Новости от Dr.Web

[kuki]

Новости от Dr.Web

[kuki]

Обновление Dr.Web для Android 8.0
 

Компания «Доктор Веб» сообщает об обновлении Dr.Web для Android до версии 8.00.5. В новой реализации антивируса был исправлен ряд обнаруженных ранее ошибок, а также внесены улучшения, расширяющие возможности продукта по выявлению мобильных угроз.

В обновленной версии Dr.Web для Android изменена периодичность автоматического обновления вирусных баз с одного раза в день на четыре раза в день в целях повышения качества детектирования угроз, число которых растет с каждым днем. Также в состав приложения добавлена вьетнамская локализация. Помимо этого была исправлена ошибка, в некоторых случаях приводившая к повторным сканированиям карты памяти мобильного устройства, устранена ошибка, вызывавшая сообщение «Указан неверный серийный номер» при обновлении вирусных баз, удалено ошибочное сообщение об окончании лицензии после ее продления и сообщения о запуске Монитора в статистике после каждого открытия приложения. Был устранен ряд других ошибок, в частности, вызывавших аварийные завершения работы приложения. Теперь при включении выборочной проверки список файлов корректно сортируется по алфавиту без учета регистра, но с учетом специальных символов.

Обновленная версия Dr.Web для Android доступна на Google play (Антивирус Dr.Web, Антивирус Dr.Web Life license) и на сайте «Доктор Веб» (Dr.Web для Android).

Для пользователей Dr.Web для Android обновление пройдет автоматически. Если же автоматические обновления на устройстве отключены, необходимо зайти на Google play, выбрать в списке приложений Антивирус Dr.Web или Антивирус Dr.Web Life license и нажать кнопку «Обновить».

Для обновления через сайт «Доктор Веб» нужно скачать новый дистрибутив. Если в настройках включена опция «Новая версия приложения», при обновлении вирусных баз пользователь получит уведомление о доступной новой версии, которую можно будет загрузить прямо из этого диалога.

[kuki]

Популярное сетевое мошенничество: соискатели под ударом!

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает пользователей о популярной в Рунете мошеннической схеме: злоумышленники регистрируются на рекрутинговых порталах, получая электронные адреса потенциальных жертв, а затем рассылают по ним заманчивые предложения о работе в престижных российских и зарубежных компаниях, сулящие весьма крупные оклады. Пройдя по ссылке, указанной в таком письме, соискатель попадает на принадлежащий мошенникам сайт. В результате жертва рискует получить как минимум испорченное настроение из-за несбывшихся ожиданий, а как максимум — опустошенный счет мобильного телефона.

Сетевые мошенники в своих схемах монетизации часто используют социальную инженерию и иные приемы психологического воздействия на людей, попавших в стесненные жизненные обстоятельства (например, ищущих работу из-за недостатка финансовых средств либо по другой причине). В последнее время в Рунете получила широкое распространение схема, когда злоумышленники регистрируются на рекрутинговых ресурсах (hh.ru, superjob.ru и т.п.) в качестве работодателей, получая при этом доступ к контактным данным потенциальных жертв, после чего отправляют им сообщения по электронной почте с предложениями вакансий от лица крупных российских или иностранных фирм. В письме злоумышленники указывают высокую сумму предлагаемого оклада с расчетом привлечь адресата на мошеннический сайт и втянуть в ложное анкетирование, на одном из этапов которого ему предлагают ввести в специальную форму номер мобильного телефона, а затем — полученный в ответном СМС-сообщении подтверждающий код. Отослав такое СМС-сообщение, пользователь становится жертвой мошенничества: он оказывается подписанным на псевдоуслугу, а со счета его мобильного телефона будут регулярно сниматься денежные средства.

Спойлер   :

Мошенничество можно распознать еще на этапе чтения письма: в нем нередко встречаются пунктуационные и стилистические ошибки, отсутствуют обязательные атрибуты деловой переписки (подпись официального лица, адресная информация, поддающаяся проверке), и т.д. Пример подобного сообщения приведен ниже (орфография оригинала сохранена):

Уважаемый, соискатель.

Ваше резюме заинтересовало крупную российскую компанию. Вам предлагают работу в данной компании. Работа по Вашей специальности. З/п от 90 000 руб. Для трудоустройства пройдите на сайт работодателя и заполните Анкету – Соискателя.



Существует несколько способов убедиться в том, что такой работодатель существует в реальности, например, рекомендуется уточнить адрес и телефон организации, предлагающей вакансию, и попробовать связаться с ней. Не следует вводить на подозрительных веб-сайтах номер телефона и подтверждающие коды, полученные в СМС-сообщениях. Нередко злоумышленники размещают на сайте ссылку на сведения о "правилах использования услуги": этот текст публикуется с целью избежать ответственности за мошенничество, поскольку извещенный о стоимости СМС соискатель вакансии добровольно воспользовался услугой, вся информация о которой была ему доступна. Следует поискать такую ссылку на веб-странице потенциального работодателя.

Ссылки на данные мошеннические сайты добавлены в базы Dr.Web, они блокируются антивирусным ПО, установленным на компьютере пользователя, при открытии соответствующего сайта в браузере.

[kuki]

Обновление компонентов в бизнес-продуктах Dr.Web 6.0 и в Dr.Web AV-Desk 6.0
 
Компания «Доктор Веб» сообщает об обновлении модуля самозащиты Dr.Web SelfPROtect (8.01.00.01173), сканера (8.3.0.201308070), сканирующего сервиса Dr.Web Scanning Engine (8.1.0.201307100), Dr.Web Anti-rootkit API (API 8.5.0.201308060), брандмауэра (7.0.2.07312) и сервиса перехвата трафика Dr.Web Net Filtering Service (6.0.14.07171) в составе продуктов Dr.Web Desktop Security Suite и Dr.Web Server Security Suite с централизованным управлением и в интернет-сервисе Dr.Web AV-Desk 6.0. Основным нововведением стало добавление поддержки операционной системы Windows 8.1 (известной также под наименованием Windows Blue).

Ряд изменений коснулся сканера Dr.Web. В связи с оптимизацией процесса лечения активных заражений из интерфейса был упразднен пункт «Объекты автозапуска». Проверка загрузочных секторов диска и сканирование на руткиты теперь доступны для пользователей с различными правами доступа. Также исправлена ошибка с заблокированной кнопкой ОК при выборе проверки локального диска.

В компоненте Dr.Web Anti-rootkit API улучшено детектирование активности угроз, а также внесены изменения в алгоритмы работы с сертификатами. В сервисе перехвата трафика Dr.Web Net Filtering Service исправлена ошибка ручного перехвата в компоненте SpIDer Mail.

Обновление пройдет для пользователей автоматически, однако потребует двух перезагрузок компьютера.

[student]

Доктор Веб: iPhone и iPad с джейлбрейком угрожает шпионское ПО

Компания «Доктор Веб» опубликовала обзор опасных шпионских приложений, предназначенных для работы в среде операционной системы iOS, которая, как принято считать, остается самой защищенной из мобильных платформ. Как и их аналоги, работающие на других ОС, такие программы позволяют злоумышленникам получать широкий спектр персональной информации пользователей: их SMS, историю звонков, GPS-координаты, записи из телефонной книги, фотографии и т. п. Как отмечают специалисты, подобные продукты способны функционировать лишь на устройствах, имеющих так называемый джейлбрейк.



Для того чтобы установить подобное приложение-монитор, злоумышленнику потребуется совсем немного времени. Ему потребуется получить физический доступ к мобильному iOS-устройству, загрузить программу из Интернета при помощи каталога Cydia (который практически всегда автоматически устанавливается при выполнении процедуры джейлбрейка) и настроить шпиона. Эти приложения работают незаметно для пользователя, скрытно отправляя все собранные данные на удаленный сервер, откуда при помощи зарегистрированной учетной записи заинтересованный в слежке человек может получить необходимую ему информацию.

Успешно установленная программа отображается в списке каталога Cydia, однако она носит нейтральное название MessagingService, призванное сбить с толку неопытных владельцев взломанных iOS-устройств. Практически все производители шпионских программ стараются минимизировать возможность легкого обнаружения их продукции, поэтому для наибольшей конспирации приложения-монитора ими часто используются названия, созвучные с приведенным выше. Например, возможны такие варианты как Radio, MobileService, Core Utilities и т. п. Важно также отметить, что в большинстве случаев коммерческое шпионское ПО для iOS не создает отдельный ярлык на рабочем столе, либо позволяет спрятать его через соответствующие настройки. Более того, существуют способы скрыть значок и самого каталога Cydia.

В зависимости от разработчика и версий программ-мониторов, их функциональность может варьироваться. В подавляющем большинстве случаев шпионское ПО позволяет вести наблюдение за всеми важными аспектами частной жизни пользователей: от чтения их SMS и e-mail, до получения сведений о контактах, планах, встречах и окружающей обстановке. На данный момент вирусная база Dr.Web содержит более 50 записей для шпионских iOS-приложений, которые принадлежат к 15 различным семействам.

[kuki]

Обновление компонентов в продуктах Dr.Web 8.0 для Windows
 

Компания «Доктор Веб» сообщает об обновлении компонентов SpIDer Agent (8.1.0.201308140) и Dr.Web Anti-rootkit API (8.6.0.201308190) в продуктах Dr.Web Security Space, Антивирус Dr.Web для Windows и Антивирус Dr.Web для файловых серверов Windows версии 8.0. Кроме того, в продуктах Dr.Web Security Space и Антивирус Dr.Web для Windows будет обновлен драйвер перехвата трафика Dr.Web Net Filter for Windows (8.0.0.08150) и модуль установки Dr.Web Security Space, Anti-virus for Windows (8.2.2.08210). Обновления связаны с исправлением выявленных ошибок.

В модуле установки компонента SpIDer Agent была исправлена ошибка, из-за которой в процессе установки продукта Мастер регистрации лицензии демонстрировал пользователям текст на английском языке вне зависимости от текущих языковых настроек операционной системы. В компоненте Dr.Web Anti-rootkit API внесены изменения в систему анализа и модификации файлов «hosts». В драйвере перехвата трафика Dr.Web Net Filter for Windows была исправлена проблема взаимодействия с Microsoft Hyper-V. В модуле установки исправлена характерная лишь для операционной системы Windows XP ошибка проверки версии актуального инсталляционного пакета.

Обновление пройдет для пользователей автоматически, однако потребует перезагрузки компьютеров.

[student]

Троянец Hand of Thief обнаружен в Рунете

Специалисты компании «Доктор Веб» предупредили об обнаружении новой вредоносной программы для Linux — Linux.Hanthie. По итогам проведенного исследования удалось выяснить, что этот троянец, также известный как Hand of Thief, обладает не только широким вредоносным функционалом, но и способен скрывать от антивирусов свое присутствие в системе. Напомним, что впервые о Hand of Thief от компании RSA стало известно еще две недели назад.

На сегодняшний день эта вредоносная программа пользуется большой популярностью на подпольных хакерских форумах, где злоумышленники активно продают ее. Linux.Hanthie позиционируется как бот класса FormGrabber и BackDoor для Linux, имеющий механизмы антиобнаружения и скрытую автозагрузку, не требующий привилегий администратора, использующий стойкое шифрование для коммуникации с панелью управления (256 бит). Гибкая настройка бота осуществляется через файл конфигурации.

После запуска троянец блокирует доступ к адресам, с которых осуществляется установка обновлений или загрузка антивирусного ПО. В троянце предусмотрены средства противодействия анализу и запуску в изолированных и виртуальных окружениях.

Спойлер   :

Текущая версия Linux.Hanthie не обладает какими-либо механизмами самокопирования, поэтому разработчики троянца в своих сообщениях на хакерских форумах рекомендуют распространять его с использованием методов социальной инженерии. Троянец может работать в различных дистрибутивах Linux, в том числе Ubuntu, Fedora и Debian, и поддерживает восемь типов десктоп-окружений, например, GNOME и KDE.

После запуска вредоносной программы инсталлятор троянца проверяет собственное наличие в системе, а также определяет, не запущена ли на компьютере виртуальная машина. Затем Linux.Hanthie устанавливается в системе путем создания файла автозапуска и размещения собственной копии в одной из папок на диске. В папке для хранения временных файлов троянец создает исполняемую библиотеку, которую пытается встроить во все запущенные процессы. Если вредоносной программе не удается встроить собственную библиотеку в какой-либо процесс, Linux.Hanthie запускает из временной папки новый исполняемый файл, отвечающий только за взаимодействие с управляющим сервером, а исходную копию удаляет.

Троянец имеет в своем составе несколько функциональных модулей: в одном из них, представленном в виде библиотеки, реализован основной вредоносный функционал. С использованием данного модуля троянец встраивает граббер в популярные браузеры Mozilla Firefox, Google Chrome, Opera, а также действующие только под Linux браузеры Chromium и Ice Weasel. Граббер позволяет перехватывать HTTP и HTTPS-сессии и отправлять злоумышленникам данные из заполняемых пользователям экранных форм. Также данная библиотека реализует функции бэкдора, при этом трафик при обмене данными с управляющим сервером шифруется.

Троянец способен выполнить несколько команд, в частности, по команде socks он запускает на инфицированной машине прокси-сервер, по команде bind запускает скрипт для прослушивания порта, по команде bc подключается к удаленному серверу, по команде update загружает и устанавливает обновленную версию троянца, а по команде rm — самоудаляется. Еще один модуль позволяет троянцу реализовывать ограниченный функционал без выполнения инжектов.

[kuki]

Новый бэкдор перехватывает вводимые с клавиатуры данные


Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает о широком распространении вредоносной программы BackDoor.Saker.1, обходящей механизм контроля учетных записей пользователей. Основная функция BackDoor.Saker.1 — выполнение поступающих от злоумышленников команд, и, главное, перехват нажимаемых пользователем клавиш (кейлоггинг).

Проникнув на инфицируемый компьютер, троянец запускает на исполнение файл temp.exe, предназначенный для обхода системы контроля учетных записей пользователей (User Accounts Control, UAC). Этот файл извлекает из ресурсов библиотеку для обхода UAC и встраивается в процесс explorer.exe. После этого данная библиотека сохраняется в одной из системных папок. Далее, при запуске системной утилиты Sysprep, эта библиотека запускает вредоносное приложение ps.exe, детектируемое антивирусным ПО Dr.Web как Trojan.MulDrop4.61259. В свою очередь, данный файл сохраняет в другую папку еще одну библиотеку, которую регистрирует в реестре Windows в качестве службы с именем «Net Security Service» и следующим описанием: «keep watch on system security and configuration.if this services is stopped,protoected content might not be down loaded to the device». Именно в этой библиотеке и сосредоточен основной вредоносный функционал бэкдора.

После успешного запуска BackDoor.Saker.1 собирает и передаёт злоумышленникам сведения об инфицируемом компьютере, включая версию Windows, тактовую частоту процессора, объём физической оперативной памяти, имя компьютера, имя пользователя, серийный номер жесткого диска. Затем троянец создает в одной из системных папок файл, в который записываются нажатия пользователем клавиш на клавиатуре компьютера. После этого бэкдор ожидает ответ от удаленного сервера, в котором могут содержаться следующие команды: перезагрузка, выключение компьютера, самоудаление, запуск отдельного потока для выполнения команды через командный интерпретатор, или для запуска собственного файлового менеджера, который имеет возможность выгружать файлы с машины пользователя, загружать файлы по сети, создавать папки, удалять, перемещать файлы, а также запускать их.

Сигнатура данной вредоносной программы добавлена в вирусные базы, и потому BackDoor.Saker.1 не представляет опасности для пользователей антивирусного ПО Dr.Web.

[student]

«Доктор Веб» рассказал об опасных российских знакомствах в Интернете


Среди различных способов сетевого мошенничества в Интернете особняком стоит так называемый dating scam — под этим термином понимается технология обмана пользователей многочисленных сайтов знакомств, к которым злоумышленники втираются в доверие с целью обогащения. Специалисты компании «Доктор Веб» изучили методы работы сетевых жуликов и выявили ряд тенденций, наиболее популярных сегодня в данной сфере рынка киберпреступлений.

Письмо

Спойлер   :

В последние годы традиционные способы мошенничества «на доверии», когда сетевые жулики под видом одинокой барышни знакомились на форумах с иностранцами, расписывали ужасы жизни в каком-нибудь провинциальном городке и слезно просили «выслать немного денег в голодную Россию», перестали приносить прибыль, да и зарубежные граждане научились относиться к «русским красавицам» с определенной долей осторожности. Теперь индустрия обмана иностранцев в Интернете использует более продвинутые технологии, а сам процесс поставлен на конвейер.

На подпольных хакерских форумах значительной популярностью пользуются комплекты нестудийных фотографий, на которых изображена не слишком примелькавшаяся в Сети симпатичная девушка. Стоимость набора из полутора сотен фото и нескольких видеороликов может составлять от $400 до $1000, в зависимости от качества «товара» и выдвигаемых заказчиком требований. Нередко жуликам требуются услуги «девушки с поддержкой» — в этом случае модель должна время от времени передавать мошенникам фотографии, отснятые в заранее оговоренном антураже или видеоролики, в которых юная особа произносит заранее оговоренные фразы.

Не менее высоким спросом пользуются услуги профессиональных переводчиков и копирайтеров, способных составлять от имени девушки грамотные и нешаблонные письма. Обычно мошенники до мелочей придумывают для своего персонажа подробнейшую биографию, включая имя девушки, место ее рождения и проживания, ее историю, увлечения, вкусы и предпочтения. Как правило, копирайтерам заказывают 20-30 шаблонов писем постепенно увеличивающегося объема, со сквозным сюжетом и строгими требованиями к стилистике. В качестве оплаты жулики предлагают вознаграждение в размере от 150 до 1000 рублей за письмо, хотя, связываясь с мошенниками, исполнитель рискует и вовсе не получить ничего.

Для девушки мошенники создают веб-сайт или страницу в социальной сети Facebook, где размещают несколько заранее подготовленных фотографий. Согласно сценарию, девушка обычно проживает в небольшом провинциальном российском городе и имеет творческую профессию — художника, фотографа или дизайнера. В письмах мошенники рассказывают о каких-то забавных случаях или ситуациях, связанных с её работой и жизнью в небольшом российском городке. Ради придания переписке романтического ореола (и с целью избежать обвинений в легкомысленности) жулики обычно упоминают о том, что девушка ранее переписывалась с иностранным мужчиной, но он обманул ее ожидания, оказавшись женатым пенсионером с кучей детей — по этой же причине она избегает телефонных звонков и видеосвязи, надеясь сначала узнать своего избранника получше. На определенном этапе жулики выясняют почтовый адрес мужчины и высылают ему небольшой трогательный подарок — например, фотографию девушки с нарисованным помадой сердечком. Когда жертва окончательно растает от потоков романтики и знаков внимания, на работе у «девушки» внезапно происходит какая-либо катастрофа: разбивается дорогой зеркальный фотоаппарат или любимый дизайнерский планшет. Далее события могут развиваться по двум сценариям: доверчивую жертву «раскручивают» на приобретение дорогостоящего устройства, которое затем успешно продается, либо заманивают на сайт поддельного интернет-магазина, где можно приобрести недорогую, но «уникальную» вещь — в этом случае влюбленный мужчина рискует и вовсе расстаться со всеми средствами на счете своей банковской карты, добровольно передав мошенникам ее реквизиты. С учетом того, что одни и те же шаблоны сообщений могут использоваться в процессе переписки сразу с несколькими десятками адресатов, злоумышленники могут получить весьма внушительный нелегальный доход.

Согласно сообщениям, регулярно публикуемым на различных форумах, в российском сегменте Сети в последнее время процветает еще один вид преступлений, связанных с общением в Интернете. Злоумышленники находят на сайтах знакомств одинокую женщину или мужчину, пытающихся наладить личную жизнь, завязывают романтическую переписку, и, выяснив, что жертва проживает в своей квартире одна, предлагают ей приехать в другой город для личной встречи. Зачастую мошенники даже приобретают для нее билеты на поезд или самолет (как правило, воспользовавшись для этого крадеными платежными реквизитами). И пока жертва в предвкушении счастливой встречи с избранником мчится на другой конец России, квартирные воры, никуда не торопясь, выносят из ее жилища все ценные вещи и деньги.

[student]

Dr.Web для Android выявил более 11 миллионов угроз за месяц


За сентябрь 2013 года антивирусное приложение Dr.Web для Android зафиксировал более 11 миллионов случаев срабатывания антивирусного монитора при выявлении вредоносного или сомнительного ПО и более 4 миллионов случаев обнаружения вредоносных программ при сканировании мобильных устройств по требованию пользователей.


[COLOR="Blue"]Географическое распределение случаев заражения[/COLOR]

Анализ собранной с использованием Антивируса Dr.Web для Android статистики показал: в сентябре 2013 года пользователи запускали сканирование около 17 000 000 раз, при этом наличие вредоносного или сомнительного ПО было зафиксировано более 4 000 000 раз. А поскольку в случае выявления на мобильном устройстве сразу нескольких угроз они отображаются в программном продукте списком в одном окне, реальное количество обнаруженных вредоносных программ несколько выше указанной цифры.

Если сканер запускается по требованию пользователя, то монитор работает постоянно, защищая устройство в непрерывном режиме. В отличие от сканера, в период с 1 по 30 сентября 2013 года резидентный монитор Антивируса Dr.Web для Android при обнаружении вредоносных или нежелательных программ, а также при попытках скопировать или установить их на защищаемое устройство сработал около 11 500 000 раз. При этом ежесуточно фиксировалось порядка 450 000 случаев срабатывания монитора. Пик выявления угроз для мобильной платформы Android пришелся на 21 сентября 2013 года — в этот день произошло 489 357 срабатываний антивирусного монитора.

Весьма примечательно географическое распределение пользователей, на устройствах которых фиксировалось срабатывание монитора Антивируса Dr.Web для Android. Подавляющее их большинство (более 3 500 000 случаев) проживает на территории России, на втором месте с показателем 1 800 000 неожиданно оказалась Саудовская Аравия, третью позицию со значением 1 700 000 занимает Ирак. Украина с показателем 670 000 срабатываний — лишь на четвертом месте.

Статистика распределения пользователей по странам и регионам, связанная с обнаружением угроз при помощи антивирусного сканера Dr.Web для Android, показывает в целом схожую картину, с незначительными отличиями: зафиксировано 145 564 случаев обнаружения вредоносного ПО у пакистанских пользователей, 113 281 — у пользователей из Малайзии и 103 192 у жителей Вьетнама. Интересный факт: несмотря на то, что жители Японии составляют весьма существенную долю от общего количества пользователей Dr.Web для Android (9,45%), случаи обнаружения вредоносных программ на их устройствах достаточно редки: всего за истекший месяц было выявлено лишь 54 767 срабатываний антивирусного монитора и 4 324 случая обнаружения вредоносного ПО антивирусным сканером. По общему числу заражений Япония находится на 54-м месте среди других стран: косвенно это может свидетельствовать о высокой степени осведомленности японских пользователей в отношении ситуации в сфере информационной безопасности, а также о высокой культуре использования ими приложений для мобильной ОС Android.

Наиболее распространенной угрозой для операционной системы Android, как и прежде, остаются троянцы семейства Android.SmsSend. На втором месте по количеству известных модификаций находятся троянцы семейства Android.SmsSpy, на третьем — программы-шпионы семейства Android.Spy. Кроме того, весьма распространены троянские программы Android.DownLoader, Android.Backdoor, Android.Gingersploit, Android.Basebridge и Android.Fakealert, а также всевозможные рекламные инструменты, например, not a virus Tool.SMSSend, not a virus Tool.Rooter и not a virus Adware.Airpush.

[student]

«Доктор Веб» обновляет свои Android-антивирусы

Компания «Доктор Веб» обновила продукты Dr.Web для Android версии 8.00.7 и Dr.Web для Android Light 7.00.9. Изменения связаны с усовершенствованием механизмов обнаружения и анализа угроз: реализовано выявление вредоносных программ, применяющих обфускацию кода, а также добавлено обнаружение угроз, устанавливающих признак шифрования на apk-файл.

Обновленные версии продуктов доступны на Google play (Антивирус Dr.Web, Антивирус Dr.Web Life license, Dr.Web Антивирус Light) и на сайте «Доктор Веб» (Dr.Web для Android, Dr.Web для Android Light).

Для пользователей Dr.Web для Android и Dr.Web для Android Light, установивших приложение с Google play, обновление пройдет автоматически. Если же автоматические обновления на устройстве отключены, необходимо зайти на Google play, выбрать в списке приложений Антивирус Dr.Web, Антивирус Dr.Web Life license или Dr.Web Антивирус Light и нажать кнопку «Обновить».

Для обновления через сайт «Доктор Веб» нужно скачать новый дистрибутив. Если в настройках включена опция «Новая версия приложения», при обновлении вирусных баз пользователь получит уведомление о доступной новой версии, которую можно будет загрузить прямо из этого диалога.

[student]

Доктор Веб: Обнаружен троян, угрожающий пользователям SAP

Компания «Доктор Веб» предупредила о распространении вредоносной программы, угрожающей пользователям SAP — комплекса программных решений для бизнеса. Данное вредоносное приложение является представителем широко распространенного семейства банковских троянцев Trojan.PWS.Ibank, способных похищать вводимые пользователем пароли и другую конфиденциальную информацию.

Тоже троян

Специалисты компании «Доктор Веб» провели комплексное исследование этой угрозы. По сравнению с другими вредоносными программами семейства Trojan.PWS.Ibank, данный образец отличается видоизмененной архитектурой бота, также были внесены изменения в механизмы межпроцессорного взаимодействия (IPC), упразднена подсистема SOCKS5. Вместе с тем, практически неизменным остался используемый троянцем внутренний алгоритм шифрования, реализация полезной нагрузки в виде отдельной динамической библиотеки, а также протокол общения с командным центром злоумышленников.

Модуль установки троянца обладает функциональностью, позволяющей определить попытку запуска вредоносной программы в отладочной среде или виртуальной машине, чтобы затруднить ее исследование специалистами. Также выполняется проверка на выполнение в изолированной среде «песочницы» Sandboxie — утилиты для контроля за работой различных программ. При этом троянец способен действовать как в 32-битных, так и в 64-битных версиях Microsoft Windows, используя различные способы внедрения в операционную систему. Основной модуль троянца, способен выполнять две новые команды (по сравнению с предыдущими версиями Trojan.PWS.Ibank) — одна из них активирует/дезактивирует блокировку банковских клиентов, другая — позволяет получить от управляющего сервера конфигурационный файл.

Еще одной важной отличительной особенностью троянца Trojan.PWS.Ibank является его способность встраиваться в различные работающие процессы, а обновленная версия получила дополнительную функциональность, позволяющую проверять имена запущенных программ, в том числе клиента SAP — комплекса бизнес-приложений, предназначенных для управления предприятием. Данный программный комплекс включает множество модулей, в том числе, компоненты управления налогообложением, сбытом, товарооборотом, и потому оперирует конфиденциальной информацией, весьма чувствительной для коммерческих предприятий. Первая версия троянца, проверявшего наличие SAP в инфицированной системе, получила распространение еще в июне: она была добавлена в базы Dr.Web под именем Trojan.PWS.Ibank.690, текущая же имеет обозначение Trojan.PWS.Ibank.752.

На сегодняшний день троянцы семейства Trojan.PWS.Ibank не предпринимают никаких деструктивных действий в отношении программного комплекса SAP, но проверяют факт его наличия в инфицированной системе и пытаются встроиться в соответствующий процесс, если он запущен в Windows. Вполне возможно, что таким образом вирусописатели создают для себя некий «задел на будущее».

[student]

Доктор Веб: всплеск активности трояна для любителей онлайн-музыки и видео


Компания «Доктор Веб» сообщил об активно распространяющемся трояне Trojan.Lyrics, который в последнее время часто прилагается в качестве "довеска" к контенту на веб-ресурсах, предлагающих бесплатное прослушивание музыки, просмотр фильмов или игры в режиме онлайн, а также позволяющих скачивать медиафайлы и программное обеспечение. Эта вредоносная программа создает массу проблем: в частности, демонстрирует назойливую рекламу и без ведома пользователя открывает в окне браузера веб-сайты сомнительного содержания.

Действие Trojan.Lyrics

В качестве потенциальных жертв авторы Trojan.Lyrics (оригинальное приложение может иметь различные наименования, например, AddLyrics, LyricsFinder, TheTubeSing, Lyricspal, Lyricstab, и т. д.) выбрали в первую очередь любителей музыки. С помощью этой программы меломаны якобы получат возможность воспроизвести любую композицию, размещенную на YouTube, с одновременным просмотром ее текста в виде титров, т. е. превратить просмотр видеоклипов в своеобразное караоке.

Предложение скачать данную программу злоумышленники размещают на различных торрент-трекерах, музыкальных сайтах, или на страницах социальных сетей. Trojan.Lyrics можно скачать и с нескольких официальных сайтов разработчиков троянца, но чаще эта программа скрытно устанавливается на компьютер вместе со свободным программным обеспечением, загруженным из Интернета. Создатели бесплатных приложений добавляют Trojan.Lyrics в дистрибутивы своих продуктов с целью получения дополнительной выгоды от демонстрации пользователю навязчивой рекламы.

В процессе инсталляции загруженной из Интернета программы пользователю якобы предоставляется возможность отключить установку рекламного компонента, однако на самом деле отключение невозможно. После того, как вредонос запустился на компьютере жертвы, при открытии в окне браузера веб-сайтов на экране начинают появляться назойливые всплывающие окна, а также всевозможные рекламные сообщения, демонстрируемые в совершенно неожиданных местах веб-страниц. Кроме того, при нажатии на различные ссылки троянец способен перенаправлять пользователя на сомнительные и мошеннические сайты. Некоторые из подобных веб-ресурсов замечены в распространении другого вредоносного ПО, в частности, поддельных антивирусов, детектируемых Dr.Web как представители семейства Trojan.Fakealert.

В последние месяцы зафиксировано резкое увеличение случаев заражения вредоносной программой Trojan.Lyrics — согласно статистике, собранной с использованием лечащей утилиты Dr.Web CureIt!, этот троянец занимает одно из лидирующих мест в перечне обнаруженных угроз.

[student]

Новый троянец занимается майнингом биткоинов

В антивирусной компании «Доктор Веб» сообщили о появлении вредоносной программы Trojan.BtcMine.218, предназначенной для майнинга (добычи) электронной криптовалюты Bitcoin, и распространяющейся с помощью широко известной вредоносной партнерской программы installmonster.ru. Это уже второй троянец для несанкционированного использования вычислительных ресурсов компьютеров, обнаруженный в декабре 2013 года.

Мониторинг партнерской программы по монетизации файлового трафика Installmonster.ru в очередной раз подтвердил её вредоносный характер. В начале декабря в раздаче этой партнерской программы был замечен файл SmallWeatherSetup.exe, якобы представляющий собой «погодный тулбар». Известно и одноименное вполне безобидное приложение, действительно способное демонстрировать актуальную информацию о погоде, однако вариант, предлагаемый партнерской программой Installmonster.ru, содержит совсем небезопасное «дополнение».

В данном случае мы имеем дело с классическим троянцем-дроппером, написанным на макроязыке AutoIt. Код скрипта достаточно прост и понятен, при этом он содержит две характерные строки:

FILEINSTALL("C:\Users\Antonio\Desktop\Glue\SmallWeatherSetup.exe", @TEMPDIR & "\Setup_1.exe")
FILEINSTALL("C:\Users\Antonio\Desktop\Glue\Install.exe", @TEMPDIR & "\Setup_2.exe")

Из этих строк становится очевидно, что пользователь, скрывающийся под псевдонимом Antonio, собрал на Рабочем столе своего компьютера дроппер, включающий два приложения: безобидный «погодный информатор» SmallWeatherSetup.exe и вредоносную программу в файле Install.exe. Приложение Install.exe представляет собой загрузчик основного троянского компонента, который, используя конфигурационный файл в формате XML, скачиваемый с сайта злоумышленников http://bitchat.org, устанавливает на инфицированный компьютер приложение для добычи (майнинга) криптовалюты. В конфигурационном файле содержится логин пользователя, в чью пользу троянец расходует аппаратные ресурсы компьютера жертвы, — tonycraft.

В качестве приложения для добычи криптовалюты используется программа, известная под именем cpuminer (Tool.BtcMine.130), однако на зараженной системе она работает под именем %APPDATA%\Intel\explorer.exe. Для обеспечения автоматического запуска троянская программа модифицирует соответствующую ветвь системного реестра Windows:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Intel(R) Common User Interface"="%APPDATA%\Intel\Intel.exe"

По всей видимости, Antonio (Tony) не слишком искушен в вопросах программирования, поскольку разработку вредоносной программы он поручил другому человеку, который и написал основные модули троянца. Об этом говорит символьная информация, оставленная в модулях троянца, например: "c:\Users\Кошевой Дмитрий\Documents\Visual Studio 2012\Projects\Miner\Instal\obj\Debug\Instal.pdb". С помощью элементарного поиска без труда находится страница в социальной сети «ВКонтакте», где пользователь с ником Tonycoin приглашает всех на свой «обновленный чат-сайт bitchat.org»:

Кроме того, без труда отыскиваются страницы, где тот же пользователь рекламирует своего троянца под видом приложения SmallWeatherSetup.exe. В настоящее время вирусописатель "Кошевой Дмитрий" неустанно продолжает модифицировать свою поделку для обхода сигнатурного детекта, а Tony переключился с "Погодного Информера" на распространение приложения "Интернет Радио" в виде файла с именем ScreamerRadio.exe.

К слову, на днях в партнерской программе InstallMonster появился новый "рекламодатель", устанавливающий пользователям программу RadioOnline.exe, которая, как нетрудно догадаться, представляет собой всё тот же Trojan.BtcMine.218.

[Admin]

Состоялся релиз новой версии антивируса Dr.Web для Linux

Компания «Доктор Веб» объявила о выпуске обновленного антивирусного решения Dr.Web версии 9.0 для платформы Linux.

Представленный отечественным разработчиком продукт обеспечивает защиту от вирусов, троянских программ и других видов вредоносных объектов с использованием технологии несигнатурного поиска Origins Tracing и эвристического анализатора. Программа выполняет проверку файлов «на лету», переносит зараженные объекты в карантин с возможностью их восстановления, собирает подробную статистику о работе антивируса и допускает централизованное управление настройками всех компонентов. Предусмотрена возможность управления работой приложения из командной строки.



В обновленной сборке антивируса Dr.Web для Linux были полностью переработаны элементы графического интерфейса продукта, реализована поддержка многопоточного сканирования, позволяющая повысить скорость работы на многоядерных процессорах, и добавлена возможность сканирования запущенных процессов для обезвреживания активных угроз. Все компоненты программы были оптимизированы с целью сокращения нагрузки на процессор и уменьшения потребления памяти. Значительные изменения в файловом мониторе SpIDer Guard позволили разработчикам «Доктор Веб» увеличить надежность и скорость его работы.