Доктор Веб»

[kosoleg5]

«Доктор Веб» выпускает новую версию онлайн-антивируса


Антивирусная компания «Доктор Веб» выпустила новую версию интернет-сервиса Dr.Web AV-Desk, получившую номер 6.1

Среди обновлений сервиса следует отметить добавление поддержки серверов Windows в рамках каждого тарифа для юридических лиц, а также более удобное управление антивирусной сетью.

В новой версии интернет-сервиса Dr.Web AV-Desk специалистами «Доктор Веб» была реализована поддержка серверов Windows в рамках каждого тарифа для юридических лиц. Кроме того, на уровне приложения Dr.Web Agent добавилась поддержка операционных систем Android и Mac OS X для всех тарифов. Помимо этого администраторы сервиса получили возможность гибко настраивать на сервере список адресов, с которых можно управлять рабочими станциями.

В версию 6.1 была также включена функция, позволяющая централизованно настраивать белые списки для компонента SpIDer Gate, а также осуществлять удаленную установку приложения Dr.Web Agent с указанными идентификаторами на рабочие станции с заданным IP-адресом.

Улучшения коснулись и средств администрирования защиты, повысилось удобство управления антивирусной сетью. Так, в версии Dr.Web AV-Desk 6.1 была добавлена возможность получения списка рабочих станций, никогда не подключавшихся к Серверу или не подключавшихся к нему в течение заданного промежутка времени. Была существенно оптимизирована работа с иерархическим списком станций в разделе Антивирусная сеть.

Подробные данные:
http://www.cybersecurity.ru/pda/146869.html

[студент]

Новая версия Dr.Web 9.0 для Windows

Компания «Доктор Веб» выпустила девятую версию продуктов Dr.Web Security Space и Антивируса Dr.Web для защиты компьютеров под управлением ОС Windows. По словам разработчиков, в версии Dr.Web 9.0 для Windows реализован целый ряд новшеств, благодаря которым усилена защита от наиболее актуальных угроз.

Антивирус Dr.Web

Новый поведенческий анализатор Dr.Web позволит оперативно обнаруживать новейшие модификации троянцев семейства Trojan.Encoder, обеспечена защита пользовательских данных от повреждения вредоносным ПО, усовершенствовано выявление известных угроз, скрытых под новыми упаковщиками. Улучшения в файловом мониторе SpIDer Guard и облачном сервисе Dr.Web Cloud позволили значительно снизить нагрузку на систему и сделать работу антивируса еще более незаметной.

Новые технологии защиты Dr.Web версии 9.0 для Windows обеспечат безопасную работу в интернет-поисковиках и обмен информацией с помощью мессенджеров, а благодаря изменениям в брандмауэре Dr.Web необходимость создания новых правил пользователем будет сокращена до минимума.

[студент]

«Доктор Веб» рассказал об опасных российских знакомствах в Интернете

Среди различных способов сетевого мошенничества в Интернете особняком стоит так называемый dating scam — под этим термином понимается технология обмана пользователей многочисленных сайтов знакомств, к которым злоумышленники втираются в доверие с целью обогащения. Специалисты компании «Доктор Веб» изучили методы работы сетевых жуликов и выявили ряд тенденций, наиболее популярных сегодня в данной сфере рынка киберпреступлений.

Письмо

В последние годы традиционные способы мошенничества «на доверии», когда сетевые жулики под видом одинокой барышни знакомились на форумах с иностранцами, расписывали ужасы жизни в каком-нибудь провинциальном городке и слезно просили «выслать немного денег в голодную Россию», перестали приносить прибыль, да и зарубежные граждане научились относиться к «русским красавицам» с определенной долей осторожности. Теперь индустрия обмана иностранцев в Интернете использует более продвинутые технологии, а сам процесс поставлен на конвейер.

На подпольных хакерских форумах значительной популярностью пользуются комплекты нестудийных фотографий, на которых изображена не слишком примелькавшаяся в Сети симпатичная девушка. Стоимость набора из полутора сотен фото и нескольких видеороликов может составлять от $400 до $1000, в зависимости от качества «товара» и выдвигаемых заказчиком требований. Нередко жуликам требуются услуги «девушки с поддержкой» — в этом случае модель должна время от времени передавать мошенникам фотографии, отснятые в заранее оговоренном антураже или видеоролики, в которых юная особа произносит заранее оговоренные фразы.

Не менее высоким спросом пользуются услуги профессиональных переводчиков и копирайтеров, способных составлять от имени девушки грамотные и нешаблонные письма. Обычно мошенники до мелочей придумывают для своего персонажа подробнейшую биографию, включая имя девушки, место ее рождения и проживания, ее историю, увлечения, вкусы и предпочтения. Как правило, копирайтерам заказывают 20-30 шаблонов писем постепенно увеличивающегося объема, со сквозным сюжетом и строгими требованиями к стилистике. В качестве оплаты жулики предлагают вознаграждение в размере от 150 до 1000 рублей за письмо, хотя, связываясь с мошенниками, исполнитель рискует и вовсе не получить ничего.

Для девушки мошенники создают веб-сайт или страницу в социальной сети Facebook, где размещают несколько заранее подготовленных фотографий. Согласно сценарию, девушка обычно проживает в небольшом провинциальном российском городе и имеет творческую профессию — художника, фотографа или дизайнера. В письмах мошенники рассказывают о каких-то забавных случаях или ситуациях, связанных с её работой и жизнью в небольшом российском городке. Ради придания переписке романтического ореола (и с целью избежать обвинений в легкомысленности) жулики обычно упоминают о том, что девушка ранее переписывалась с иностранным мужчиной, но он обманул ее ожидания, оказавшись женатым пенсионером с кучей детей — по этой же причине она избегает телефонных звонков и видеосвязи, надеясь сначала узнать своего избранника получше. На определенном этапе жулики выясняют почтовый адрес мужчины и высылают ему небольшой трогательный подарок — например, фотографию девушки с нарисованным помадой сердечком. Когда жертва окончательно растает от потоков романтики и знаков внимания, на работе у «девушки» внезапно происходит какая-либо катастрофа: разбивается дорогой зеркальный фотоаппарат или любимый дизайнерский планшет. Далее события могут развиваться по двум сценариям: доверчивую жертву «раскручивают» на приобретение дорогостоящего устройства, которое затем успешно продается, либо заманивают на сайт поддельного интернет-магазина, где можно приобрести недорогую, но «уникальную» вещь — в этом случае влюбленный мужчина рискует и вовсе расстаться со всеми средствами на счете своей банковской карты, добровольно передав мошенникам ее реквизиты. С учетом того, что одни и те же шаблоны сообщений могут использоваться в процессе переписки сразу с несколькими десятками адресатов, злоумышленники могут получить весьма внушительный нелегальный доход.

Согласно сообщениям, регулярно публикуемым на различных форумах, в российском сегменте Сети в последнее время процветает еще один вид преступлений, связанных с общением в Интернете. Злоумышленники находят на сайтах знакомств одинокую женщину или мужчину, пытающихся наладить личную жизнь, завязывают романтическую переписку, и, выяснив, что жертва проживает в своей квартире одна, предлагают ей приехать в другой город для личной встречи. Зачастую мошенники даже приобретают для нее билеты на поезд или самолет (как правило, воспользовавшись для этого крадеными платежными реквизитами). И пока жертва в предвкушении счастливой встречи с избранником мчится на другой конец России, квартирные воры, никуда не торопясь, выносят из ее жилища все ценные вещи и деньги.

[студент]

Dr.Web для Android выявил более 11 миллионов угроз за месяц


За сентябрь 2013 года антивирусное приложение Dr.Web для Android зафиксировал более 11 миллионов случаев срабатывания антивирусного монитора при выявлении вредоносного или сомнительного ПО и более 4 миллионов случаев обнаружения вредоносных программ при сканировании мобильных устройств по требованию пользователей.


Географическое распределение случаев заражения

Анализ собранной с использованием Антивируса Dr.Web для Android статистики показал: в сентябре 2013 года пользователи запускали сканирование около 17 000 000 раз, при этом наличие вредоносного или сомнительного ПО было зафиксировано более 4 000 000 раз. А поскольку в случае выявления на мобильном устройстве сразу нескольких угроз они отображаются в программном продукте списком в одном окне, реальное количество обнаруженных вредоносных программ несколько выше указанной цифры.

Если сканер запускается по требованию пользователя, то монитор работает постоянно, защищая устройство в непрерывном режиме. В отличие от сканера, в период с 1 по 30 сентября 2013 года резидентный монитор Антивируса Dr.Web для Android при обнаружении вредоносных или нежелательных программ, а также при попытках скопировать или установить их на защищаемое устройство сработал около 11 500 000 раз. При этом ежесуточно фиксировалось порядка 450 000 случаев срабатывания монитора. Пик выявления угроз для мобильной платформы Android пришелся на 21 сентября 2013 года — в этот день произошло 489 357 срабатываний антивирусного монитора.

Весьма примечательно географическое распределение пользователей, на устройствах которых фиксировалось срабатывание монитора Антивируса Dr.Web для Android. Подавляющее их большинство (более 3 500 000 случаев) проживает на территории России, на втором месте с показателем 1 800 000 неожиданно оказалась Саудовская Аравия, третью позицию со значением 1 700 000 занимает Ирак. Украина с показателем 670 000 срабатываний — лишь на четвертом месте.

Статистика распределения пользователей по странам и регионам, связанная с обнаружением угроз при помощи антивирусного сканера Dr.Web для Android, показывает в целом схожую картину, с незначительными отличиями: зафиксировано 145 564 случаев обнаружения вредоносного ПО у пакистанских пользователей, 113 281 — у пользователей из Малайзии и 103 192 у жителей Вьетнама. Интересный факт: несмотря на то, что жители Японии составляют весьма существенную долю от общего количества пользователей Dr.Web для Android (9,45, случаи обнаружения вредоносных программ на их устройствах достаточно редки: всего за истекший месяц было выявлено лишь 54 767 срабатываний антивирусного монитора и 4 324 случая обнаружения вредоносного ПО антивирусным сканером. По общему числу заражений Япония находится на 54-м месте среди других стран: косвенно это может свидетельствовать о высокой степени осведомленности японских пользователей в отношении ситуации в сфере информационной безопасности, а также о высокой культуре использования ими приложений для мобильной ОС Android.

Наиболее распространенной угрозой для операционной системы Android, как и прежде, остаются троянцы семейства Android.SmsSend. На втором месте по количеству известных модификаций находятся троянцы семейства Android.SmsSpy, на третьем — программы-шпионы семейства Android.Spy. Кроме того, весьма распространены троянские программы Android.DownLoader, Android.Backdoor, Android.Gingersploit, Android.Basebridge и Android.Fakealert, а также всевозможные рекламные инструменты, например, not a virus Tool.SMSSend, not a virus Tool.Rooter и not a virus Adware.Airpush.

[студент]

«Доктор Веб» обновляет свои Android-антивирусы

Компания «Доктор Веб» обновила продукты Dr.Web для Android версии 8.00.7 и Dr.Web для Android Light 7.00.9. Изменения связаны с усовершенствованием механизмов обнаружения и анализа угроз: реализовано выявление вредоносных программ, применяющих обфускацию кода, а также добавлено обнаружение угроз, устанавливающих признак шифрования на apk-файл.

Обновленные версии продуктов доступны на Google play (Антивирус Dr.Web, Антивирус Dr.Web Life license, Dr.Web Антивирус Light) и на сайте «Доктор Веб» (Dr.Web для Android, Dr.Web для Android Light).

Для пользователей Dr.Web для Android и Dr.Web для Android Light, установивших приложение с Google play, обновление пройдет автоматически. Если же автоматические обновления на устройстве отключены, необходимо зайти на Google play, выбрать в списке приложений Антивирус Dr.Web, Антивирус Dr.Web Life license или Dr.Web Антивирус Light и нажать кнопку «Обновить».

Для обновления через сайт «Доктор Веб» нужно скачать новый дистрибутив. Если в настройках включена опция «Новая версия приложения», при обновлении вирусных баз пользователь получит уведомление о доступной новой версии, которую можно будет загрузить прямо из этого диалога.

[студент]

Доктор Веб: Обнаружен троян, угрожающий пользователям SAP

Компания «Доктор Веб» предупредила о распространении вредоносной программы, угрожающей пользователям SAP — комплекса программных решений для бизнеса. Данное вредоносное приложение является представителем широко распространенного семейства банковских троянцев Trojan.PWS.Ibank, способных похищать вводимые пользователем пароли и другую конфиденциальную информацию.

Тоже троян

Специалисты компании «Доктор Веб» провели комплексное исследование этой угрозы. По сравнению с другими вредоносными программами семейства Trojan.PWS.Ibank, данный образец отличается видоизмененной архитектурой бота, также были внесены изменения в механизмы межпроцессорного взаимодействия (IPC), упразднена подсистема SOCKS5. Вместе с тем, практически неизменным остался используемый троянцем внутренний алгоритм шифрования, реализация полезной нагрузки в виде отдельной динамической библиотеки, а также протокол общения с командным центром злоумышленников.

Модуль установки троянца обладает функциональностью, позволяющей определить попытку запуска вредоносной программы в отладочной среде или виртуальной машине, чтобы затруднить ее исследование специалистами. Также выполняется проверка на выполнение в изолированной среде «песочницы» Sandboxie — утилиты для контроля за работой различных программ. При этом троянец способен действовать как в 32-битных, так и в 64-битных версиях Microsoft Windows, используя различные способы внедрения в операционную систему. Основной модуль троянца, способен выполнять две новые команды (по сравнению с предыдущими версиями Trojan.PWS.Ibank) — одна из них активирует/дезактивирует блокировку банковских клиентов, другая — позволяет получить от управляющего сервера конфигурационный файл.

Еще одной важной отличительной особенностью троянца Trojan.PWS.Ibank является его способность встраиваться в различные работающие процессы, а обновленная версия получила дополнительную функциональность, позволяющую проверять имена запущенных программ, в том числе клиента SAP — комплекса бизнес-приложений, предназначенных для управления предприятием. Данный программный комплекс включает множество модулей, в том числе, компоненты управления налогообложением, сбытом, товарооборотом, и потому оперирует конфиденциальной информацией, весьма чувствительной для коммерческих предприятий. Первая версия троянца, проверявшего наличие SAP в инфицированной системе, получила распространение еще в июне: она была добавлена в базы Dr.Web под именем Trojan.PWS.Ibank.690, текущая же имеет обозначение Trojan.PWS.Ibank.752.

На сегодняшний день троянцы семейства Trojan.PWS.Ibank не предпринимают никаких деструктивных действий в отношении программного комплекса SAP, но проверяют факт его наличия в инфицированной системе и пытаются встроиться в соответствующий процесс, если он запущен в Windows. Вполне возможно, что таким образом вирусописатели создают для себя некий «задел на будущее».

[студент]

"Доктор Веб" обновляет свое антивирусное программное обеспечение для Windows

Компания «Доктор Веб» обновила компоненты SpIDer Agent (9.0.2.201310300), сервиса перехвата трафика Dr.Web Net Filtering Service (9.0.4.11081), сканирующего сервиса Dr.Web Scanning Engine (9.0.5.201310300), антируткитного модуля Dr.Web Anti-rootkit API (9.0.5.201311070) и конфигурационных скриптов в продуктах Dr.Web Security Space и Антивирус Dr.Web для Windows версии 9.0. Обновление связано с исправлением выявленных ошибок.

В SpIDer Agent устранена причина некорректной обработки диапазона вводимых портов при создании правил брандмауэра для фильтрации пакетов.

В сервисе перехвата трафика исправлены ошибки, приводившие к блокированию передачи данных по протоколу FTP в активном режиме, а также при взаимодействии этого компонента с брандмауэром Windows. Устранена проблема, из-за которой при включенной опции «Проверять трафик и URL в IM-клиентах» не блокировалась передача вредоносных файлов при использовании ICQ 8. Ликвидирована причина чрезмерной загрузки процессора при проверке антивирусом SSL-трафика клиента Skype, подключенного к учетной записи Facebook.

В антируткитном модуле сделаны доработки в связи с возможным аварийным завершением работы сканирующего сервиса, а также «зависанием» Windows. Вместе с тем улучшена система лечения активного заражения.

Изменение в конфигурационных скриптах связано с устранением причины ошибочного удаления настроек брандмауэра Dr.Web (с включенной опцией их сохранения) при деинсталляции продукта.

Помимо перечисленного, внесен ряд исправлений в справки на русском и английском языках. Обновление пройдет для пользователей автоматически, однако потребует перезагрузки компьютеров.

[студент]

Доктор Веб: всплеск активности трояна для любителей онлайн-музыки и видео


Компания «Доктор Веб» сообщил об активно распространяющемся трояне Trojan.Lyrics, который в последнее время часто прилагается в качестве "довеска" к контенту на веб-ресурсах, предлагающих бесплатное прослушивание музыки, просмотр фильмов или игры в режиме онлайн, а также позволяющих скачивать медиафайлы и программное обеспечение. Эта вредоносная программа создает массу проблем: в частности, демонстрирует назойливую рекламу и без ведома пользователя открывает в окне браузера веб-сайты сомнительного содержания.

Действие Trojan.Lyrics

В качестве потенциальных жертв авторы Trojan.Lyrics (оригинальное приложение может иметь различные наименования, например, AddLyrics, LyricsFinder, TheTubeSing, Lyricspal, Lyricstab, и т. д.) выбрали в первую очередь любителей музыки. С помощью этой программы меломаны якобы получат возможность воспроизвести любую композицию, размещенную на YouTube, с одновременным просмотром ее текста в виде титров, т. е. превратить просмотр видеоклипов в своеобразное караоке.

Предложение скачать данную программу злоумышленники размещают на различных торрент-трекерах, музыкальных сайтах, или на страницах социальных сетей. Trojan.Lyrics можно скачать и с нескольких официальных сайтов разработчиков троянца, но чаще эта программа скрытно устанавливается на компьютер вместе со свободным программным обеспечением, загруженным из Интернета. Создатели бесплатных приложений добавляют Trojan.Lyrics в дистрибутивы своих продуктов с целью получения дополнительной выгоды от демонстрации пользователю навязчивой рекламы.

В процессе инсталляции загруженной из Интернета программы пользователю якобы предоставляется возможность отключить установку рекламного компонента, однако на самом деле отключение невозможно. После того, как вредонос запустился на компьютере жертвы, при открытии в окне браузера веб-сайтов на экране начинают появляться назойливые всплывающие окна, а также всевозможные рекламные сообщения, демонстрируемые в совершенно неожиданных местах веб-страниц. Кроме того, при нажатии на различные ссылки троянец способен перенаправлять пользователя на сомнительные и мошеннические сайты. Некоторые из подобных веб-ресурсов замечены в распространении другого вредоносного ПО, в частности, поддельных антивирусов, детектируемых Dr.Web как представители семейства Trojan.Fakealert.

В последние месяцы зафиксировано резкое увеличение случаев заражения вредоносной программой Trojan.Lyrics — согласно статистике, собранной с использованием лечащей утилиты Dr.Web CureIt!, этот троянец занимает одно из лидирующих мест в перечне обнаруженных угроз.

[студент]

Доктор Веб отмечает резкое снижение количества вредоносного ПО для Android

Специалисты компании «Доктор Веб» анализировали поступающую от пользователей Dr.Web для Android статистическую информацию. В ноябре антивирусный сканер Dr.Web на мобильных устройствах под управлением Android запускался порядка 20,5 млн раз, при этом в процессе сканирования было обнаружено 3,2 млн угроз. В сутки при помощи Dr.Web обнаруживается 300 000 вредоносных программ для этой мобильной платформы.

Согласно статистике, в ноябре 2013 года было зафиксировано 8 095 350 срабатываний мобильного антивирусного монитора, что на 3 745 21 меньше показателей предыдущего месяца. Столь необычное снижение показателей может быть связано c сезонными колебаниями распространения вредоносного ПО. Принудительное сканирование своих устройств пользователи запускали 20 443 096 раз, при этом сканер обнаружил 3 226 243 вредоносных или нерекомендуемых приложения для Android — на 1 250 194 меньше, чем в октябре.

В среднем с использованием сканера Dr.Web для Android ежесуточно выявляется порядка 120 000 мобильных угроз — максимальное значение было достигнуто 15 ноября (141 294), а меньше всего вредоносных программ для Android сканер обнаружил 25 ноября 2013 года (110 740). Пик активности вредоносных и нерекомендуемых программ был достигнут 1 ноября 2013 года (412 395 срабатываний антивирусного монитора), минимальное значение отмечалось 26 ноября (253 832 срабатывания).

Наиболее распространенными на сегодняшний день являются троянцы семейств Android.SmsBot, Android.Wondertek, Android.Spy, Android.SmsSend. Например, в течение месяца вирусные базы пополнились записями для нескольких новых модификаций вредоносных программ семейств Android.Spy, Android.SmsSpy и Android.Tempur, предназначенных для перехвата SMS-сообщений и получения других персональных сведений.

В минувшем месяце без внимания киберпреступников не остались и китайские пользователи Android: в ноябре был обнаружен новый представитель известного семейства вредоносных программ Android.SmsSend, добавленный в вирусную базу под именем Android.SmsSend.946.origin. Данный троянец распространялся на различных китайских веб-сайтах, содержащих ПО для операционной системы Android.

[студент]

Новый троянец занимается майнингом биткоинов

Компания «Доктор Веб» предупредила о распространении троянской программы Trojan.BtcMine.221, предназначенной для добычи (майнинга) криптовалюты Litecoin. Троянец распространяется под видом различных приложений – например, надстройки к браузеру, якобы помогающей пользователю в подборе товара при совершении покупок в интернет-магазинах.

Данная вредоносная программа распространяется с нескольких принадлежащих злоумышленникам веб-сайтов. Создатели приложения утверждают, что этот плагин, названный ими Shopping Suggestion, автоматически распознает просматриваемые пользователем на различных торговых площадках товары и отыскивает в сети аналогичные предложения по более выгодным ценам. Также этот троянец нередко маскируется под иные приложения, такие как VLC-плеер или программу для анонимного серфинга в Интернете, при этом его образцы распространяются в сети как минимум на протяжении года. На самом же деле Trojan.BtcMine.221 предназначен для добычи (майнинга) криптовалюты Litecoin - одного из аналогов популярного платежного средства Bitcoin, для чего он использует аппаратные ресурсы компьютера без ведома пользователя. Следует отметить, что цифровые подписи были получены разработчиками на легитимные приложения с аналогичными названиями, однако ту же подпись имеет указанная троянская программа.

Согласно статистике, собранной специалистами компании «Доктор Веб», в настоящее время в бот-сети, образованной троянцем Trojan.BtcMine.221, насчитывается 311 477 зарегистрированных установок бота. Наибольшее количество инфицированных троянцем Trojan.BtcMine.221 рабочих станций (56 576) расположено на территории США, на втором месте — Бразилия с показателем 31 567 ботов, на третьем — Турция (25 077). Россия с показателем 22 374 зарегистрированных установок занимает четвертое место. Распространение зараженных компьютеров по странам показано на иллюстрации ниже.

По усредненным подсчетам в созданной злоумышленниками бот-сети наблюдается активность 203 406 ботов в сутки. В период с 10 по 12 декабря 2013 года к ботнету подключилось 49 140 вновь инфицированных машин, при этом количество удаленных с компьютеров пользователей троянцев за тот же период составляет всего лишь 6 028.

Ботнет Trojan.BtcMine.221 состоит из нескольких подсетей, различающихся по версии действующих на инфицированных компьютерах троянцев-майнеров, часть из которых использует для добычи криптовалюты ресурсы центрального процессора зараженного ПК, часть – графического процессора. Так, в одной из подсетей числится порядка 65 000 активных ботов. При этом средний ежесуточный доход злоумышленников составляет 1 454,53 долларов США. Средняя вычислительная мощность этой подсети (хэшрейт) составляет 167 647 KH/сек.

[студент]

Доктор Веб: браузерный плагин SafeWeb демонстрирует навязчивую рекламу

Компания «Доктор Веб» сообщила о распространении вредоносной программы Trojan.Zadved.1, представляющей собой плагин к браузерам, который якобы должен защищать пользователя от вредоносных и потенциально опасных сайтов. На самом деле это приложение выполняет прямо противоположную функцию: троянец предназначен для подмены поисковой выдачи, перенаправления пользователя на сайты рекламодателей по щелчку мыши в окне браузера и демонстрации назойливой рекламы.

Установка SafeWeb

Первые образцы вредоносной программы Trojan.Zadved.1 были добавлены в вирусные базы «Доктор Веб» еще в начале ноября. Этот троянец распространяется в виде надстройки к браузерам под названием SafeWeb. Согласно сообщениям ее разработчиков данная надстройка предназначена для «обеспечения безопасности пользователя в Интернете». После загрузки и запуска приложения на экране появляется окно инсталлятора, устанавливающего расширение на компьютер потенциальной жертвы. Наиболее актуальная версия инсталлятора Trojan.Zadved.1 недавно появилась в раздаче вредоносной партнерской программы installmonster.ru (организованной создателями другой партнерской программы — zipmonster.ru, в рамках которой распространяются троянцы семейства Trojan.SmsSend). Следует отметить, что троянские приложения появляются в раздаче installmonster с завидной регулярностью.

SafeWeb в действии

По завершении установки плагин появляется в списке зарегистрированных расширений браузера и загружает с удаленных серверов несколько файлов сценариев, с помощью которых троянец и реализует свои вредоносные функции. Один из них подменяет в окне браузера выдачу поисковых систем, демонстрируя пользователю посторонние ссылки.

Другой сценарий выводит на экран поддельные всплывающие окна сообщений социальной сети «В Контакте». Причем, видимо, в целях повышения достоверности злоумышленники демонстрируют подобные сообщения только в том случае, если жертва просматривает веб-страницы на сайте vk.com. Кроме того, троянец заменяет тизерные рекламные модули социальной сети «В Контакте» своими собственными. Еще один сценарий предназначен для реализации так называемой «кликандер»-рекламы: при щелчке мышью в произвольной точке веб-страницы скрипт открывает новое окно браузера, в котором загружается рекламируемый злоумышленниками сайт.

[студент]

Новый троянец занимается майнингом биткоинов

В антивирусной компании «Доктор Веб» сообщили о появлении вредоносной программы Trojan.BtcMine.218, предназначенной для майнинга (добычи) электронной криптовалюты Bitcoin, и распространяющейся с помощью широко известной вредоносной партнерской программы installmonster.ru. Это уже второй троянец для несанкционированного использования вычислительных ресурсов компьютеров, обнаруженный в декабре 2013 года.

Мониторинг партнерской программы по монетизации файлового трафика Installmonster.ru в очередной раз подтвердил её вредоносный характер. В начале декабря в раздаче этой партнерской программы был замечен файл SmallWeatherSetup.exe, якобы представляющий собой «погодный тулбар». Известно и одноименное вполне безобидное приложение, действительно способное демонстрировать актуальную информацию о погоде, однако вариант, предлагаемый партнерской программой Installmonster.ru, содержит совсем небезопасное «дополнение».

В данном случае мы имеем дело с классическим троянцем-дроппером, написанным на макроязыке AutoIt. Код скрипта достаточно прост и понятен, при этом он содержит две характерные строки:

FILEINSTALL("C:\Users\Antonio\Desktop\Glue\SmallWe atherSetup.exe", @TEMPDIR & "\Setup_1.exe")
FILEINSTALL("C:\Users\Antonio\Desktop\Glue\Install .exe", @TEMPDIR & "\Setup_2.exe")

Из этих строк становится очевидно, что пользователь, скрывающийся под псевдонимом Antonio, собрал на Рабочем столе своего компьютера дроппер, включающий два приложения: безобидный «погодный информатор» SmallWeatherSetup.exe и вредоносную программу в файле Install.exe. Приложение Install.exe представляет собой загрузчик основного троянского компонента, который, используя конфигурационный файл в формате XML, скачиваемый с сайта злоумышленников Войти - BitChat.Org, устанавливает на инфицированный компьютер приложение для добычи (майнинга) криптовалюты. В конфигурационном файле содержится логин пользователя, в чью пользу троянец расходует аппаратные ресурсы компьютера жертвы, — tonycraft.

В качестве приложения для добычи криптовалюты используется программа, известная под именем cpuminer (Tool.BtcMine.130), однако на зараженной системе она работает под именем %APPDATA%\Intel\explorer.exe. Для обеспечения автоматического запуска троянская программа модифицирует соответствующую ветвь системного реестра Windows:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Intel(R) Common User Interface"="%APPDATA%\Intel\Intel.exe"

По всей видимости, Antonio (Tony) не слишком искушен в вопросах программирования, поскольку разработку вредоносной программы он поручил другому человеку, который и написал основные модули троянца. Об этом говорит символьная информация, оставленная в модулях троянца, например: "c:\Users\Кошевой Дмитрий\Documents\Visual Studio 2012\Projects\Miner\Instal\obj\Debug\Instal.pdb". С помощью элементарного поиска без труда находится страница в социальной сети «ВКонтакте», где пользователь с ником Tonycoin приглашает всех на свой «обновленный чат-сайт bitchat.org»:

Кроме того, без труда отыскиваются страницы, где тот же пользователь рекламирует своего троянца под видом приложения SmallWeatherSetup.exe. В настоящее время вирусописатель "Кошевой Дмитрий" неустанно продолжает модифицировать свою поделку для обхода сигнатурного детекта, а Tony переключился с "Погодного Информера" на распространение приложения "Интернет Радио" в виде файла с именем ScreamerRadio.exe.

К слову, на днях в партнерской программе InstallMonster появился новый "рекламодатель", устанавливающий пользователям программу RadioOnline.exe, которая, как нетрудно до***аться, представляет собой всё тот же Trojan.BtcMine.218.

[студент]

Рекламный троян распространяется через Facebook и маскируется под Adobe Flash Player

Компания «Доктор Веб» сообщила об активном распространении, в частности через социальную сеть Facebook, троянской программы Trojan.Zipvideom.1, устанавливающей на компьютер пользователя вредоносные расширения (плагины) к браузерам Mozilla Firefox и Google Chrome. Эти плагины препятствуют свободному просмотру веб-страниц, демонстрируя навязчивую рекламу.


Trojan.Zipvideom.1

Вредоносная программа Trojan.Zipvideom.1 попадает на компьютеры жертв под видом обновления для браузерного плагина Adobe Flash Player. Также, согласно поступившей от пользователей информации, в начале 2014 года образцы данного троянца распространялись с использованием массовых рассылок сообщений в социальной сети Facebook. Имеются основания полагать, что автор троянца говорит на турецком языке.

Если пользователь соглашается с рекомендацией обновить Adobe Flash Player, на его компьютер скачивается первый компонент троянца — программа FlashGuncelle.exe, при этом пользователю демонстрируется ход установки якобы обновления к Adobe Flash Player.

Далее FlashGuncelle.exe связывается с сервером злоумышленников и скачивает на компьютер жертвы следующий компонент троянца — дроппер, который устанавливает и запускает еще несколько компонентов вредоносной программы. Среди них файл Flash_Plugin.exe, который модифицирует ветвь системного реестра, отвечающую за автозагрузку приложений, а затем скачивает и устанавливает плагины к браузерам Mozilla Firefox и Google Chrome.

Опасность этого троянца заключается в том, что загружаемые им плагины мешают свободному просмотру сайтов, демонстрируя рекламу, а также имеют возможность скачивать на компьютер жертвы другое нежелательное программное обеспечение. Установлено, что при посещении сайтов популярных социальных сетей (Twitter, Facebook, Google+, YouTube, «ВКонтакте») эти плагины загружают Java-скрипты сомнительного назначения.

[студент]

Доктор Веб: пользователям iOS угрожают вредоносные ссылки

Компания «Доктор Веб» предупредила пользователей устройств Apple, работающих под управлением операционной системы iOS, об участившихся случаях распространения ссылок на мошеннические сайты с использованием рекламы в мобильных приложениях. Клюнув на приманку злоумышленников, пользователи портативных устройств Apple могут оказаться подписаны на какую-либо информационную псевдоуслугу, потеряв таким образом деньги на своем мобильном счете.



В последнее время пользователи мобильных устройств, работающих под управлением операционной системы Apple iOS, все чаще и чаще сталкиваются с демонстрируемыми на экране смартфона или планшета рекламными объявлениями при работе в ряде бесплатных приложений. Многие из них маскируются под уведомления о поступлении новых SMS или сообщений электронной почты. Так, подобная реклама была замечена в бесплатной утилите для просмотра прогноза погоды Foreca, имеющей версии как для Android, так и для iOS, которые можно загрузить соответственно c Google Play и App Store. Вместе со сведениями о погоде программа демонстрирует рекламные баннеры, с которыми и связана основная угроза: один из баннеров предлагает пользователю участие в некой лотерее. Лотерея оказывается "безпроигрышной": при нажатии на баннер пользователь перенаправляется на мошеннический сайт, где ему предстоит ответить на простой вопрос, а затем жертве сообщается о выигрыше ценного приза. Чтобы получить его, в соответствующем поле на созданной киберпреступниками веб-странице нужно ввести свой номер телефона, а затем подтверждающий код, поступивший в ответном СМС. Если жертва "клюет на наживку", то с большой долей вероятности вместо новенького мобильного телефона или планшета она окажется подписанной на платную информационную услугу. При этом существует возможность, что устроители викторины, стараясь соблюсти требования законодательства, действительно разыгрывают некий ценный приз, однако большинству участников он не достанется, в то время как на платную услугу подписываются все желающие попытать счастья. В последнее время подобная мошенническая реклама была обнаружена еще в нескольких приложениях и играх для iOS.

Те же веб-сайты, предлагающие пользователям мобильной продукции Apple участие в различных викторинах, располагают набором «приманок» для обладателей настольных компьютеров и мобильных устройств, работающих под управлением ОС Android. Специалисты отмечают, что подобные сообщения широко распространены в бесплатных Android-приложениях, использующих различные рекламные системы, предназначенные для монетизации. Пользователям устройств производства компании Apple данный вид сомнительной рекламы стал угрожать относительно недавно: количество зафиксированных случаев мошенничества с использованием мобильной рекламы в iOS неуклонно растет с начала 2014 года.

[студент]

Android-буткит заразил 350 000 устройств

Компания «Доктор Веб» предупредила пользователей ОС Android о появлении опасного троянца, который располагается во встроенной flash-памяти инфицированных мобильных устройств и функционирует как буткит, запускаясь на ранней стадии загрузки операционной системы. Это позволяет ему минимизировать возможность своего удаления без вмешательства в структуру файловой системы Android-устройств.

В настоящее время данная вредоносная программа активна на более чем 350 000 мобильных устройств, принадлежащих пользователям из разных стран, таких как Испания, Италия, Германия, Россия, Бразилия, США, а также ряда государств Юго-восточной Азии.

Для распространения троянца, внесенного в вирусную базу Dr.Web под именем Android.Oldboot.1.origin, злоумышленники воспользовались весьма нестандартным и оригинальным методом, разместив один из компонентов вредоносной программы в загрузочном разделе файловой системы и соответствующим образом изменив скрипт, отвечающий за последовательность активации компонентов ОС.

При включении мобильного устройства данный скрипт инициирует работу троянской Linux-библиотеки imei_chk (детектируется Антивирусом Dr.Web как Android.Oldboot.1), которая в процессе своей работы извлекает файлы libgooglekernel.so (Android.Oldboot.2) и GoogleKernel.apk (Android.Oldboot.1.origin) и помещает их в каталоги /system/lib и /system/app соответственно. Таким образом, часть троянца Android.Oldboot устанавливается в систему как обычное Android-приложение и в дальнейшем функционирует в качестве системного сервиса, подключаясь при помощи библиотеки libgooglekernel.so к удаленному серверу и получая от него различные команды – в частности загрузки, установки или удаления определенных приложений. Наиболее вероятным путем внедрения данной угрозы на мобильные устройства является установка злоумышленниками модифицированной версии прошивки, содержащей необходимые для работы троянца изменения.

Основная опасность этой вредоносной программы заключается в том, что даже в случае успешного удаления элементов Android.Oldboot, которые были проинсталлированы после включения мобильного устройства, находящийся в защищенном разделе flash-памяти компонент imei_chk при последующей перезагрузке вновь осуществит их установку, тем самым повторно инфицировав операционную систему.

Согласно информации, полученной вирусными аналитиками, в настоящее время данная вредоносная программа активна на более чем 350 000 мобильных устройств, принадлежащих пользователям из разных стран, таких как Испания, Италия, Германия, Россия, Бразилия, США, а также ряда государств Юго-восточной Азии. Однако большая часть пострадавших пользователей (92 находится в Китае, что неудивительно, так как троянец Android.Oldboot предназначен, в первую очередь, для китайских владельцев Android-устройств.

[студент]

"Доктор Веб": Android-пользователи сталкиваются с огромным количеством вредоносов

Компания «Доктор Веб» сегодня обнародовала статистику распространения угроз для мобильной платформы Android, получаемой с помощью Dr.Web для Android. Собранные данные свидетельствуют: в феврале 2014 года с использованием антивирусного монитора было выявлено более 8 млн нерекомендуемых и вредоносных приложений.

Всего в период с 1 по 27 февраля 2014 года с помощью Dr.Web для Android на устройствах пользователей было выявлено 8 315 374 нерекомендуемых и вредоносных программы, при этом пик вирусной активности пришелся на 7 февраля — в этот день было обнаружено 374 194 вредоносных приложения, а минимальная вирусная активность зафиксирована 19 февраля — в этот день выявлено 283 159 угроз.

Наиболее часто на мобильных устройствах обнаруживался рекламный модуль Adware.Revmob.1.origin, а также рекламные модули семейства Adware.Airpush.origin — данные компоненты обычно входят в состав бесплатных приложений и демонстрируют в системной панели Android различные уведомления, содержащие рекламные ссылки. Из вредоносных программ чаще всего на инфицированных устройствах встречаются приложения семейства Android.SmsSend и Android.Spy. Ниже приведены десять троянских программ, лидирующих в списке обнаруженных антивирусом Dr.Web Android-троянцев.

№ Наименование угрозы %
1 Android.SmsSend.1064.origin 2,16
2 Android.SmsSend.315.origin 2,07
3 Android.SmsSend.749.origin 1,53
4 Android.SmsSend.458 1,48
5 Android.SmsSend.1070.origin 1,42
6 Android.SmsSend.859.origin 1,32
7 Android.SmsSend.309.origin 1,30
8 Android.SmsSend.758.origin 1,24
9 Android.Spy.78.origin 1,13
10 Android.SmsSend.1088.origin, Android.SmsSend.458 1,12

Одной из наиболее активных угроз для мобильной платформы Android на сегодняшний день по-прежнему является буткит, известный как Android.Oldboot.1.origin. Он размещает один из своих компонентов в загрузочной области файловой системы инфицированных устройств, что позволяет троянцу запускаться на ранней стадии загрузки операционной системы. В случае удаления своих основных модулей вредоносная программа заново инфицирует систему при следующей перезагрузке устройства.

Опасность заключается в том, что Android.Oldboot.1.origin обладает способностью выполнять различные команды, поступающие от принадлежащего злоумышленникам удаленного сервера.

Специалистам компании «Доктор Веб» удалось получить статистику заражений по уникальным IMEI инфицированных устройств в период с 1 по 27 февраля 2014 года, благодаря чему масштабы распространения угрозы были уточнены. На данный момент численность ботнета составляет 396 709 зараженных устройств (2 325 326 уникальных IP по данным с 22 января по 27 февраля). При этом большинство из них (378 614) расположено в Китае, порядка 4 500 случаев заражения зафиксировано в европейских странах.  В основном данной вредоносной программой заражены мобильные телефоны китайского производства.

[студент]

«Доктор Веб» выпустила новую версию Dr.Web для Android Light

Компания «Доктор Веб» выпустила продукт Dr.Web для Android Light версии 7.00.12, в котором был реализован ряд изменений для более удобной работы с приложением, выявленные ошибки – исправлены. В продукт была добавлена настройка, позволяющая поменять отображение панели уведомлений Dr.Web.

Также в Dr.Web для Android Light появился пункт «Справка», с помощью которого можно ознакомиться с документацией приложения. Ряд небольших изменений коснулся интерфейса продукта. Кроме того, была добавлена португальская (бразильская) локализация. Вместе с тем в Dr.Web для Android Light были исправлены выявленные ошибки, в том числе связанные с аварийным завершением работы программы.

Для пользователей Dr.Web для Android Light обновление пройдет автоматически. Если же автоматические обновления на устройстве отключены, необходимо зайти на Google play, выбрать в списке приложений Dr.Web Антивирус Light и нажать кнопку «Обновить».

[студент]

"Доктор Веб" выпускает антивирусное решение Dr.Web для MS Exchange 9.0

Компания «Доктор Веб» сообщила о выпуске девятой версии продукта Dr.Web для MS Exchange, который предназначен для антивирусной и антиспам-проверки трафика, передаваемого через почтовые серверы MS Exchange Server 2003/2007/2010/2013. В новой версии полностью обновлена архитектура приложения и добавлен ряд возможностей, связанных с централизованным управлением его работой. Обновление архитектуры Dr.Web для MS Exchange 9.0. позволило повысить отказоустойчивость и надежность работы продукта, говорится в заявлении производителя.

Приложение версии 9.0 предоставляет администраторам возможность объединенного управления группами почтовых серверов MS Exchange, в том числе разных версий.

Обновленный Dr.Web для MS Exchange функционирует на платформе Dr.Web CMS (Central Management Service), которая поддерживает централизованное управление его настройками с возможностью удаленного администрирования через браузер по защищенному протоколу HTTPS.

Эта платформа имеет встроенный веб-сервер с аутентификацией клиента, что обеспечивает доступ к управлению приложением только авторизованным администраторам с помощью веб-консоли администратора. Поддержка собственного веб-сервера значительно упрощает процесс установки и настройки веб-интерфейсов приложения. Также Dr.Web CMS включает специальный сервис Dr.Web SSM (Dr.Web Start/Stop Manager), который отслеживает работу приложений и реагирует на их нештатное поведение, например, зависание или неожиданное завершение работы. Этот сервис позволяет удаленно осуществлять запуск, остановку и перезагрузку приложений, работающих под управлением платформы Dr.Web CMS.

Поддержка работы девятой версии Dr.Web для MS Exchange в составе Центра управления Dr.Web Enterprise Security Suite будет добавлена позднее. Перед установкой Dr.Web для MS Exchange версии 9.0 необходимо удалить установленную более раннюю версию приложения.

[студент]

Десятки тысяч южнокорейских пользователей могли стать жертвами Android-троянца

Компания «Доктор Веб» зафиксировала массовое распространение нежелательных СМС-сообщений, которые содержали ссылку на загрузку Android-троянца Android.SmsBot.75.origin, предназначенного для кражи конфиденциальных данных у южнокорейских пользователей, а также незаметной отправки СМС. За несколько дней злоумышленники произвели около 40 спам-рассылок, а общее число пострадавших владельцев мобильных Android-устройств может составить несколько десятков тысяч человек.

Зафиксированные специалистами компании «Доктор Веб» спам-сообщения информировали потенциальных жертв о якобы неполученном почтовом отправлении, о статусе которого можно было узнать, перейдя по предоставленной в тексте короткой ссылке. В случае перехода по указанному веб-адресу пользователь перенаправлялся на страницу мошеннического блога, размещенного на платформе Blogger от корпорации Google и оформленного так, чтобы создать ложное впечатление его принадлежности к службе курьерской почтовой доставки. При попытке ознакомиться с предлагаемой информацией на мобильное устройство жертвы загружался троянец Android.SmsBot.75.origin, размещенный в облачном хранилище Dropbox, где у киберпреступников имелась специальная учетная запись.

Таким образом, данная спам-кампания практически ничем не отличается от множества других подобных, организованных в Южной Корее, однако по своим масштабам она является одной из самых крупных за последнее время. Так, злоумышленники произвели почти 40 спам-рассылок, а также задействовали как минимум пять различных вариантов блогов, содержащих ссылки, которые вели на загрузку трех модификаций Android.SmsBot.75.origin.

В свою очередь, согласно открытой статистике, имеющейся на одной из этих страниц, число посетивших ее потенциальных жертв за несколько дней составило более 30 тысяч. Учитывая общее количество использованных мошеннических блогов, конечное число пострадавших пользователей может во много раз превышать эту цифру.

Чтобы не вызывать лишних подозрений, после своего запуска Android.SmsBot.75.origin обращается к сайту реально существующей почтово-транспортной компании и загружает его в режиме WebView, т. е. отображает в качестве веб-приложения. Одновременно с этим происходит удаление значка вредоносной программы с главного экрана мобильного устройства и активизация троянского сервиса MainService, который незаметно выполняет всю вредоносную деятельность. В частности, троянец загружает информацию из телефонной книги на удаленный сервер и затем в постоянном режиме ожидает от него поступления команды, в которой будут указаны параметры для отправки СМС-сообщения, – номер получателя и текст. Кроме того, вредоносная программа создает список номеров, звонки и СМС с которых не будут видны пользователю. Таким образом, Android.SmsBot.75.origin может быть использован не только как шпион или СМС-троянец, но и как средство кражи денежных средств из систем мобильного банкинга.

Помимо упомянутой спам-кампании, Android.SmsBot.75.origin уже распространялся злоумышленниками с применением и других нежелательных СМС-рассылок, в которых он выдавался за некое уведомление, поступившее из полиции, поэтому не исключено, что в будущем мошенники предпримут новые попытки атак на пользователей.

[студент]

"Доктор Веб" говорит о всплеске Linux-троянцев

Стереотипное мнение о том, что операционные системы, построенные на базе ядра Linux, в силу особенностей своей архитектуры полностью защищены от проникновения вредоносных программ, заметно облегчает жизнь злоумышленникам, распространяющим подобное ПО. В мае 2014 года специалисты компании «Доктор Веб» выявили и исследовали рекордное по сравнению с предыдущими месяцами количество троянцев для ОС Linux, значительная часть которых предназначена для организации DDoS-атак.

Эти вредоносные программы объединяют общие черты: во-первых, они предназначены для организации DDoS-атак с использованием различных протоколов, а во-вторых, по косвенным признакам можно сделать вывод о том, что большинство исследованных специалистами «Доктор Веб» DDoS-троянцев создано одним и тем же автором.

Так, вредоносная программа, добавленная в вирусные базы Dr.Web под именем Linux.DDoS.3, обладает достаточно широким спектром функциональных возможностей. После своего запуска троянец определяет адрес командного сервера и отправляет на него информацию об инфицированной системе, а затем ожидает получения конфигурационных данных с параметрами текущей задачи (отчет о ее выполнении также впоследствии отправляется злоумышленникам). Linux.DDoS.3 позволяет осуществлять DDoS-атаки на заданный сервер с использованием протоколов TCP/IP (TCP flood), UDP (UDP flood), а также отправляет запросы на серверы DNS для усиления эффективности атак (DNS Amplification).

Еще одна модификация данной угрозы, получившая наименование Linux.DDoS.22, ориентирована на работу с дистрибутивами Linux для процессоров ARM, а Linux.DDoS.24 способен инфицировать серверы и рабочие станции, на которых используются 32-разрядные версии Ubuntu и CentOS. Троянец Linux.DDoS.24 устанавливается в систему под именем pktmake и автоматически регистрирует себя в параметрах автозагрузки ОС. После запуска он также собирает сведения об аппаратной конфигурации инфицированного компьютера — в том числе о типе процессора и объеме памяти — и отправляет ее в зашифрованном виде на принадлежащий киберпреступникам управляющий сервер. Основное предназначение этой вредоносной программы заключается в выполнении DDoS-атак по команде с удаленного узла.

Следующая группа угроз для ОС Linux включает троянцев Linux.DnsAmp.1, Linux.DnsAmp.2, Linux.DnsAmp.3, Linux.DnsAmp.4 и Linux.DnsAmp.5. Некоторые вредоносные программы семейства Linux.DnsAmp используют сразу два управляющих сервера и способны инфицировать как 32-разрядные (Linux.DnsAmp.1, Linux.DnsAmp.3, Linux.DnsAmp.5), так и 64-разрядные (Linux.DnsAmp.2, Linux.DnsAmp.4) версии Linux. Подобно другим представителям данного класса DDoS-троянцев, Linux.DnsAmp регистрирует себя в автозагрузке, собирает и отправляет на удаленный сервер сведения о конфигурации инфицированной машины (версия ОС, частота процессора, объем свободной памяти и Swap-кэша, и т. д.), после чего ожидает поступления управляющих команд. Среди возможностей данного класса троянцев необходимо отметить следующие:

SYN Flood (отправка специально сформированного пакета на атакуемый узел до тех пор, пока тот не перестанет отвечать на запросы);
UDP Flood (устанавливается соединение с атакуемым узлом по протоколу UDP, после чего троянец пытается отправить жертве 1 000 сообщений);
Ping Flood (с использованием протокола ICMP формируется эхо-запрос, в котором в качестве идентификатора используется PID процесса, а данные представляют собой hex-значение 0xA1B0A1B0);
отправка запросов на серверы DNS (DNS Amplification);
отправка запросов на серверы NTP (NTP Amplification — в ранних версиях троянца функция реализована, но не используется).
Также по команде с удаленного сервера Linux.DnsAmp может записать информацию в файл журнала, повторить атаку или обновиться.

Троянцы Linux.DnsAmp.3 (для 32-разрядных версий Linux) и Linux.DnsAmp.4 (для 64-разрядных Linux-дистрибутивов) представляют собой модификации первой версии Linux.DnsAmp с предельно упрощенной системой команд. Фактически, эти реализации троянца могут выполнять только три поступающих с управляющего сервера директивы: начать DDoS-атаку, остановить атаку и записать данные в файл журнала. Следует отметить, что многие из перечисленных выше вредоносных программ используют одни и те же управляющие серверы.

Наконец, следует упомянуть о вредоносной программе для ARM-совместимых дистрибутивов Linux, получившей наименование Linux.Mrblack. Этот троянец также предназначен для выполнения DDoS-атак с использованием протоколов TCP/IP и HTTP. Он имеет довольно примитивную архитектуру и, подобно другим аналогичным угрозам, действует по команде с управляющего сервера.

Командные центры, с использованием которых осуществляется управление упомянутыми троянскими программами, располагаются преимущественно на территории Китая, и реализованные с их помощью DDoS-атаки направлены, в основном, против китайских интернет-ресурсов.

[студент]

Приложение с опасным функционалом было загружено из Google Play более миллиона раз

Несмотря на предпринимаемые Google попытки обеспечения безопасности каталога Android-приложений Google Play, время от времени в нем все же появляются разнообразные вредоносные и потенциально опасные программы. Так, недавно специалисты компании «Доктор Веб» обнаружили утилиту, способную помимо основного функционала выполнять и нежелательные для пользователей действия, такие как рассылку СМС-сообщений, а также загрузку и установку других приложений. Примечательно, что число скачавших ее пользователей превысило 1 000 000: это можно считать одним из крупнейших подобных инцидентов за последнее время.

Привлекшая внимание специалистов компании «Доктор Веб» программа является представителем распространенного класса так называемых утилит-оптимизаторов, дающих возможность задействовать те или иные функции мобильного устройства и выполнять на нем настройку определенных параметров. В частности, данная утилита позволяет управлять приложениями (осуществлять их установку, удаление и создание резервных копий), выполнять «очистку памяти», а также контролировать интернет-трафик.

Однако помимо этих функций программа способна выполнить и ряд скрытых от пользователя действий – например, неавторизованную загрузку приложений и отправку СМС-сообщений на премиум-номера. Для этих целей утилита использует несколько подозрительных сервисов, которые активизируются после ее запуска. Так, один из них служит для связи с удаленным сервером, на который передается информация об устройстве (IMEI- и IMSI-идентификатор) и с которого поступают управляющие команды, такие как:

создание списка приложений для загрузки;
параметры для отправки СМС-сообщений (текст и номер получателя);
создание списка для перехвата определенных входящих сообщений (содержит номер отправителя и текст СМС).

Другой сервис непосредственно задействован в установке приложений. В соответствии с созданным ранее списком apk-файлов он осуществляет их загрузку и попытку незаметной установки с применением команды pm install, которая доступна для выполнения на устройствах с root-доступом. Если же необходимые системные привилегии отсутствуют, установка будет выполнена в стандартном режиме, требующем подтверждения владельца мобильного устройства.

Несмотря на то, что возможность незаметной инсталляции программ может применяться в легитимных целях, например, при переносе приложений с одного пользовательского мобильного устройства на другое, эта функция также может быть использована и для установки различного ПО без разрешения пользователя. Что же касается автоматической отправки СМС-сообщений, то эта функция задействуется напрямую по команде с управляющего сервера и никак не контролируется пользователем. В связи с наличием подобных опасных возможностей вирусными аналитиками компании «Доктор Веб» было принято решение классифицировать данную утилиту как вредоносную и внести ее в вирусную базу под именем Android.Backdoor.81.origin.

На момент обнаружения этой программы в каталоге Google Play число ее загрузок превысило 1 000 000, при этом многие пользователи уже успели столкнуться с проблемой неавторизованной отправки СМС-сообщений на премиум-номера. По состоянию на 26 мая программа была все еще доступна для загрузки из каталога приложений.

[студент]

Компания «Доктор Веб» обновила продукт Dr.Web для Android

Компания «Доктор Веб» обновила продукт Dr.Web для Android до версии 9.01.2. Обновление связано с добавлением новых функциональных возможностей и исправлением выявленных ошибок. Теперь продукт поддерживает ОС Android версии 4.4, а также браузеры Google Chrome Beta и Яндекс.Браузер.

Улучшения коснулись работы с угрозами, обладающими самозащитой. Также был оптимизирован процесс обновления вирусных баз. Вместе с тем обновление позволило уменьшить число ложных срабатываний продукта.

В Dr.Web 9.01.2 для Android добавлена возможность обнаружения уязвимости Heartbleed в OpenSSL. Появился пункт «Справка», при помощи которого можно ознакомиться с документацией на продукт. Теперь при выключении брандмауэра сторонним приложением об этом выводится соответствующее уведомление. Выявленные ошибки, которые в том числе могли приводить к аварийному завершению работы продукта, исправлены.

Для обновления через сайт «Доктор Веб» нужно скачать новый дистрибутив. Если в настройках включена опция «Новая версия приложения», при обновлении вирусных баз пользователь получит уведомление о доступной новой версии, которую можно будет загрузить прямо из этого диалога.

[студент]

«Доктор Веб»: Выявлена вредоносная рассылка от ее имени

Компания «Доктор Веб» сообщила об обнаружении рассылки электронных писем, написанных злоумышленниками от имени антивирусных вендоров, в том числе и самой компании. В этих сообщениях, содержащих якобы инструкции по противодействию вредоносным программам, на самом деле распространяется скрипт, который загружает на компьютер троянца семейства BAT.encoder.

Текст письма от имени «Доктор Веб» выглядит следующим образом:

В антивирусную лабораторию Dr.Web поступает множество жалоб от жертв вирусов-шифровальщиков. Наша аналитическая система установила, что на Ваш электронный адрес не так давно было выслано письмо, содержащее одну из подобных вредоносных программ. Если Вы пострадали от рук злоумышленников-шифровальщиков, изучите простые действия, которые помогут Вам избежать подобного в будущем. Мы подготовили простую инструкцию (во вложении), выполнение которой обезопасит Вас от многих уязвимостей, а также тестовый лицензионный ключ.
С уважением,
Команда Dr.Web.

Компания «Доктор Веб» обращает внимание пользователей на то, что она никогда не рассылала и не планирует рассылать подобные письма, и призывает к бдительности. Если вы получили сомнительное сообщение, ни в коем случае не открывайте его и не запускайте вложенные файлы. Вредоносное письмо рекомендуется немедленно удалить.

[студент]

СМС-бот для Android бьет рекорды по числу попыток заражения мобильных устройств

Специалисты компании «Доктор Веб» в постоянном режиме отслеживают и анализируют число срабатываний Антивируса Dr.Web для Android на мобильных устройствах пользователей. На протяжении весьма долгого времени первые строчки своеобразного рейтинга популярности вредоносных программ занимали приложения, имеющие в своем составе рекламные модули. При этом прочие угрозы, такие как разнообразные троянцы, оставались далеко позади них. Однако, согласно полученной статистике, в последнее время все большее распространение стал получать один из представителей семейства вредоносных программ Android.SmsBot, число детектирований которого возросло с конца мая на 227% и в июне составило более 670 000.

Согласно полученной с использованием Антивируса Dr.Web для Android статистике, число детектирований троянца Android.SmsBot.120.origin на мобильных устройствах пользователей за последний весенний месяц 2014 года составило 235 516. По этому показателю данная вредоносная программа занимала лидирующее положение среди всех обнаруженных в мае троянцев. В течение всего июня мобильный антивирус Dr.Web для Android продолжал фиксировать рост количества попыток проникновения этого вредоносного приложения на устройства пользователей, и к концу месяца суммарное число его детектирований составило уже 670 422, показав рост на 227% по сравнению с прошлым периодом наблюдения. Таким образом, в прошедшем месяце Android.SmsBot.120.origin вновь стал самым «популярным» троянцем и обнаруживался на устройствах пользователей в 11% случаев.

Данный троянец представляет собой весьма распространенный в настоящее время тип вредоносных программ, способных принимать команды от злоумышленников, а также предназначенных для выполнения самой разнообразной вредоносной деятельности. В частности, Android.SmsBot.120.origin может отправлять, перехватывать и удалять СМС-сообщения, открывать в браузере заданные веб-страницы, получать координаты устройства и даже производить удаление определенных приложений.

В большинстве случаев троянец распространяется киберпреступниками под видом видеороликов категории «для взрослых», однако встречаются и варианты, выдающие себя за легитимное ПО, а также различные музыкальные файлы, поэтому владельцам Android-устройств следует соблюдать осторожность и воздержаться от загрузки сомнительного контента.

[студент]

Dr.Web Light для Mac OS X стал платным

Компания «Доктор Веб» сообщила о выпуске девятой версии антивируса Dr.Web Light для Mac OS X, предназначенного для проверки пользовательских файлов и лечения заражений на компьютерах под управлением Mac OS X 10.6.6 и выше. В новой версии существенно расширены функциональные возможности. Одновременно с выпуском обновления, разработчики объявили, что теперь Dr.Web Light для Mac OS X становится платным и доступен только в магазине приложений Mac App Store.

В Dr.Web Light появилась возможность фоновой проверки папки Downloads (Загрузки), что избавляет пользователей от необходимости самостоятельно запускать сканирование этого каталога для защиты от угроз, которые могут содержаться в загружаемых файлах.

В дополнение к звуковым уведомлениям о работе антивируса в девятой версии введены экранные оповещения. При этом пользователи могут выбрать способ уведомления: с помощью службы оповещений Mac OS X или собственной службы Dr.Web. Для работы в режиме автоматического обезвреживания угроз предусмотрен журнал, в котором отображается информация о результатах сканирования, что удобно при фоновой проверке каталога Downloads и в случае автоматически применяемых действий.

В версии 9.0.0 также была повышена стабильность работы приложения и уменьшено потребление ресурсов при сканировании системы. Коснулись изменения и интерфейса продукта. В частности, в окнах «Угрозы» и «Карантин» теперь отображается подробная информация о найденных вредоносных объектах, а все основные функции Dr.Web Light для Mac OS X доступны из основного окна «Пульт». Кроме того, были добавлены следующие языки локализации: итальянский, казахский, китайский упрощенный, польский, украинский, эстонский, латышский, испанский и португальский.

[студент]

Вышло обновление Dr.Web для Android до версии 9.01.3

Компания «Доктор Веб» сообщила об обновлении продукта Dr.Web для Android до версии 9.01.3. Обновление связано с добавлением новых функциональных возможностей и устранением выявленных ошибок.

Ряд изменений коснулся только версии Dr.Web для Android, доступной для скачивания на сайте «Доктор Веб». Так, были исправлены ошибки работы в режиме соединения с сервером Dr.Web AV-Desk, в том числе проблема блокировки лицензии по дате окончания подписки на услугу «Антивирус Dr.Web». Другие выявленные ошибки также были устранены.

Следующие изменения коснулись всех продуктов Dr.Web для Android. Для версии, доступной для скачивания на сайте, большая часть из них была реализована ранее. Был усовершенствован механизм блокировки нежелательных SMS-сообщений. Добавлена нативная поддержка работы на x86-устройствах. Также были расширены возможности детектирования угроз. Теперь продукт поддерживает ОС Android версии 4.4, а также браузеры Google Chrome Beta и Яндекс.Браузер.

Улучшения коснулись работы с угрозами, обладающими самозащитой. Также был оптимизирован процесс обновления вирусных баз. В Dr.Web 9.01.3 для Android добавлена возможность обнаружения уязвимости Heartbleed в OpenSSL. Появился пункт «Справка», при помощи которого можно ознакомиться с документацией на продукт. Теперь при выключении брандмауэра сторонним приложением об этом выводится соответствующее уведомление. В продукт добавлены новые локализации – азербайджанская и тайская. Кроме того, были выявленные ошибки, которые в том числе могли приводить к аварийному завершению работы продукта, исправлены. Dr.Web 9.01.3 для Android доступен на Google Play и на сайте «Доктор Веб».

[ALEKSANDR58]

«Доктор Веб» поможет расшифровать файлы жертвам новых модификаций Trojan.Encoder.293

Компания «Доктор Веб» объявила о появлении возможности расшифровки файлов, пострадавших от действия двух модификаций Trojan.Encoder.293 и ранее не поддававшихся восстановлению. Как сообщили CNews в «Доктор Веб», данный троян-шифровальщик получил широкую известность еще в сентябре 2013 г. С тех пор периодически появляются все новые и новые модификации данной угрозы, различающиеся технической реализацией и применяемыми методами шифрования.

Трояны семейства Trojan.Encoder.293 написаны на языке Delphi, являются более поздней модификацией семейства угроз Trojan.Encoder.102 и имеют с ними много общего. Данные трояны выполняют шифрование файлов в два приема: сначала с использованием алгоритма XOR, затем — алгоритма RSA. Зашифровав хранящиеся на дисках компьютера пользовательские файлы, вредоносная программа демонстрирует сообщение с требованием оплаты их расшифровки, при этом для связи злоумышленники используют различные адреса электронной почты, рассказали в компании.

По словам экспертов «Доктор Веб», расшифровать данные, зашифрованные троянами семейства Trojan.Encoder.293, возможно, если в требованиях злоумышленников или в дополнительных расширениях файлов указаны адреса электронной почты

У вас нет прав чтобы видеть скрытый текст, содержащейся здесь.

(расшифровка возможна в большинстве известных случаев). При наличии на диске самой вредоносной программы возможно создание инструментария для расшифровки файлов, пострадавших от действия Trojan.Encoder.293 данных модификаций.

Пользователям, ставшим жертвой этой вредоносной программы, в компании советуют воспользоваться следующими рекомендациями: обратиться с соответствующим заявлением в полицию; ни в коем случае не пытаться переустановить операционную систему; не удалять никакие файлы на компьютере; не пытаться восстановить зашифрованные файлы самостоятельно; обратиться в службу технической поддержки «Доктор Веб», создав тикет в категории «Запрос на лечение» (эта услуга бесплатна) и приложив к тикету зашифрованный трояном файл. Услуги по расшифровке файлов оказываются только обладателям коммерческих лицензий на антивирусные продукты производства «Доктор Веб».

[студент]

Доктор Веб выпустил новое средство восстановления системы Dr.Web LiveDisk

Компания «Доктор Веб» сообщиила о выпуске бесплатного средства аварийного восстановления и лечения ПК под управлением Windows – Dr.Web LiveDisk. В этом решении получили дальнейшее развитие программы Dr.Web LiveCD и Dr.Web LiveUSB. Благодаря использованию единой технологической платформы, которая применяется в продуктах Dr.Web для Windows, Dr.Web LiveDisk способен проверять файл hosts, сканировать файлы с использованием «облачного» сервиса Dr.Web Cloud, а также использовать алгоритмы детектирования руткитов и буткитов.

Dr.Web LiveDisk оснащен редактором реестра Windows, который может изменять параметры всех операционных систем Windows, установленных на рабочей станции. Продукт располагает "Менеджером карантина", что позволяет проводить действия с обезвреженными угрозами. Так, имеется возможность восстановить файлы, попавшие в карантин при ложном срабатывании антивируса.

В Dr.Web LiveDisk включен набор эвристических алгоритмов, с помощью которых осуществляется лечение реестра Windows от заражений различными вредоносными программами. Решение разработано с расчетом поддержки как можно большего числа устройств и избежания конфликтов с оборудованием. Скачать бесплатно утилиту Dr.Web LiveDisk можно на сайте «Доктор Веб».

[студент]

Android-троян крадет деньги и конфиденциальные данные пользователей

Вирусные аналитики компании «Доктор Веб» исследовали нового троянца, предназначенного для заражения смартфонов и планшетов под управлением ОС Android. Данная вредоносная программа, внесенная в вирусную базу под именем Android.BankBot.34.origin, способна красть персональную информацию владельцев мобильных устройств, а также похищать денежные средства с банковских счетов и счетов мобильных телефонов своих жертв.


Начать свою вредоносную деятельность Android.BankBot.34.origin может только после установки в систему самим владельцем мобильного устройства. Поэтому с целью увеличения вероятности инсталляции и запуска троянца потенциальными жертвами авторы Android.BankBot.34.origin распространяют его под видом системного обновления и снабжают ярлыком одной из популярных программ. Стоит отметить, что выбор приложения для имитации всецело зависит от фантазии вирусописателей и может быть абсолютно любым. После установки троянец размещает свой ярлык на главном экране, при этом он может соседствовать рядом с ярлыком оригинальной программы, если она уже присутствует в системе. Таким образом, неопытные пользователи могут спутать приложения и случайно запустить троянца вместо настоящего ПО. Если же владелец зараженного мобильного устройства не активирует вредоносное приложение после его установки самостоятельно, запуск троянца все равно произойдет, т. к. в Android.BankBot.34.origin предусмотрена автоматическая загрузка при каждом включении операционной системы.



Вслед за своей инициализацией Android.BankBot.34.origin запрашивает у жертвы доступ к функциям администратора мобильного устройства, которые в некоторой степени позволяют вредоносному приложению затруднить его деинсталляцию. Кроме того, троянец удаляет созданный им ранее ярлык в случае если запуск Android.BankBot.34.origin производился самим владельцем смартфона или планшета. После этого троянец приступает непосредственно к вредоносной деятельности.

Фактически, Android.BankBot.34.origin способен реализовать на зараженном Android-устройстве два сценария атаки. Первый сценарий напрямую зависит от поведения самого пользователя и задействуется, когда тот пытается запустить одно из интересующих злоумышленников приложений. Если владелец инфицированного троянцем смартфона или планшета запустит подобную программу, Android.BankBot.34.origin отобразит поверх ее интерфейса фишинговое диалоговое окно с полями для ввода конфиденциальной информации – логина и пароля, номера телефона или сведений о кредитной карте. При этом для каждого из этих приложений троянец весьма правдоподобно имитирует соответствующую форму запроса, что говорит о желании вирусописателей вызвать как можно меньше подозрений у своих жертв. Реализация второго сценария атаки, напротив, не зависит от совершаемых пользователем действий и происходит только в соответствии с указаниями злоумышленников, поступающими от удаленного узла.

Благодаря тому, что Android.BankBot.34.origin способен незаметно для владельца зараженного мобильного устройства отправлять и перехватывать SMS-сообщения, киберпреступники могут использовать эту вредоносную программу в качестве банковского троянца для похищения денежных средств со счетов своих жертв при помощи управляющих SMS-команд мобильного банкинга. Аналогичным образом злоумышленники могут похитить деньги с мобильного счета пользователей, воспользовавшись USSD-командами и переведя определенную сумму на свой телефонный номер. При этом список атакуемых мобильных операторов и кредитных организаций практически никак не ограничен и всецело зависит от текущих потребностей создателей вредоносной программы. В частности, наибольшему риску подвержены клиенты тех банков и платежных систем, которые предлагают услугу управления счетом посредством SMS-сообщений, а также абоненты операторов мобильной связи, предоставляющих функцию мобильного перевода со счетов телефонов.

[студент]

Обнаружен сложный троян, нацеленный на Linux-системы

Компания «Доктор Веб» предупреждает о появлении многофункциональной вредоносной программы, способной поражать компьютеры с операционными системами Linux. Зловред получил обозначение Linux.BackDoor.Xnote.1.



В процессе распространения трояна злоумышленники путём подбора пароля взламывают учётные записи для доступа к атакуемому компьютеру по протоколу SSH. Установка вредоносной программы в систему осуществляется только в том случае, если она запущена с правами суперпользователя (root).

Для получения инструкций зловред осуществляет последовательный опрос управляющих серверов по списку. Перед передачей пакетов троян и управляющий сервер сжимают их с использованием библиотеки zlib.

Сначала троян отправляет на сервер злоумышленников информацию об инфицированной системе, после чего переходит в режим ожидания команд от удалённого сервера. Если команда подразумевает выполнение какого-либо задания, для его реализации создаётся отдельный процесс, устанавливающий собственное соединение с управляющим сервером.



Вредоносная программа по команде киберпреступников может назначить заражённой машине уникальный идентификатор, начать DDoS-атаку на удалённый узел с заданным адресом (среди возможных типов атак — SYN Flood, UDP Flood, HTTP Flood и NTP Amplification), прекратить начатую ранее атаку, обновить исполняемый файл бэкдора, записать информацию в файл или удалить себя.

Кроме того, предусмотрен широкий набор функций для работы с файловыми объектами: это создание, отправка, приём, переименование и запуск файлов, а также различные действия с каталогами.

Более подробную информацию о вредоносной программе Linux.BackDoor.Xnote.1 можно найти на сайте Dr.Web — Все новости