Записи с меткой «приложения»

Команда Яндекс.Диска сообщила, что пострадавшие от нестабильной версии Windows-приложения получат компенсацию. Все пользователи, которые могли потенциально пострадать, получили дополнительные 200 ГБ на Диске.

проверка обновления Яндекс диска
Проверка обновлений Яндекс.Диска

Напомним, в выходные многие пользователи Яндекс.Диска столкнулись с неприятной проблемой — обновление программы удаляло системные файлы операционной системы. Как поясняют сами разработчики, в одном из последних обновлений Яндекс.Диска для Windows они допустили ошибку в модуле деинсталляции приложения. Проблема могла проявляться у тех пользователей, которые установили приложение для всех пользователей системы или с правами «Администратора», при ручном удалении или автоапдейте с версии 1.1.5. на 1.1.6 или 1.1.7. Иногда ошибка приводила к удалению системных файлов, в крайних случаях — к неработоспособности операционной системы.

Отмечается, что каждый новый релиз Яндекс.Диска проверяется ручными и автоматическими тестами, но в этот раз разработчики не смогли обнаружить неисправность из-за цепочки «несчастливых совпадений». По данным Яндекса, нестабильную версию установили менее 1% пользователей приложения для Windows. Как только проблема была локализована, был выпущен новый релиз, который не содержит подобных ошибок и блокирует неисправный модуль предыдущей версии.

Команда Яндекс.Диска обещает, что обновление программы до стабильной версии в подавляющем большинстве случаев происходит сейчас автоматически и не несет рисков. Тем не менее, всем пользователям Windows-приложения рекомендуется проверить, установлена ли у вас стабильная версия 1.1.8 и выше. Для этого необходимо выбрать следующие пункты меню Диска: «Справка» — «О программе» — «Проверить обновления».

Всех, кто успел получить нестабильные версии Яндекс.Диска (от 1.1.5. до 1.1.7.), разработчики предупреждают по электронной почте о возможных сбоях в работе операционной системы и объясняют, как нужно поступить. Также было решено сделать компенсацию всем пользователям, у которых была установлена некорректная версия программы — независимо от того, нарушила она работу компьютера или нет. Они получают по 200 ГБ дополнительного места на Яндекс.Диске на неограниченный срок.

ИСТОЧНИК

Реклама

Новостной дайджест «Доктор Веб» — Trojan.Triosir.1 — очередной рекламный троянец

Posted: Февраль 11, 2014 in Антивирус, Доктор Веб, Новости, антивирусы, атака, компьютеры, поиск, пользователи, программы, софт, срочно, техника, угрозы
Метки:, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

Dr.Web

10 февраля 2014 года

Специалисты компании «Доктор Веб» обращают внимание пользователей на то, что в последнее время чрезвычайно широкое распространение получили вредоносные программы, предназначенные для демонстрации в окне браузера навязчивой рекламы и подмены содержимого веб-страниц. Опасность подобных троянцев заключается прежде всего в том, что они демонстрируют рекламные объявления на популярных сайтах, к которым пользователи относятся с высокой степенью доверия, а среди рекламируемых ресурсов нередко встречаются мошеннические сайты и веб-страницы, замеченные в распространении вредоносного ПО. Одной из таких угроз является троянец Trojan.Triosir.1, о появлении которого компания «Доктор Веб» предупреждает пользователей.

Trojan.Triosir.1 распространяется с использованием ресурсов партнерской программы Installmonster вместе с различными приложениями и использует для своей установки инсталлятор Amonetize (amonetize.com). Функционал Trojan.Triosir.1 в целом схож с возможностями троянца Trojan.Zadved.1, о котором компания «Доктор Веб» уже рассказывала в одной из своих публикаций. Основное назначение Trojan.Triosir.1 — подмена содержимого просматриваемых пользователем веб-страниц посредством технологии веб-инжектов, при этом демонстрируемая троянцем реклама включает ссылки на различные мошеннические ресурсы. Основные модули троянца реализованы в виде плагинов (надстроек) к популярным браузерам. В частности, Trojan.Triosir.1 распространяется вместе с приложением для создания снимков экрана Screeny, устанавливающим в процессе своей инсталляции одноименный плагин для браузеров Mozilla Firefox, Chrome и Opera, который остается в системе даже после удаления основного приложения.

screenshot

Установленные в инфицированной системе плагины выполняют закачку основного файла вредоносного сценария с удаленного сервера. Данный сценарий, предназначенный для подмены рекламных модулей и встраивания в веб-страницы посторонней рекламы, начинает работать не сразу, а «выжидает» некоторое время, чтобы усыпить бдительность пользователя. При этом в его структуре прописаны специальные алгоритмы внедрения рекламы в страницы некоторых наиболее популярных интернет-ресурсов, например, социальной сети «ВКонтакте», «Одноклассники» и др. Вредоносный скрипт обладает достаточно продвинутым функционалом: например, он умеет получать информацию о поле и дате рождения пользователя из его профиля в социальной сети.

screenshot

screenshot

Среди рекламируемых троянцем ресурсов преобладают мошеннические сайты, подписывающие пользователя на различные услуги путем отправки на указанный им номер мобильного телефона СМС-сообщения с кодом подтверждения.

screenshot

Помимо наиболее популярных и посещаемых сайтов, Trojan.Triosir.1 умеет подменять рекламу и на веб-страницах, не входящих в «привилегированный список». При этом троянец обладает специальной функцией распознавания «плохих» с точки зрения рекламодателей сайтов с использованием специального фильтра ключевых слов — на таких ресурсах реклама не подменяется. Кроме того, Trojan.Triosir.1 специально ищет на веб-страницах и заменяет своими модулями рекламу нескольких партнерских сетей, среди которых — lcads.ru, marketgid.com, visitweb.com, luxup.ru, pcads.ru, gredinatib.info, fulldl.net, adcash.com, tbn.ru, и некоторые другие. Также в коде троянца предусмотрен набор правил, позволяющих «прятать» некоторые элементы на сайтах my.mail.ru, fotostrana.ru, loveplanet.ru, kinopoisk.ru, mamba.ru, go.mail.ru, love.mail.ru, auto.ru, otvet.mail.ru, sprashivai.ru и avito.ru.

Имеются основания полагать, что к созданию и распространению троянца причастна новосибирская компания Trioris, работающая по следующей схеме монетизации: компания отыскивает какое-либо приложение, договаривается с его разработчиками и, добавив в состав программы дополнительные плагины, занимается ее распространением, либо заключает договор дистрибуции с третьей стороной — например, компанией Amonetize, распространяющей Trojan.Triosir.1 с использованием возможностей партнерской программы Installmonster.

Сигнатура Trojan.Triosir.1 добавлена в вирусные базы Dr.Web и потому эта вредоносная программа не представляет серьезной опасности для пользователей антивирусных продуктов производства компании «Доктор Веб».

Источник

https://i2.wp.com/www.blackberrys.ru/upload/2011/02/KasperskyLab_logo10.jpg

новости от «Лаборатории Касперского»

«Лаборатория Касперского» третий раз подряд получает статус «Лидера» в Магическом квадранте компании Gartner в категории Endpoint Protection Platforms (решения для защиты конечных устройств)*. Этот факт, а также улучшение позиций компании в категории «стратегическое видение» (“completeness of vision”) подтверждают значимое положение «Лаборатории Касперского» на мировом рынке в качестве одного из ведущих производителей защитного ПО.

Магический квадрант аналитической компании Gartner строится на основе ежегодного исследования рынка защитного ПО для конечных устройств и комплексного анализа продуктов 18 различных вендоров, работающих в этом сегменте. Магический квадрант — один из наиболее авторитетных источников информации для компаний, желающих оценить производителей и решения в области корпоративной IT-безопасности. Данные из ежегодного отчета Gartner могут сыграть существенную роль при принятии организацией решения о покупке защитного ПО.

Аналитики Gartner оценивают вендоров по двум категориям: «стратегическое видение» (“completeness of vision”) и «эффективность реализации» (“ability to execute”). «Стратегическое видение» предусматривает 8 оценочных критериев: понимание рынка, маркетинговая стратегия, стратегия продаж, стратегия предложения, бизнес-модель, стратегия в индустрии, инновации и геостратегия. «Эффективность реализации» учитывает такие факторы, как общая рентабельность производителя, гибкость реагирования на требования рынка, бизнес-операции, осуществление продаж и ценообразование, реализация маркетинговой стратегии и взаимодействие с клиентами.

По итогам анализа вендоры-участники Магического квадранта Gartner попадают в одну из четырех групп: «Лидеры» (“Leaders”), «Претенденты» (“Challengers”), «Визионеры» (“Visionaries”) или «Нишевые игроки» (“Niche Players”). Статус «Лидера» свидетельствует о том, что производитель демонстрирует стабильный прогресс как в стратегии, так и в ее реализации. Более того, достижения такого вендора в защите от вредоносного ПО, сохранности данных и разработке инструментов для управления информационной безопасностью поднимают стандарты качества для других производителей и задают направление для развития всей индустрии.

«Создавая комплексные защитные решения для наших клиентов, мы стремимся сделать киберпространство безопасным. И статус «Лидера» в Магическом квадранте Gartner говорит о том, что мы на верном пути. Это достижение, которым мы гордимся, служит подтверждением того, что наша долгосрочная стратегия по инвестированию в технологии и экспертизу продолжает приносить свои плоды», — комментирует результаты аналитического отчета Gartner Николай Гребенников, директор по исследованиям и разработке «Лаборатории Касперского».

Флагманский продукт «Лаборатории Касперского» для защиты корпоративной сети — Kaspersky Security для бизнеса — получил высокую оценку со стороны клиентов и IT-лидеров как решение, которое не только быстро распознает угрозы и обеспечивает надежную защиту от них, но также содержит многочисленные инструменты для контроля за безопасностью корпоративной IT-инфраструктуры. Среди них — инструменты для выявления уязвимостей и управления обновлениями ПО, средства управления и контроля за приложениями, мобильными устройствами и функция шифрования дисков и файлов с интерфейсом аутентификации до загрузки операционной системы (preboot authentification).

С отчетом Gartner и Магическим квадрантом в категории Endpoint Protection Platforms можно ознакомиться на сайте аналитической компании: www.gartner.com/technology/reprints.do?id=1-1PJIOBM&ct=140114&st=sb.


*Gartner, Magic Quadrant for Endpoint Protection Platforms, Peter Firstbrook, John Girard, Neil MacDonald, January 8, 2014.


О Магическом квадранте Gartner

Данные, публикуемые компанией Gartner, не являются рекомендацией в отношении каких бы то ни было производителей, продуктов или услуг и не могут рассматриваться в качестве совета выбирать поставщиков с наибольшим рейтингом. Аналитические публикации Gartner основаны на мнениях экспертов компании и не могут считаться констатацией фактов. Gartner не дает никаких гарантий, выраженных в явной или подразумеваемой форме, в отношении публикуемых данных, в том числе гарантий коммерческого качества или пригодности для определенных целей.

О «Лаборатории Касперского»

«Лаборатория Касперского» — крупнейшая в мире частная компания, специализирующаяся в области разработки программных решений для обеспечения IT-безопасности. Компания входит в четверку ведущих мировых производителей защитных систем класса Endpoint Security*. Вот уже более шестнадцати лет «Лаборатория Касперского» предлагает эффективные защитные решения для крупных корпораций, предприятий среднего и малого бизнеса и домашних пользователей. Ключевым фактором успеха компании является инновационный подход к обеспечению информационной безопасности. Технологии и решения «Лаборатории Касперского» защищают более 300 миллионов пользователей почти в 200 странах и территориях мира. Более подробная информация доступна на официальном сайте www.kaspersky.ru.


*Компания заняла четвертое место в рейтинге аналитического агентства IDC «Выручка вендоров от продажи решений класса Endpoint Security» (Worldwide Endpoint Security Revenue by Vendor) за 2012 год. Рейтинг был включен в отчет IDC «Прогноз развития мирового рынка решений класса Endpoint Security на 2013-2017 гг. и доли вендоров в 2012 г.» (Worldwide Endpoint Security 2013—2017 Forecast and 2012 Vendor Shares), опубликованный в августе 2013 года (IDC #242618). В основу рейтинга легли данные о выручке от продаж решений класса Endpoint Security в 2012 году.

Dr.Web


ГЛАВНЫЕ НОВОСТИ

12 декабря 2013 года
Выпуск лечащей утилиты Dr.Web CureIt! 9.0
Компания «Доктор Веб» сообщает о выпуске девятой версии лечащей утилиты Dr.Web CureIt!, предназначенной для антивирусной проверки и лечения компьютеров, в том числе с установленным антивирусом другого производителя. Внесенные изменения сделали утилиту более быстрой и эффективной. В Dr.Web CureIt! 9.0 используются самые актуальные технологии и новшества, уже включенные в продукты Dr.Web для Windows, что повышает надежность защиты от самых современных угроз.
Комментировать новость

12 декабря 2013 года
Технические работы на серверах «Доктор Веб»
«Доктор Веб» сообщает о предстоящих технических работах на серверах, обслуживающих сайты компании. Работы будут проводиться в ночь на 15 декабря 2013 года, в 00:00–05:00 по московскому времени.
Комментировать новость

12 декабря 2013 года
Под видом «полезных» приложений скрывается добытчик криптовалюты
Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — информирует о распространении троянской программы Trojan.BtcMine.221, предназначенной для добычи (майнинга) криптовалюты Litecoin. Троянец распространяется под видом различных приложений – например, надстройки к браузеру, якобы помогающей пользователю в подборе товара при совершении покупок в интернет-магазинах.
Комментировать новость

11 декабря 2013 года
Trojan.Zadved.1 демонстрирует навязчивую рекламу
Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — сообщает о распространении вредоносной программы Trojan.Zadved.1, представляющей собой плагин к браузерам, который якобы должен защищать пользователя от вредоносных и потенциально опасных сайтов. На самом деле это приложение выполняет прямо противоположную функцию: троянец предназначен для подмены поисковой выдачи, перенаправления пользователя на сайты рекламодателей по щелчку мыши в окне браузера и демонстрации назойливой рекламы.
Комментировать новость

9 декабря 2013 года
Мобильные угрозы в ноябре 2013 года
Специалисты компании «Доктор Веб» — российского производителя антивирусных средств защиты информации — продолжают на регулярной основе анализировать поступающую от пользователей Dr.Web для Android статистическую информацию. В ноябре антивирусный сканер Dr.Web на мобильных устройствах под управлением Android запускался порядка 20,5 млн. раз, при этом в процессе сканирования было обнаружено 3,2 млн. угроз. В сутки при помощи Dr.Web обнаруживается 300 000 вредоносных программ для этой мобильной платформы.

22 августа 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — подготовила обзор опасных шпионских приложений, предназначенных для работы в среде операционной системы iOS, которая, как принято считать, остается самой защищенной из мобильных платформ. Как и их аналоги, работающие на других ОС, такие программы позволяют злоумышленникам получать широкий спектр персональной информации пользователей: их СМС-сообщения, историю звонков, GPS-координаты, записи из телефонной книги, фотографии и т. п. Несмотря на то, что подобные продукты способны функционировать лишь на устройствах, имеющих т.н. jailbreak, исходящая от них угроза раскрытия строго конфиденциальных сведений весьма высока.

Владельцы мобильных устройств под управлением операционной системы iOS привыкли к тому, что они надежно защищены от вредоносных программ и атак киберпреступников, однако факт такой защищенности во многом справедлив лишь для тех пользователей, которые не вносили каких-либо модификаций в операционную систему. Если же на их мобильном устройстве выполнен jailbreak (разблокирован доступ к файловой системе), то им может угрожать вполне серьезная опасность раскрытия конфиденциальной информации, которая исходит от коммерческого шпионского ПО, и о такой угрозе большинство из них даже не подозревает.

Для того чтобы установить подобное приложение-монитор, злоумышленнику потребуется совсем немного времени. Все, что ему необходимо, — это получить физический доступ к мобильному iOS-устройству, загрузить программу из Интернета при помощи каталога Cydia (который практически всегда автоматически устанавливается при выполнении процедуры jailbreak) и настроить шпиона. Эти приложения работают незаметно для пользователя, скрытно отправляя все собранные данные на удаленный сервер, откуда при помощи зарегистрированной учетной записи заинтересованный в слежке человек может получить необходимую ему информацию. На представленных ниже изображениях показана процедура установки одного из таких шпионов.

screenshot screenshot screenshot screenshot screenshot screenshot
screenshot

Как видно на последнем изображении, успешно установленная программа отображается в списке каталога Cydia, однако она носит нейтральное название MessagingService, призванное сбить с толку неопытных владельцев взломанных iOS-устройств. Не исключено, что и более опытные пользователи не обратят внимания на приложение, похожее на один из системных компонентов, либо они просто не придадут его наличию особого значения. Практически все производители шпионских программ стараются минимизировать возможность легкого обнаружения их продукции, поэтому для наибольшей конспирации приложения-монитора ими часто используются названия, созвучные с приведенным выше. Например, возможны такие варианты как Radio, MobileService, Core Utilities и т. п.

screenshot

Важно также отметить, что в большинстве случаев коммерческое шпионское ПО для iOS не создает отдельный ярлык на рабочем столе, либо позволяет спрятать его через соответствующие настройки. В частности, им может быть активирован весь функционал, либо только необходимые функции. Более того, существуют способы скрыть значок и самого каталога Cydia, поэтому при хорошо спланированной атаке злоумышленники могут незаметно установить мобильного шпиона на заведомо защищенное iOS-устройство, выполнив на нем jailbreak.

После установки шпиона злоумышленнику необходимо выполнить его настройку. В частности, им может быть активирован весь функционал, либо только необходимые функции. Также на данном этапе часто имеется возможность задать периодичность, с которой приложение будет связываться с удаленным сервером для загрузки на него всей собранной информации.

screenshot
screenshot

После всех этих процедур готовая к работе шпионская программа начинает свою скрытую деятельность, фиксируя всю важную активность пользователя-жертвы и загружая собранные данные на сервер. Ниже показан пример управляющей веб-панели, содержащей сведения, которые могут быть получены в результате такой слежки.

screenshot screenshot screenshot screenshot
screenshot

В зависимости от разработчика и версий программ-мониторов, работающих в среде операционной системы iOS, их функционал может варьироваться. На диаграмме ниже наглядно продемонстрированы функции, наиболее часто встречающиеся в подобных программах.

screenshot

Из этой диаграммы становится видно, что в подавляющем большинстве случаев шпионское ПО позволяет вести наблюдение за всеми важными аспектами частной жизни пользователей iOS-устройств: от чтения их СМС и email-сообщений, до получения сведений об их контактах, планах, встречах и окружающей обстановке.

На данный момент вирусная база Dr.Web содержит более 50 записей для шпионских iOS-приложений, которые принадлежат к 15 различным семействам. Следующая диаграмма содержит сведения об их процентном распределении.

screenshot

Учитывая, что число iOS-устройств, подвергавшихся процедуре jailbreak, на данный момент может превышать 20 миллионов, а также то, что существует весьма высокая вероятность выполнения целенаправленного взлома остальных устройств, угроза кражи персональной информации шпионскими приложениями становится вполне ощутимой для многих пользователей мобильной продукции производства компании Apple. Для того чтобы обезопасить себя от потенциальной опасности раскрытия конфиденциальных сведений, рекомендуется соблюдать ряд простых, но важных правил:

  • не оставляйте надолго свое мобильное устройство в местах массового скопления незнакомых людей, даже если рядом с ним будут те, кому вы доверяете – подготовленный злоумышленник легко может обойти данное препятствие и без особого труда установить шпиона;
  • обращайте внимание на подозрительную активность мобильного устройства, например, на появление странных сообщений или изменений в графическом интерфейсе, причина которых вам неизвестна;
  • создайте заведомо «чистую» резервную копию содержимого вашего мобильного устройства: при необходимости вы сможете восстановить все важные данные, а также вернуть изначальное состояние операционной системы (в большинстве случаев jailbreak исправляется при помощи обновления или восстановления ОС).

Очередная волна троянцев-шифровальщиков — Вирусная рассылка для жителей Казахстана

Posted: Июнь 27, 2013 in Антивирус, Доктор Веб, Новости, антивирусы, атака, вирусы, компьютеры, люди, поиск, пользователи, программы, софт, срочно, техника, угрозы
Метки:, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

20 июня 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — сообщает о росте количества пользователей, пострадавших от действия троянцев-шифровальщиков. Наибольшее распространение получила вредоносная программа Trojan.Encoder.94. Также весьма популярен Trojan.Encoder.225: только за последнее время за помощью в восстановлении файлов, пострадавших от действия этого троянца, в антивирусную лабораторию «Доктор Веб» обратилось более 160 человек.

Троянцы семейства Trojan.Encoder представляют собой вредоносные программы, шифрующие файлы на жестком диске компьютера и требующие деньги за их расшифровку. После того как файлы зашифрованы, троянцы семейства Trojan.Encoder, в зависимости от модификации, могут помещать на диск текстовые файлы с информацией по восстановлению данных либо менять фон рабочего стола на изображение с указанием дальнейших инструкций. Сумма, требуемая злоумышленниками, может варьироваться от нескольких десятков до нескольких тысяч долларов.

Троянцы-шифровальщики чаще всего распространяются с использованием вредоносных спам-рассылок. Например, Trojan.Encoder.225 может попасть в операционную систему с помощью письма, содержащего вложения в виде документа RTF (но с расширением .doc), эксплуатирующего уязвимость Microsoft Office. С использованием этого эксплойта на компьютер жертвы устанавливается троянец-загрузчик, который в свою очередь скачивает с управляющего сервера Trojan.Encoder. Троянец Trojan.Encoder.94 нередко скачивается на компьютер жертвы с использованием бэкдора BackDoor.Poison, который, в свою очередь, массово рассылается в письмах с вложенными файлами Порядок работы с просроченной задолженностью.doc и ПОСТАНОВЛЕНИЕ АРБИТРАЖНОГО СУДА.exe.

screen

В июне 2013 года был отмечен значительный всплеск количества случаев заражения вредоносными программами семейства Trojan.Encoder, при этом от последней модификации Trojan.Encoder.225 пострадало более 160 пользователей из России и Украины, обратившихся за помощью в компанию «Доктор Веб». Этот троянец написан на языке Delphi и имеет три версии. В предыдущей модификации троянца для связи злоумышленники используют адрес электронной почты milenium56m1@yahoo.com, в последней из известных — marikol8965@yahoo.com. Файлы, зашифрованные ранними версиями Trojan.Encoder.225, поддаются расшифровке. Над средством восстановления файлов, пострадавших от более поздней модификации троянца, в настоящий момент ведется работа.

Что касается наиболее распространенного троянца-шифровальщика, Trojan.Encoder.94, то он насчитывает рекордное число модификаций — более 350. Файлы, зашифрованные большей частью версий Trojan.Encoder.94, поддаются расшифровке. Жертвами Trojan.Encoder.94 за истекший месяц стали более 680 пользователей.

Всего за последние три месяца в антивирусную лабораторию «Доктор Веб» поступило порядка 2 800 обращений от пользователей, пострадавших в результате заражения троянцами-шифровальщиками. Благодаря тому, что злоумышленники непрерывно усложняют механизмы шифрования, вирусным аналитикам приходится решать все более сложные математические задачи в условиях возрастающего потока заявок от жертв энкодеров. В связи с большим числом запросов на лечение и заметно возросшей нагрузкой на антивирусную лабораторию с 19 июня 2013 года помощь в расшифровке файлов оказывается только зарегистрированным пользователям продуктов компании «Доктор Веб».

Если вы стали жертвой одной из таких вредоносных программ, ни в коем случае не переводите деньги киберпреступникам и не пытайтесь самостоятельно устранить последствия заражения (не переустанавливайте операционную систему и не удаляйте никаких файлов на вашем компьютере), т. к. при этом существует высокая вероятность безвозвратной потери данных. Не забывайте о необходимости своевременного резервного копирования хранящейся на жестких дисках вашего компьютера информации. Если вы являетесь зарегистрированным пользователем антивирусных продуктов «Доктор Веб», отправьте несколько зашифрованных файлов в антивирусную лабораторию, воспользовавшись соответствующей формой и выбрав категорию «Запрос на лечение», после чего дождитесь ответа вирусного аналитика и в точности следуйте его инструкциям.

С более подробной информацией о методах противодействия троянцам-энкодерам можно ознакомиться по адресу legal.drweb.com/encoder.

25 июня 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает о массовой вредоносной рассылке, представляющей серьезную опасность для жителей Казахстана. Получатели почтовых сообщений рискуют стать жертвами вредоносной программы BackDoor.Shell.218, открывающей удаленный доступ к инфицированному компьютеру.

Специалистами компании «Доктор Веб» 13, 17 и 23 июня 2013 года была зафиксирована массовая почтовая рассылка, ориентированная в первую очередь на жителей Казахстана. В качестве отправителя электронных сообщений значилось «Web-приложение «Кабинет налогоплательщика» <web-application-cabinet@mail.ru>», а само послание содержало следующий текст: «В целях разъяснения норм налогового законодательства и налогового администрирования Налоговый комитет МФ РК направляет Вам письмо разъясняющего характера».

Письмо содержало вложение в виде архива, при попытке открытия которого запускалось вредоносное приложение. Из ресурсов данной программы извлекалось основное тело троянца и сохранялось во временную папку под именем winlogon.exe, после чего данное приложение запускалось на исполнение и демонстрировало на экране инфицированного компьютера документ в формате .DOC.

Троянская программа детектируется антивирусным ПО «Доктор Веб» как BackDoor.Shell.218. Этот троянец относится к категории приложений, открывающих злоумышленникам возможность удаленного управления инфицированной системой: он позволяет выполнять различные команды в командной строке Windows, делать снимки экрана и даже выключать компьютер.

Особо стоит отметить, что основные адресаты рассылки — сотрудники бухгалтерий различных компаний. Именно для этой категории пользователей поступление письма из налоговых органов — безусловный повод его прочитать и не задумываясь открыть любое вложение. При этом именно бухгалтерские компьютеры чаще всего используются для проведения онлайн-платежей в системах «Банк-Клиент». Доступ к таким компьютерам — заветная мечта киберпреступников, промышляющих хищениями денежных средств со счетов предприятий. Именно такой доступ к компьютеру жертвы и открывает злоумышленникам BackDoor.Shell.218.

Специалисты компании «Доктор Веб» призывают пользователей не открывать вложения в сообщения электронной почты, полученные от подозрительных отправителей, а также поддерживать базы установленного на компьютере антивирусного ПО в актуальном состоянии.

Dr.Web

16.05.2013

16 мая 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты — обнаружила неизвестный ранее функционал в новой вредоносной программе для Facebook, о которой сообщали многочисленные сетевые СМИ. Trojan.Facebook.311 может не только публиковать от имени пользователя новые статусы, вступать в группы, оставлять комментарии, но и рассылать спам в социальных сетях Twitter и Google Plus.

Троянская программа Trojan.Facebook.311 представляет собой написанные на языке JavaScript надстройки для популярных браузеров Google ЗChrome и Mozilla Firefox. Злоумышленники распространяют троянца с использованием методов социальной инженерии — вредоносные программы попадают в систему при помощи специального приложения-установщика, маскирующегося под «обновление безопасности для просмотра видео». Примечательно, что установщик имеет цифровую подпись компании Updates LTD, принадлежащей Comodo. Надстройки называются Chrome Service Pack и Mozilla Service Pack соответственно. С целью распространения троянца злоумышленники создали специальную страницу на португальском языке, ориентированную, по всей видимости, на бразильских пользователей Facebook.

screen

После завершения установки в момент запуска браузера Trojan.Facebook.311 пытается загрузить с сервера злоумышленников файл с набором команд. Затем встроенные в браузеры вредоносные плагины ожидают момента, когда жертва выполнит авторизацию в социальной сети Facebook. После этого троянец может выполнять от имени пользователя различные действия, обусловленные содержащимися в конфигурационном файле командами злоумышленников: поставить «лайк», опубликовать статус, разместить на стене пользователя сообщение, вступить в группу, прокомментировать сообщение, пригласить пользователей из списка контактов жертвы в группу или отправить им сообщение. Помимо этого троянец может по команде злоумышленников периодически загружать и устанавливать новые версии плагинов, а также взаимодействовать с социальными сетями Twitter и Google Plus, в частности, рассылать спам.

screen

В последнее время Trojan.Facebook.311 был замечен за распространением в сети Facebook сообщений, содержащих изображение, которое имитирует встроенный в браузер медиаплеер. При щелчке мышью по нему пользователь перенаправляется на различные мошеннические ресурсы. Аналогичным образом с помощью личных сообщений и статусов троянец рекламирует мошеннические викторины, в которых якобы можно выиграть различные ценные призы.

screen

Сигнатура данной угрозы добавлена в вирусные базы и потому не представляет опасности для пользователей антивирусных программных продуктов Dr.Web. Несмотря на то, что злоумышленники ориентировали Trojan.Facebook.311 на жителей Бразилии, схожая схема может быть применена и в отношении других пользователей Facebook. Специалисты «Доктор Веб» рекомендуют проявлять бдительность, не загружать и не устанавливать подозрительные приложения или «обновления безопасности» для браузеров.

В рамках образовательного некоммерческого проекта ВебIQметр сегодня на эту тему появился тест. Вам необходимо зарегистрироваться, чтобы пройти его.

Dr.Web

23 апреля 2013 года

Компания «Доктор Веб» – российский производитель антивирусных средств защиты информации – сообщает о том, что в официальном каталоге Google Play были найдены 28 приложений, содержащих вредоносный рекламный модуль, способный загружать троянцев для мобильной платформы Android. Суммарное число установок этих программ, а, соответственно, и потенциальных жертв достигает нескольких миллионов.

Реклама в Android-приложениях уже давно и успешно применяется различными разработчиками для монетизации своих трудов: это легальный и весьма удобный способ окупить затраченные на создание программ средства и время. Тем не менее, предприимчивые киберпреступники еще в 2011 году решили использовать в своих целях возможности рекламных сетей для мобильных устройств, а именно распространять с их помощью троянские программы. До сих пор наиболее популярными среди них являются троянцы семейства Android.SmsSend, предназначенные для отправки дорогостоящих СМС-сообщений и подписки пользователей на платные контент-услуги. Об одном из таких инцидентов компания «Доктор Веб» сообщала совсем недавно. Кроме того, в последнее время расширяется список вредоносных программ, распространяемых таким образом.

Несмотря на то, что существующие рекламные сети для мобильных Android-устройств, такие как Google AdMob, Airpush, Startapp и пр., вполне успешно удовлетворяют потребности мошенников, последние решили пойти дальше и создали себе в помощь собственную рекламную платформу. На первый взгляд она ничем не отличается от остальных, представленных на рынке: сеть предлагает Android-разработчикам весьма заманчивые условия использования рекламного API, обещая высокий и стабильный доход, а также удобство управления и контроля учетных записей. Не удивительно, что некоторые разработчики приложений серьезно заинтересовались новой платформой.

Как и во многих других Adware-модулях, для отображения рекламных сообщений в этом рекламном API используется push-метод, когда в панель состояния мобильного Android-устройства выводится то или иное информационное уведомление. Однако помимо заявленных функций данная платформа содержит ряд скрытых возможностей.

Так, в push-уведомлениях от мошеннической рекламной сети может демонстрироваться информация о необходимости установки важного обновления для тех или иных приложений. В случае если ничего не подозревающий пользователь соглашается на установку такого «обновления», рекламный модуль выполняет загрузку некоего apk-пакета и помещает его на карту памяти в каталог загрузок /mnt/sdcard/download. Этот модуль может также создать на главном экране мобильного устройства ярлык, связанный с только что загруженным ПО, и в дальнейшем при нажатии пользователя на этот ярлык будет инициирован процесс установки соответствующей ему программы.

Проведенное специалистами компании «Доктор Веб» исследование показало, что загружаемые таким образом apk-файлы являются представителями семейства троянских программ Android.SmsSend. Дальнейший анализ позволил выявить источник, откуда происходила загрузка данных троянцев: им оказались сервера, на IP-адресах которых зарегистрированы различные поддельные каталоги приложений. В частности, в трех проанализированных приложениях мошенническая рекламная платформа использует связь с управляющим сервером по адресу 188.130.xxx.xx, а в остальных двадцати пяти – связь осуществляется через управляющий сервер с адресом 91.226.xxx.xx. Данные адреса еще несколько дней назад были оперативно внесены в модуль Родительского контроля антивируса Dr.Web и успешно им блокируются.

Ниже представлен полный список команд с управляющих серверов, которые может принимать и выполнять вредоносная рекламная платформа:

  • news – показать push-уведомление
  • showpage – открыть веб-страницу в браузере
  • install – скачать и установить apk
  • showinstall – показать push-уведомление с установкой apk
  • iconpage – создать ярлык на веб-страницу
  • iconinstall – создать ярлык на загруженный apk
  • newdomen – сменить адрес управляющего сервера
  • seconddomen – запасной адрес сервера
  • stop – прекратить обращаться к серверу
  • testpost – посылает запрос повторно
  • ok – ничего не делать

Помимо выполнения данных команд, мошеннический модуль способен также собирать и отправлять на командный сервер следующую информацию: imei мобильного устройства, код оператора и номер imsi сотового телефона.

Особая опасность этого рекламного API заключается в том, что содержащие его приложения были обнаружены в официальном каталоге Google Play, который де-факто считается наиболее безопасным источником Android-программ. Из-за того, что многие пользователи привыкли доверять безопасности Google Play, число установок пораженных данным рекламным модулем программ весьма велико. Из-за ограничений, накладываемых компанией Google на статистическую информацию о числе загрузок приложений из ее каталога, нельзя с абсолютной точностью назвать общее число потенциальных жертв, однако на основании имеющихся в распоряжении специалистов «Доктор Веб» сведений справедливо утверждать, что возможное число пострадавших может достигать более чем 5,3 миллиона пользователей. Это крупнейший и наиболее массовый со времен ввода антивирусной системы Google Bouncer случай заражения вредоносными приложениями, которые находились в каталоге Google Play.

Принимая во внимание вредоносный функционал исследованного рекламного API, а также обнаруженную связь с сайтами, распространяющими вредоносное ПО для Android, специалисты компании «Доктор Веб» отнесли данный модуль к adware-системам, созданным киберпреступниками именно для вредоносных целей. В антивирусные базы он внесен под именем Android.Androways.1.origin и не представляет угрозы для пользователей антивируса Dr.Web для Android.

Компания «Доктор Веб» считает, что сегодня одним из самых распространенных в мире видов киберпреступлений по праву можно назвать фишинг. Именно с помощью мошеннической «рыбалки» у интернет-пользователей чаще всего похищают аккаунты в различных сервисах и банковскую информацию. Мы призываем пользователей быть бдительными и представляем новый раздел нашего сайта, посвященный фишингу: antifraud.drweb.com/phishing. Изучайте и не попадайтесь на уловки мошенников!

Новый раздел позволит получить исчерпывающую информацию о фишинге. Помимо целей фишеров, данных о фишерских площадках и способах заражения вы сможете узнать, как защититься от фишинга, получить советы по безопасности от экспертов компании «Доктор Веб», ознакомиться с примерами мошенничества и даже проверить полученные знания с помощью тестов на образовательном проекте ВебIQметр.

Цель раздела — дать интернет-пользователям максимум полезных сведений о фишинге и помочь избежать фишерских атак в будущем.

Мы уверены, что новые знания не окажутся для вас лишними!

ИСТЧНИК

Фишинг. Советы по безопасности

  • Фишинг (англ. phishing, от fishing — рыбная ловля, выуживание) — вид компьютерного мошенничества, основная цель которого — обманным путем вынудить жертву предоставить мошеннику нужную ему информацию. Это компьютерное преступление, которое преследуется по закону.
  • Фишер — мошенник или группа мошенников, которые занимаются фишингом.

Примерный сценарий фишинга

  1. Мошенник создает сайт, как две капли воды похожий на официальный веб-ресурс, например, банка, почтового сервиса или социальной сети, и с почти таким же адресом (примеры), с той только разницей, что поддельный сайт подготовлен для атаки на посетителя (например, инфицирован).
  2. Затем ссылка на эту подделку под видом официального письма с предложением, например, получить приз или прочитать важное сообщение отправляется на электронную почту как можно большему числу потенциальных жертв.
  3. Далее с помощью разнообразных уловок мошенник добивается, чтобы жертва посетила инфицированный сайт, установила на свой компьютер какую-либо программу, открыла файл, собственноручно выдала пароли к аккаунтам социальных сетей, номера банковских счетов, PIN-коды и многое другое.
  4. Перейдя на вредоносный сайт по полученной в письме ссылке, ничего не подозревающая жертва вводит свои данные для входа в систему.
  5. Введенные данные отправляются фишеру, а обманутый пользователь перенаправляется уже на настоящую страницу организации, даже не заподозрив неладное.

Сегодня фишинг — один из самых распространенных в мире видов киберпреступлений, с помощью которого чаще всего похищают аккаунты и банковскую информацию.

ИСТОЧНИК

Как нас заманивают в сети?

Ссылки для перехода на фишинговый сайт чаще всего приходят в письмах или отображаются в сервисных окнах программ под видом:

  • важного сообщения (например, от банка) с предложением срочной установки некоего сертификата безопасности, необходимого для дальнейшего получения финансовых услуг (примечательно, что часто жертвы такого рода фишинга даже не являются клиентами этого банка, но все равно из любопытства переходят на поддельную страницу);
  • срочного обновления операционной системы/браузера/приложения/онлайн-игры, для загрузки которого жертве следует указать в соответствующей форме свой номер мобильного телефона и ввести пришедший в ответном СМС код. Таким образом, пользователь соглашается с условиями платной подписки, за которую со счета его мобильного телефона будет регулярно списываться определенная сумма;
  • ОЧЕНЬ выгодной акции, которая проводится только сегодня и участвовать в ней надо немедленно, для чего нужно перейти на некий сайт;
  • сообщения о подарке или выигрыше (например, в онлайн-казино или лотерее), для получения которого надо ввести номер мобильного телефона или отправить платное СМС;
  • предложения ответить на вопросы анкеты и получить подарок (для получения подарка требуется ввести номер банковской карты и пароль доступа к интернет-банку);
  • сборника обоев для рабочего стола или другого бесплатного контента (тут возможны сотни вариантов), доступ к которому можно получить, нажав на кнопку в письме/приложении.

Новые сценарии атак появляются ежедневно!

Некоторые примеры фишинговых сайтов

После того как пользователь попадает на поддельную страницу, мошенники пытаются различными психологическими приемами (эти методы именуются «социальной инженерией») побудить его ввести свои логин и пароль, что позволяет преступникам получить доступ к аккаунтам и банковским счетам жертвы.

Главная опасность фишинга заключается в том, что на его удочку может попасться КАЖДЫЙ, — как компьютерный новичок, так и опытный пользователь с многолетним стажем работы в сети Интернет.

Фишер — тонкий знаток различных струн души интернет-пользователя. Изобретая все новые и новые способы мошенничества, он как опытный психолог использует в своих преступных целях наши предсказуемые реакции на различную информацию. Вот только некоторые виды приманок, которые используются в этой криминальной «рыбалке».

  • Запугивание — потребность устранить причину испуга, исправить ситуацию, разобраться, в чем проблема (ввести телефонный номер, чтобы получить код разблокировки и устранить проблему).
  • Эмоциональный порыв — как порыв, основанный на желании поучаствовать и получить что-то, так и сезонный (предпраздничный) порыв — сделать ярче или спокойнее свое участие в чем-либо, обрести эмоциональную гармонию (основной позыв: «Я просто не могу это пропустить!»)
  • Дисциплинированность, послушность (упор на воспитание, убеждения, опыт жертвы) — потребность следовать полученной инструкции (установить предлагаемую программу).
  • Потребность в везении, ощущение себя успешной личностью — желание получить выигрыш немедленно (переход на сайт для получения выигрыша).
  • Задетые политические взгляды/религиозные убеждения — возмущение и потребность его выразить (перейти на предлагаемую страницу).
  • Невнимательность, беспечность — склонность жать на все кнопки без разбора, следовать любым «советам», участвовать в любых акциях.
  • Любопытство (потребность все время узнавать новое; провокация, ощущение того, что все уже давно в курсе; нечто необычно выглядящее, легко доступное).

Далее узнайте о том, как при помощи фишинга происходит заражение.

ИСТОЧНИК

 

30 января 2013 года

С угрозами со стороны вредоносных программ ОС Android столкнулась практически с момента своего появления на рынке. И хотя многие пользователи поначалу восприняли этот факт скептически, постепенно их сомнения сменились обеспокоенностью за безопасность используемых мобильных устройств, так как число вредоносных приложений продолжало неуклонно расти. Прошедший 2012 год в этом плане не стал исключением. В этом обзоре мы рассмотрим наиболее интересные и заметные прошлогодние события, связанные с Android-угрозами.

СМС-троянцы

Троянцы семейства Android.SmsSend, появившиеся еще в 2010 году и быстро ставшие настоящей головной болью пользователей мобильных Android-устройств, по-прежнему являются наиболее распространенной и массовой угрозой для этой мобильной платформы. Эти вредоносные программы предназначены для отправки дорогостоящих СМС-сообщений и подписки абонентов на различные контент-услуги, что может повлечь за собой серьезные финансовые потери (при этом жертва даже не будет знать, что деньги списаны с ее счета). Чаще всего они распространяются под видом популярных игр и приложений, а также их обновлений, однако могут встречаться и другие каналы распространения.

Для создания большинства подобных программ не требуется особых знаний, большого количества времени и средств, а получаемая злоумышленниками прибыль от их использования многократно компенсирует все затраты.

Широкое распространение троянцев обусловлено хорошо развитой сетью партнерских программ, которые предлагают весьма выгодные условия оплаты всем своим участникам. Кроме того, летом 2012 года были зафиксированы многочисленные случаи взлома легитимных веб-сайтов, которые модифицировались злоумышленниками таким образом, что пользователи, посещающие их с мобильных устройств, перенаправлялись на мошеннические ресурсы, распространяющие эти вредоносные программы.

Именно благодаря относительной простоте, высокой окупаемости и эффективности применяемых методов распространения семейство Android.SmsSend доминировало в прошедшем году среди остальных вредоносных приложений.

Увеличение риска кражи конфиденциальной информации, негласный мониторинг и кибершпионаж

Учитывая возможности мобильных Android-устройств, а также принимая во внимание продолжающийся рост числа их пользователей, неудивительно, что проблема сохранности конфиденциальной информации становится все более ощутимой. Рискам в этой сфере подвержены все: как простые пользователи, так и представители коммерческого и государственного секторов. Ценные сведения, интересующие злоумышленников, могут быть самыми разнообразными.

Шпионы — пособники спамеров

Сами по себе вредоносные программы, шпионящие за пользователями и крадущие их конфиденциальную информацию, не уникальны и известны достаточно давно. Однако в 2012 году обозначилась четкая тенденция к появлению довольно специфической группы троянцев-шпионов, направленных против жителей Японии. Все они распространялись при помощи спам-писем, в которых пользователям предлагалось установить то или иное «полезное» приложение, начиная от эротической игры и заканчивая оптимизатором расхода аккумулятора.

К этой группе относятся такие вредоносные программы как Android.MailSteal.1.origin, Android.Maxbet.1.origin, Android.Loozfon.origin и Android.EmailSpy.origin. Их основная задача — похищение адресов электронной почты из книги контактов мобильного устройства и отправка их на удаленный сервер. Помимо этого, некоторые троянцы могут отправлять злоумышленникам не только адреса электронной почты, но и всю информацию из телефонной книги, а также идентификаторы устройства, включая номер сотового телефона. Добытая таким образом информация в дальнейшем может быть использована киберпреступниками для организации новых спам-кампаний и для продажи на черном рынке, а для владельцев похищенных адресов это несет потенциальную угрозу фишинг-атак и вероятность заражения их персональных компьютеров самыми разными вредоносными программами, использующими для инфицирования каналы электронной почты.

Узконаправленные атаки — угроза с повышенным риском

Узконаправленные, точечные или таргетированные атаки несут в себе серьезную угрозу, поскольку они, в отличие от большинства обычных атак, направлены не на максимально возможное число пользователей, а на их ограниченный круг, что снижает вероятность оперативного и эффективного обнаружения используемых при преступлении вредоносных программ.

Одним из вариантов точечной атаки является Advanced Persistent Threat или APT-атака. Ее суть заключается в том, чтобы вредоносная программа как можно дольше оставалась в скомпрометированной системе без обнаружения и получила при этом максимально возможный объем ценных сведений. Жертвами обычно становятся различные компании, организации и государственные структуры.

До сих пор под ударом подобных кампаний находились лишь «большие» компьютерные системы, такие как рабочие станции и серверы. Однако в 2012 году была зафиксирована новая APT-атака, в процессе изучения которой обнаружилась вредоносная программа Android.Luckycat.origin. Функционал троянца включал выполнение команд, поступающих с управляющего сервера, загрузка различных файлов с мобильного устройства и на него, сбор идентификационных данных и некоторые другие возможности.

Несмотря на то, что троянец находился в стадии разработки, и свидетельств его применения на практике не было, факт существования такого инструмента дает серьезное основание полагать, что мобильные Android-устройства в скором времени могут стать такой же привычной мишенью APT-атак, как и обычные компьютеры.

Еще одним инструментом проведения таргетированных атак с целью завладения конфиденциальной и ценной информацией стали мобильные банковские троянцы, крадущие одноразовые коды mTAN. Для обеспечения безопасности финансовых операций в сети Интернет банковские системы отправляют СМС-сообщения с этими кодами на привязанный к клиентскому счету номер мобильного телефона. Чтобы успешно завершить транзакцию, пользователь должен ввести в специальную веб-форму полученный код. Мобильные банковские троянцы предназначены для перехвата СМС-сообщений, кражи этих кодов и передачи их злоумышленникам, которые выполняют различные финансовые операции с электронными счетами ничего не подозревающих жертв (например, совершают онлайн-покупки).

Применение подобных вредоносных программ никогда не было массовым явлением, в том числе и для устройств под управлением Android. В 2012 году мы стали свидетелями появления лишь нескольких новых представителей этого класса троянцев, направленных на мобильную операционную систему от Google. Ими стали Android.SpyEye.2.origin, Android.Panda.2.origin, Android.SmsSpy.6.origin и Android.FakeSber.1.origin.

Типичный способ распространения таких вредоносных программ — социальная инженерия, когда пользователя вводят в заблуждение, предлагая срочное обновление операционной системы или установку некоего сертификата безопасности, необходимого для дальнейшего получения финансовых услуг. Несмотря на то, что случаи появления банковских троянцев для ОС Android являются редкими, проводимые с их помощью атаки весьма эффективны. Именно благодаря неширокой распространенности таких приложений и направленности на пользователей конкретных банковских систем снижается вероятность их быстрого обнаружения и обеспечения необходимой защиты от них.

Среди всех этих вредоносных программ стоит особо выделить Android.FakeSber.1.origin: он стал первым банковским Android-троянцем, направленным против клиентов российского банка. До его появления киберпреступников интересовали лишь зарубежные пользователи. Кроме того, в отличие от своих собратьев, распространяющихся при помощи мошеннических сайтов, данный троянец был помещен злоумышленниками непосредственно в официальный каталог приложений Google Play. К счастью, к моменту, когда троянец был удален из каталога, установить его успели немногие. Тем не менее, потенциальная опасность, которую он представлял, была весьма существенной.

Принцип, по которому работал Android.FakeSber.1.origin, был схож со схемами, применяемыми злоумышленниками в других банковских Android-троянцах. Во-первых, для того чтобы заставить пользователей выполнить его установку, была использована весьма распространенная тактика запугивания: на официальным веб-сайте банка посетителям демонстрировалось сообщение о необходимости авторизации при помощи мобильного телефона (это сообщение отображалось благодаря Windows-троянцу, заразившему компьютеры жертв и работавшему в связке с Android.FakeSber.1.origin). Пользователям предлагалось установить специальное приложение, которое на самом деле и было мобильным банковским троянцем. Во-вторых, попав на мобильное устройство, эта вредоносная программа имитировала ожидаемый функционал, усыпляя бдительность пользователя. В конечном итоге Android.FakeSber.1.origin скрытно перехватывал все входящие сообщения и пересылал полученные из них сведения на удаленный сервер, поэтому помимо mTAN-кодов в руках киберпреступников могли оказаться и другие конфиденциальные сведения, например, частная переписка.

Коммерческое шпионское ПО

Потенциальную угрозу сохранности персональной информации продолжают нести и различные виды коммерческого программного обеспечения для мониторинга и шпионажа. В 2012 году было обнаружено значительное число не только новых модификаций уже известных программ, но и новые представители этого класса приложений. Большинство подобных шпионов может использоваться как легально, с согласия владельца мобильного устройства, так и без его ведома. Для их установки обычно требуется физический доступ к мобильному устройству, однако после установки данные приложения способны скрывать свое присутствие в системе (например, не создавая иконку на главном экране, а также маскируясь под системное ПО). Наиболее распространенными функциями таких шпионов являются отслеживание СМС-сообщений, получение координат пользователя, перехват совершаемых им звонков, а также запись происходящего вокруг в аудиофайл.

Затруднение анализа, разделение функционала и активное противодействие удалению

Борьба с вредоносными Android-программами при помощи антивирусных средств и постепенное повышение компьютерной грамотности владельцев мобильных устройств на базе ОС от Google заставляет злоумышленников искать способы обхода возникающих трудностей. И если раньше троянцы представляли собой единственный программный пакет, содержащий весь вредоносный функционал, сейчас все чаще встречаются более сложные схемы их построения и работы.

Весьма интересным решением киберпреступников была своеобразная матрешка из трех вредоносных приложений, обнаруженных в мае 2012 года. Дроппер Android.MulDrop.origin.3 содержал в своих ресурсах зашифрованный пакет, который также являлся дроппером (Android.MulDrop.origin.4). Он, в свою очередь, имел в своих ресурсах еще один зашифрованный пакет, представляющий собой троянца-загрузчика Android.DownLoader.origin.2, способного получать с удаленного сервера список приложений для загрузки на мобильное устройство.

Для успешного функционирования разработанной схемы были необходимы root-привилегии, а так как основной дроппер находился в модифицированном злоумышленниками легитимном приложении, для работы которого требовался root-доступ, у пользователей не должно было возникнуть серьезных опасений в связи с необходимостью предоставления ему соответствующих прав. Примененный в данном случае механизм может быть весьма эффективным способом избежать лишних подозрений и увеличить шансы успешного заражения мобильного Android-устройства.

Другим примером разделения функционала между несколькими вредоносными приложениями являются троянцы Android.SmsSend.405.origin и Android.SmsSend.696.origin. Первый в различных модификациях распространялся в каталоге Google Play под видом сборника обоев для рабочего стола, доступ к которым пользователь мог получить, нажав кнопку «Далее». В этом случае приложение подключалось к облачному сервису Dropbox и загружало второй программный пакет, который являлся СМС-троянцем. По всей видимости, подобным переносом основного функционала во второе приложение, расположенное вне Google Play, злоумышленники пытались обойти систему Bouncer, которая контролирует каталог на предмет наличия вредоносных программ.

Весьма тревожит появление у вредоносных Android-приложений функционала по противодействию своему удалению. В мае 2012 года был обнаружен троянец Android.Relik.origin, который завершал работу популярных китайских антивирусных средств, а также запрашивал у пользователя доступ к режиму администратора мобильного устройства. В случае активации этого режима другие антивирусные программы уже не смогли бы удалить троянца, однако для избавления от этой вредоносной программы пользователю ничто не мешало убрать вредоносное приложение из списка администраторов.

Идея противодействия удалению в дальнейшем была значительно развита в другом китайском троянце, Android.SmsSend.186.origin. Практически сразу после установки он отображал требование предоставить ему права администратора мобильного устройства, причем в случае отказа требование выводилось вновь до тех пор, пока троянец не получал соответствующие права.

После получения троянцем необходимых прав попытки убрать его из списка администраторов мобильного устройства на некоторых версиях ОС Android заканчивались полным провалом, так как Android.SmsSend.186.origin препятствовал этому, не давая владельцу мобильного устройства зайти в необходимые системные настройки. Антивирусные средства, не располагающие функционалом по нейтрализации таких угроз, также не могли избавить систему от инфицирования, даже если и детектировали вредоносную программу. Самостоятельно же избавиться от троянца было весьма проблематично, поскольку это требовало выполнения ряда нетривиальных действий и определенной доли терпения. Ко всему прочему, эта вредоносная программа распространялась при помощи дроппера, помещенного киберпреступниками в «живые обои», которые при установке не требовали никаких специальных разрешений для своей работы. Таким образом, Android.SmsSend.186.origin представляет собой одну из самых серьезных за последнее время Android-угроз.

Нельзя не отметить тенденцию к росту использования авторами вредоносных программ обфускации кода, которая призвана затруднить анализ троянцев и помешать их детектированию антивирусными средствами. Например, обфускация встречается в целом ряде представителей семейства Android.SmsSend.

Интересные и необычные угрозы

Весьма интересной вредоносной программой, обнаруженной в 2012 году, стал троянец Android.MMarketPay.origin, который самостоятельно покупал приложения в электронном магазине китайского оператора связи China Mobile. Для этого он перехватывал СМС-сообщения с кодами подтверждения совершения покупки, а также обходил проверку captcha, отправляя на удаленный сервер соответствующие изображения для анализа. Целью создания этого троянца могло стать как желание недобросовестных разработчиков увеличить прибыль за счет подобной незаконной продажи своих приложений, так и обычное желание злоумышленников досадить пользователям и сотовому оператору, репутация которого могла заметно пострадать.

Рынок заказных услуг киберпреступников?

Не секрет, что большая часть современных вредоносных программ создается не из простого любопытства — эта сфера незаконной деятельности уже давно стала источником заработка для самых разнообразных групп киберпреступников. И появившихся в 2012 году Android-троянцев Android.Spambot.1.origin и Android.DDoS.1.origin вполне обоснованно можно отнести к инструментам осуществления киберкриминальных услуг. Android.Spambot.1.origin представлял собой троянца, предназначенного для массовой рассылки СМС-спама. Текст сообщений и номера, по которым осуществлялась рассылка, загружались с удаленного сервера, принадлежащего злоумышленникам, поэтому им не составляло большого труда выполнить спам-рассылку для заинтересованных лиц. Чтобы скрыть свою вредоносную деятельность, троянец удалял все сведения об отправляемых СМС, и владельцы инфицированных мобильных устройств могли не сразу обнаружить подозрительную активность. Что же касается Android.DDoS.1.origin, то это — вредоносная программа, предназначенная для осуществления DoS-атак с использованием мобильных Android-устройств. Параметры, необходимые для их проведения, троянец получал посредством СМС-сообщений, в которых указывались имя сервера и требуемый порт. Особенность этой вредоносной программы — в том, что атакуемый сайт мог быть абсолютно любым, поэтому теоретически воспользоваться возможностями этой вредоносной программы могли все, кто проявит должный интерес и заплатит соответствующую цену за оказание незаконной услуги.

Вандализм — редкая, но опасная угроза c деструктивным потенциалом

На фоне общей массы вредоносных Android-приложений, направленных на получение той или иной материальной выгоды, Android.Moghava, обнаруженный весной 2012 года, держится особняком, будучи троянцем-вандалом. Он распространялся в модифицированной злоумышленниками версии приложения — сборника рецептов иранской кухни. Через определенные промежутки времени троянец выполнял на мобильном устройстве поиск JPEG-изображений в каталоге /DCIM/Camera/ и накладывал на них еще одно изображение. В результате этого фотографии пользователя безвозвратно портились.

Обычно вирусописатели создают подобные вредоносные программы с целью громко заявить о себе, либо в качестве мести или простого развлечения. Более редкой причиной является попытка совершить диверсию среди определенной группы лиц. Так или иначе, ущерб от подобных приложений может быть весьма существенным.

Выводы

По состоянию на конец 2012 года вирусные базы Dr.Web содержали почти 1300 записей для Android-угроз. Их процентное распределение представлено на следующей диаграмме:

Следует учитывать тот факт, что специалисты компании проводят постоянную оптимизацию баз, поэтому число соответствующих вирусных записей может со временем уменьшаться.

С ростом популярности мобильных устройств под управлением ОС Android соответственно увеличивается число и разнообразие вредоносных приложений, представляющих опасность для пользователей этой платформы. Описанные выше типы угроз в 2012 году стали наиболее заметными, а также продемонстрировали потенциальный вектор развития вредоносных Android-программ в ближайшем будущем. Одновременно с этим могут появляться и вредоносные приложения, которые сочетают свойства самых разнообразных угроз или же являются «нестандартными» по сравнению с общей массой, что во многом повторяет ситуацию с Windows. Учитывая, что в ближайшие несколько лет мобильная платформа Android будет оставаться среди лидеров рынка, стоит ожидать дальнейшего роста числа созданных для нее вредоносных программ.

ИСТОЧНИК

Установленным приложениям и расширениям может требоваться доступ к данным. Также при обновлении уже имеющихся расширений и приложений может появляться диалоговое окно с предупреждением, что для них требуются дополнительные разрешения. Это сообщение не означает, что продукт выполняет какие-либо опасные операции, а только предупреждает о такой возможности.

Устанавливайте приложения или расширения, только если вы доверяете их разработчикам. Обращайте внимание на оценки и отзывы, чтобы определить, стоит ли им доверять.

Вот разрешения, которые могут быть запрошены расширениями и приложениями. Нажимайте на ссылки, чтобы прочитать дополнительную информацию.

Значок высокой опасности Высокая опасность

Все данные на компьютере и посещаемых веб-сайтах

Этот элемент содержит подключаемый модуль NPAPI.

Предупреждение. Подключаемые модули NPAPI могут выполнять практически любые операции в браузере и вне его. Например, они могут использовать веб-камеру или считывать ваши персональные файлы.

Значок средней опасности Средняя опасность

Ваши данные на всех веб-сайтах

Этот элемент может считывать любые посещаемые вами страницы: интернет-банка, веб-почты, Facebook и т. д. Часто таким элементам требуется видеть все страницы, чтобы выполнять определенные операции ограниченного характера, например поиск RSS-фидов, на которые вы могли бы подписаться.

Предупреждение. Кроме просмотра всех посещаемых вами страниц, этот продукт может использовать ваши учетные данные (файлы cookie), чтобы запрашивать или изменять данные с веб-сайтов.

Ваши данные на сайтах {list of websites}

Этот элемент может просматривать страницы, которые вы посещаете на определенных веб-сайтах.

Предупреждение. Кроме просмотра всех посещаемых вами страниц, этот продукт может использовать ваши учетные данные (файлы cookie), чтобы запрашивать или изменять данные с веб-сайтов.

Значок низкой опасности Низкая опасность

Список установленных приложений, расширений и тем

Этот элемент может считывать список установленных тем, расширений и приложений. Он не может устанавливать новые элементы, но может включать, отключать, удалять и запускать уже имеющиеся.

Закладки

Этот элемент может считывать, изменять, добавлять и упорядочивать ваши закладки.

Данные о посещенных страницах

Этот элемент может просматривать и очищать историю посещенных страниц.

Вкладки и журнал посещений

Этот элемент может просматривать адреса и названия веб-сайтов, которые вы посещаете в новых вкладках или окнах. Часто это предупреждение может быть следствием того, что продукт открывает новые вкладки или окна.

Ваше физическое местоположение

Этот элемент использует информацию о местоположении, которую предоставляет ваш компьютер.

Копируемые и вставляемые данные

Этот элемент может считывать данные, которые вы копируете в буфер обмена операционной системы, в том числе конфиденциальные или личные сведения. Например, это может быть номер телефона, копируемый с веб-сайта или из локального документа.

Дополнительные разрешения

Этот элемент может предлагать вам предоставить разрешения или отказаться от этого после его первоначальной установки. Дополнительные разрешения могут быть необходимы для включения новых функций или возможностей элемента. Помните: отозвать предоставленные элементу разрешения невозможно.

Источник