программными средствами), но чаще удаленные файлы перезаписываются без возможности восстановления. Таким образом, на зараженном ПК остается только одна копия файла, надежно зашифрованная трояном-вымогателем.
Для информирования пользователя о том, что его ПК заражен, а файлы зашифрованы, троян демонстрирует всплывающее окно с подробной информацией о том, как расшифровать файлы. Различные модификации трояна используют разные варианты текста, причем на разных языках. Эксперты обнаруживали сообщения на русском и английском языках, а также на плохом английском, похожем на результат работы онлайн-переводчика.
Что примечательно, в сообщении, демонстрируемом зараженному пользователю, киберпреступники могут выдавать себя за официальную государственную службу, которая ограничила доступ к компьютеру, поскольку данный ПК якобы является источником чрезвычайно опасного вируса или же распространяет ссылки на детскую задорнографию.
Описывая действие выдуманного вируса, киберпреступники с иронией упоминают, что он опасен тем, что блокирует файлы пользователя и требует за разблокировку крупную сумму (меньшую, чем указано в сообщении самих мошенников). Также в сообщении особо отмечено, что пользователь не должен пытаться удалить этот опасный вирус, поскольку с ним не смогли справиться даже государственные спецслужбы.
Существуют два способа избавиться от «вируса», пишут авторы настоящей вредоносной программы, – надо просто подождать 66 с небольшим нониллионов (1054) лет или же заплатить «специалистам». За «чрезвычайно тяжелую работу по детектированию вируса» от пользователя могут потребовать заплатить в среднем 100-200 евро (или схожую сумму в рублях), но некоторые модификации могут запрашивать до 3000 (трех тысяч) евро.
Gorra:
Троян ZeuS распространятся при помощи нового загрузчика Upatre
Наряду с Pony Loader, загрузчик Upatre распространяется через ботнет Cutwail.
Команда исследователей безопасности Dell SecureWorks Counter Threat Unit (CTU) провела исследование трояна Gameover ZeuS, известного также как P2P ZeuS. Данный вредонос используется в одном из наиболее сложных ботнетов, связанных с мошенничеством в сфере online-банкинга.
Операторы ботнета хорошо связаны с другими киберпреступниками в нелегальных сообществах и для проведения своих операций полагаются на различные инструменты и услуги, предоставляемые ими. В частности, для заманивания новых жертв группа регулярно использует спам-ботнет Cutwail, а для кражи учетных данных и загрузки дополнительных вредоносных программ, таких, как Gameover ZeuS - вредоносное ПО Pony Loader.
В августе 2013 года эксперты CTU обнаружили, что в дополнение к Pony Loader для распространения вредоносного ПО киберпреступники используют новый загрузчик Upatre. Его файл имеет небольшой размер и является предельно простым. Upatre использует SSL-соединение для загрузки и выполнения вредоносного файла. После активации файла Upatre копирует себя во временную директорию, запускает временную копию и прекращает текущий процесс. Оригинальный вредонос при этом удаляется. Также, как и Pony Loader, загрузчик распространяется посредством Cutwail.
Навигация
Перейти к полной версии