Записи с меткой «сайт»

Сайт https://www.linkedin.com

( ЗАКРЫТ !? )

Ваше соединение не защищено

Владелец www.linkedin.com неправильно настроил свой веб-сайт.

Чтобы защитить вашу информацию от кражи, Firefox не соединился с этим веб-сайтом.

Отправка сообщений о подобных ошибках поможет Mozilla

обнаружить и заблокировать вредоносные сайты

www.linkedin.com использует недействительный сертификат безопасности.

К сертификату нет доверия, так как он является самоподписанным.

Сертификат недействителен для имени www.linkedin.com.

Код ошибки: SEC_ERROR_UNKNOWN_ISSUER
https://www.linkedin.com/ Издатель сертификата узла не распознан.

Форсированное защищённое соединение
HTTP (HSTS): false
Привязка открытого ключа HTTP (HPKP): false Цепочка сертификата:

—–BEGIN CERTIFICATE—– MIICsDCCAZgCCQDrwZPIUKCUsDAN
BgkqhkiG9w0BAQsFADAaMRgwFgYDVQQDDA9i bG9jay5xd2Vy
dHkucnUwHhcNMTcwMTI2MDcwNjE3WhcNNDQwNjEzMDcwNjE3WjAa
MRgwFgYDVQQDDA9ibG9jay5xd2VydHkucnUwggEiMA0GCSqGSIb3
DQEBAQUAA4IB DwAwggEKAoIBAQDelVn2jZBbCigYd1CaPOlpxYy
pVOTO0+N8ZIXnm42mN+fXoSjB ucnzUiX0V0HqM6yuZ8cs2wX7Qt
eI9KWVl3jdjVCQjTmBsMgzJZHyoik1mbDVlAXP nhu++uSKwQKkP
LpI+WTC4Vv23MMef2yO0gMbLZSjPmzC091pDlnrU8U5Uxw5+1vw
UJL5pq1hoxRi/R39wHhAhoGrjjLfbbmLLbpUVU2kYtgzwAs+
8UbJ+Mt2HWOtrNWl 7uj2no6uyBM+RnrcSZ4YbR6mOzWAmbiiEL
bek6iQKYbOLXgHZwLf3t2HxsjCB8WgIJaEtCGAN1broTb/P8l/bI
maZQygZe/mBmkXAgMBAAEwDQYJKoZIhvcNAQELBQAD ggEBANS8l
dkL+fDNu2zlvviIbx0caY6K8YPUu0dMxFpAI/5H9yXcPmdZ2L3L6
OCJ /mOomzAnF+ddHY4J5GoQ0VW8pfdbpqcuCLoeRgVRZZ0n4iCs
o9OKrXBGyiLXaVTw RBl5RgjnmoGZgQoNGJhKrSjDRJ9LZYUwhbm
P30ebtLTjEd/++mB269/y5l/cAc2C AalzpNbT/MFJPdxec7LYUj
8zkuCcmgQyXZ2dLqzsuCSs4cKN8UBFvN+kmDn8E0JY B/KucUan+
q57lP5kvULUTdv7fveUu6NhFpiPP9WXtNN9PsLprjy0cUOB+ARw1
zQYbccWLrG86YZp/W/VLmupvu7Efd4= —–END CERTIFICATE—–

Что бы открыть защищённое соединение используем технологию

Kaspersky Secure Connection Service 1.0.0

Открыто

Данная технология используется в Kaspersky Anti-Virus Service

Каспер Безопасность

После включения и настройки данной функции сайт снова работает

САЙТ ОТКРЫТ

Реклама

https://i0.wp.com/kasper-key.net/img_content/Kaspersky_Lab_Logo.png

новости от «Лаборатории Касперского» 

В январе, по данным «Лаборатории Касперского», доля нежелательной корреспонденции в общемировом почтовом трафике снизилась на 7,6 пунктов и составила 65,7%. Однако на снижение в большей степени повлияло относительное затишье в праздничную неделю — в последующие дни спамерская активность восстановилась.

В январе внимание спамеров предсказуемо переключилось с прошедших новогодних праздников на грядущий День святого Валентина — специалисты «Лаборатории Касперского» зафиксировали рассылки «цветочной» рекламы и предложения подарков и услуг по организации романтических ужинов. Дополнительно в праздничном спаме были затронуты День защитника Отечества и Международный женский день. Зимняя Олимпиада тоже стала очередным поводом для рекламы оформленных в соответствующем стиле товаров: в спам—рассылках предлагались тематические подарки и услуги по организации мероприятий и туристических поездок.

В связи с окончанием финансового года немалая часть спам—рассылок содержала рекламу бухгалтерских услуг по подготовке и сдаче годовой отчетности для организаций. В свою очередь «нигерийские» мошенники с целью обмана пользователей и выманивания денег продолжили эксплуатировать смерть известных людей — на этот раз Нельсона Манделы и Ариэля Шарона.

Что касается вредоносного спама, то в январе внимание злоумышленников было сосредоточено на пользователях кроссплатформенного мессенджера WhatsApp для смартфонов, позволяющего обмениваться сообщениями и медиа—файлами. Специалисты «Лаборатории Касперского» обнаружили поддельные уведомления от WhatsApp о том, что один из друзей пользователя отправил ему фотографию. При этом во вложении к письму находился известный бэкдор Androm, основная функция которого — загрузка на компьютер пользователя других вредоносных программ.

Большая часть мирового спама в январе рассылалась из США (21,9%). Лидер прошлого месяца, Китай, опустился на вторую строчку рейтинга стран—источников спама с долей в 16%, а замыкает тройку Южная Корея (12,5%). В целом регион Азии, несмотря на сохранение лидирующей позиции, продемонстрировал снижение доли спама в мировом трафике на 7,6 пунктов до 49%, в то время как показатель Северной Америки вырос до 22,7%. Лидером среди стран—источников спама в Рунете по—прежнему остается Россия (16,4%), второе место занимает Тайвань (13,2%), а на третьей строчке расположилась Индия (11,3%).

Страны—источники спама в мире в январе 2014 года

«Помните, что вероятность получить выгодное, прозрачное и гарантировано честное предложение посредством спама невысока — добросовестный продавец крайне редко прибегает к услугам спамеров. Причем помимо назойливой рекламы нежелательная корреспонденция может вести на вредоносные или фишинговые сайты, именно поэтому следует обращать внимание на подлинность ресурсов, на которые ведут ссылки в письме», — делится рекомендациями Мария Вергелис, спам—аналитик «Лаборатории Касперского».

Подробнее об особенностях спама в январе 2014 года читайте на сайте www.securelist.com/ru/analysis/208050832/Spam_v_yanvare_2014.

новости от «Лаборатории Касперского»

https://i1.wp.com/pconsumibles.com/productos/f.1372096736.jpg

«Лаборатория Касперского» и крупнейший в Рунете регистратор доменных имен RU-CENTER объявляют о сотрудничестве и объединении усилий с целью предотвращения использования злоумышленниками доменов русскоязычного сегмента Сети в своих преступных интересах.

В рамках заключенного соглашения эксперты «Лаборатории Касперского» будут выявлять случаи использования доменных имен в целях фишинга, для несанкционированного доступа в информационные системы, а также для распространения вредоносных программ и управления ботнетами. Затем эти данные будут передаваться компании RU-CENTER с тем, чтобы регистратор мог оперативно прекратить делегирование доменов, используемых в противоправных целях.

Эффективность подобного сотрудничества уже была подтверждена недавним инцидентом, в рамках которого в Сети был обнаружен клон доменного имени известного в России интернет-магазина. В фальшивом домене буква «m» в его названии была заменена злоумышленниками сочетанием букв rn», что делало его визуально похожим на легальный веб-сайт магазина. При этом «лжедомен» использовался злоумышленниками для нелегального получения конфиденциальных данных пользователей и коммерческой информации. После выявления нарушения регистратор RU-CENTER прекратил делегирование фишингового домена.

«Как аккредитованный регистратор мы регулярно получаем от уполномоченных Координационным центром экспертных организаций обращения о снятии доменных имен-нарушителей с делегирования. Подобное взаимодействие дает нам возможность оперативно пресекать деятельность злоумышленников в Сети. Домены оперативно разблокируются, если причина их отключения устранена владельцем, — рассказывает Андрей Воробьев, директор департамента по связям с общественностью и взаимодействию с органами государственной власти RU-CENTER. — Мы рады, что теперь в числе наших партнеров «Лаборатория Касперского» с ее широким опытом и экспертизой в распознавании и устранении киберугроз».

«При существующем сегодня многообразии и сложности киберугроз борьба с ними должна вестись не только локально на компьютере пользователя, но и более глобально, в частности в рамках сотрудничества с организациями, имеющими отношение к IT и цифровому контенту. Обнаружение угрозы на уровне домена позволит не только избежать многочисленных инцидентов, но также закроет для киберпреступников этот канал распространения зловредов. Уверен, что объединение усилий с крупнейшим в Рунете регистратором доменных имен позволит нам добиться хороших результатов в борьбе с киберугрозами в Сети», — отметил Руслан Стоянов, руководитель отдела расследования компьютерных инцидентов «Лаборатории Касперского».

Ранее подобное соглашение о защите интернет-пространства на уровне доменов «Лаборатория Касперского» заключила с Координационным центром национального домена сети Интернет. В рамках этого сотрудничества стороны предотвращают несанкционированное использование доменных имен верхнего уровня .ru и .рф.

О RU-CENTER

RU-CENTER (ЗАО «Региональный Сетевой Информационный Центр») — первый в России и крупнейший профессиональный регистратор доменов и один из ведущих хостинг-провайдеров. RU-CENTER является аккредитованным регистратором доменных имен в 23 доменах верхнего уровня: RU, РФ, SU, NET, COM и других доменах, обеспечивает регистрацию в 62 геодоменах России и стран СНГ, а также в доменах COM.RU, PP.RU, ORG.RU и NET.RU. RU-CENTER работает на рынке регистрации доменов уже больше 10 лет и в настоящее время обслуживает свыше 3 млн доменных имен. С июня 2012 года RU-CENTER входит в состав Группы компаний Hosting Community, объединяющей крупнейших российских хостинг-провайдеров и регистраторов доменных имен. Более подробная информация о компании представлена на официальном сайте http://nic.ru.

О «Лаборатории Касперского»

«Лаборатория Касперского» — крупнейшая в мире частная компания, специализирующаяся в области разработки программных решений для обеспечения IT-безопасности. Компания входит в четверку ведущих мировых производителей защитных систем класса Endpoint Security*. Вот уже более шестнадцати лет «Лаборатория Касперского» предлагает эффективные защитные решения для крупных корпораций, предприятий среднего и малого бизнеса и домашних пользователей. Ключевым фактором успеха компании является инновационный подход к обеспечению информационной безопасности. Технологии и решения «Лаборатории Касперского» защищают более 300 миллионов пользователей почти в 200 странах и территориях мира. Более подробная информация доступна на официальном сайте www.kaspersky.ru.


*Компания заняла четвертое место в рейтинге аналитического агентства IDC «Выручка вендоров от продажи решений класса Endpoint Security» (Worldwide Endpoint Security Revenue by Vendor) за 2012 год. Рейтинг был включен в отчет IDC «Прогноз развития мирового рынка решений класса Endpoint Security на 2013-2017 гг. и доли вендоров в 2012 г.» (Worldwide Endpoint Security 2013—2017 Forecast and 2012 Vendor Shares), опубликованный в августе 2013 года (IDC #242618). В основу рейтинга легли данные о выручке от продаж решений класса Endpoint Security в 2012 году.

Возвращение NetTraveler

Эксперты «Лаборатории Касперского» сообщают о новой волне
кампании кибершпионажа NetTraveler (также известной, как Travnet,
Netfile или Red Star APT), поразившей ранее сотни государственных и

частных организаций в более чем 40 странах мира. Среди выявленных целей
операции NetTraveler были правительственные учреждения, посольства,
политические активисты, военные организации, нефтегазовые компании,
научно-исследовательские центры и университеты, многие из которых
располагались на территории России.

Сразу же после огласки «Лабораторией Касперского» в июне
2013 года действий группы, стоящей за NetTraveler, злоумышленники
отключили свои командные центры и перенесли их на новые серверы в Китае,
Гонконге и Тайване. При этом, как показал анализ текущей ситуации,
киберпреступники продолжили беспрепятственно совершать атаки.

В течение последних нескольких дней были зафиксированы целевые
фишинговые рассылки уйгурским активистам. Использованная
злоумышленниками Java-уязвимость оказалась более эффективной для
заражения компьютеров жертв, так как была закрыта Oracle лишь в июне
этого года, а значит, все еще широко распространена среди пользователей.
Предыдущая серия атак осуществлялась через уязвимости Microsoft Office
(CVE-2012-0158), «заплатки» для которых были выпущены
компанией Microsoft еще в апреле.

В дополнение к фишинговым рассылкам, группа злоумышленников теперь также
применяет технику «Watering Hole», заключающуюся в
веб-перенаправлениях и принудительной загрузке файлов со специально
подготовленных доменов, заражая тем самым посетителей веб-сайтов. За
прошедший месяц специалисты «Лаборатории Касперского»
перехватили и заблокировали ряд таких попыток заражения со стороны
домена wetstock[dot]org, который уже был связан с
кампанией NetTravaler ранее. Перенаправления происходили с различных
уйгурских сайтов, которые были предварительно взломаны и заражены
атакующими.

Эксперты «Лаборатории Касперского» полагают, что
злоумышленники могут использовать и другие средства для достижения своих
целей, поэтому выработали ряд рекомендаций, как оградить себя от
подобных атак:
* Обновите Java до самой актуальной версии. Если вы не
пользуйтесь Java, деинсталлируйте это приложение;
* Установите самые
свежие обновления Microsoft Windows и Microsoft Office;
* Обновите все
стороннее программное обеспечение, например Adobe Reader;

* Используйте безопасный интернет-браузер, например Google Chrome,
цикл разработки и обновления которого быстрее, чем у штатного
Windows-браузера Internet Explorer;
* Не спешите переходить по ссылкам
и открывать вложения в письмах от неизвестных лиц.

«К счастью, на данный момент мы не обнаружили случаев
использования уязвимостей нулевого дня хакерами, стоящими за
NetTraveler. В этом случае даже постоянное применение обновлений не
может гарантировать полной защищенности, однако ее можно обеспечить
такими технологиями как «Запрет по умолчанию» и
«Автоматическая защита от эксплойтов», которые входят в
состав современных защитных решений», — прокомментировал Костин
Раю, руководитель центра глобальных исследований и анализа угроз
«Лаборатории Касперского».

Более подробная информация о расследовании операции NetTraveler доступна
на
www.securelist.com/ru/blog/207768921/NetTraveler_vozvrashchaetsya_kiberprestupniki_ispolzuyut_novye_priemy_CVE_2013_2465.

19 марта 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — сообщает о наблюдаемом с начала года росте распространения рекламных приложений для компьютеров под управлением Mac OS X. Среди них выделяется троянец Trojan.Yontoo.1, который, являясь загрузчиком, устанавливает на инфицированный компьютер дополнение для популярных браузеров, основное назначение которого — демонстрация рекламы в процессе просмотра веб-сайтов.

С начала 2013 года специалисты компании «Доктор Веб» отмечают рост количества рекламных приложений для различных платформ, в том числе для операционной системы Mac OS X. Таким образом злоумышленники зарабатывают на партнерских программах рекламных сетей, и с каждым днем растет их интерес к пользователям Apple-совместимых компьютеров. Ярким примером подобного ПО может служить обнаруженный недавно Trojan.Yontoo.1.

Эта троянская программа проникает на компьютер жертвы различными способами. Например, с целью распространения троянца злоумышленники создали специальные веб-страницы с анонсами фильмов, при открытии которых в верхней части окна демонстрируется стандартное предложение установки плагина для браузера. На самом деле данный диалог лишь имитирует традиционную панель, демонстрируемую пользователям в случае необходимости установки какого-либо дополнения или надстройки, и создан злоумышленниками специально, чтобы ввести потенциальную жертву в заблуждение. После нажатия на кнопку Install the plug-in происходит перенаправление пользователя на сайт для загрузки приложения, детектируемого антивирусным ПО «Доктор Веб» как Trojan.Yontoo.1.

screen

Злоумышленники предусмотрели несколько альтернативных способов распространения этой угрозы. Например, жертва может загрузить троянца под видом медиаплеера, программы для улучшения качества просмотра видео, «ускорителя» загрузки файлов из Интернета и т. д.

После запуска Trojan.Yontoo.1 демонстрирует на экране диалоговое окно программы, предлагающей инсталлировать приложение под названием Free Twit Tube.

screen

Однако вместо заявленной программы после нажатия на кнопку Continue троянец загружает из Интернета и устанавливает специальный плагин Yontoo для наиболее популярных среди пользователей Mac OS X браузеров: Safari, Chrome и Firefox. Этот плагин в процессе просмотра веб-страниц в фоновом режиме передает на удаленный сервер данные о том, какую веб-страницу открыл в своем браузере пользователь.

screen

В ответ данное дополнение получает от злоумышленников специальный файл, позволяющий встраивать в просматриваемые пользователем веб-страницы различные рекламные модули от сторонних партнерских программ. Вот так, например, будет выглядеть на инфицированном компьютере веб-страница сайта apple.com:

screen

Такие расширения для браузеров детектируются антивирусным ПО как Adware.Plugin. Следует отметить, что аналогичная схема распространения «рекламного троянца» существует и для пользователей ОС Windows.

Новый троянец охотится на пользователей, «блокируя» доступ к социальным сетям

Posted: Апрель 12, 2013 in Антивирус, Вконтакте, Доктор Веб, Новости, Одноклассники, антивирусы, атака, вирусы, компьютеры, лечение, поиск, пользователи, программы, софт, срочно, угрозы, Trojan
Метки:, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает об опасности заражения новой версией вредоносной программы Trojan.Zekos, одна из функций которой заключается в перехвате DNS-запросов на инфицированном компьютере. Этот механизм применяется вирусописателями в целях проведения фишинговых атак – на зараженной машине могут отображаться принадлежащие злоумышленникам веб-страницы вместо запрошенных пользователем сайтов.

С конца прошлой недели в службу технической поддержки компании «Доктор Веб» стали поступать заявки от пользователей, утративших возможность заходить на сайты социальных сетей. Вместо соответствующих интернет-ресурсов в окне браузера демонстрировались веб-страницы с сообщением о том, что профиль пользователя в социальной сети заблокирован, и предложением ввести в соответствующее поле номер телефона и подтверждающий код, полученный в ответном СМС. Вот примеры текстов, опубликованных злоумышленниками на поддельных веб-страницах, имитирующих «ВКонтакте» и «Одноклассники»:

«Мы зафиксировали попытку взлома Вашей страницы. Не беспокойтесь, она в безопасности. Чтобы обезопасить Вашу страницу от злоумышленников и в будущем, мы просим Вас подтвердить привязку к телефону и придумать новый сложный пароль».

«Ваша страница была заблокирована по подозрению на взлом! Наша система безопасности выявила массовую рассылку спам-сообщений с Вашего аккаунта, и мы были вынуждены временно заблокировать его. Для восстановления доступа к аккаунту Вам необходимо пройти валидацию через мобильный телефон».

При этом оформление веб-страниц и демонстрируемый в строке браузера адрес оказывались идентичны оригинальному дизайну и интернет-адресу соответствующей социальной сети. Кроме того, на поддельной веб-странице даже демонстрировалось настоящее имя пользователя, поэтому многие жертвы киберпреступников попросту не замечали подмены, считая, что их учетная запись в социальной сети действительно была взломана.

screen

screen

Проведенное вирусными аналитиками «Доктор Веб» расследование показало, что виновником инцидента стала видоизмененная вирусом системная библиотека rpcss.dll, являющаяся компонентом службы удаленного вызова процедур (RPC) в операционных системах семейства Microsoft Windows. А троянская программа, «дополнившая» библиотеку вредоносным объектом, получила название Trojan.Zekos, причем она умеет заражать как 32-битные, так и 64-битные версии Windows. Примечательно, что первые версии данного троянца были найдены еще в начале 2012 года, однако эта модификация вредоносной программы обладает некоторыми отличиями от своих предшественников.

Trojan.Zekos состоит из нескольких компонентов. Запустившись на зараженном компьютере, Trojan.Zekos сохраняет свою зашифрованную копию в одну из системных папок в виде файла со случайным именем и расширением, отключает защиту файлов Windows File Protection и пытается повысить собственные привилегии в операционной системе. Затем троянец модифицирует библиотеку rpcss.dll, добавляя в нее код, основное предназначение которого — загрузка в память компьютера хранящейся на диске копии троянца. Также Trojan.Zekos модифицирует драйвер протокола TCP/IP (tcpip.sys) с целью увеличения количества одновременных TCP-соединений в 1 секунду с 10 до 1000000.

Trojan.Zekos обладает чрезвычайно богатым и развитым вредоносным функционалом. Одна из возможностей данной вредоносной программы — перехват DNS-запросов на инфицированном компьютере для процессов браузеров Microsoft Internet Explorer, Mozilla Firefox, Chrome, Opera, Safari и др. Таким образом, при попытке, например, посетить сайт популярной социальной сети, браузер пользователя получит в ответ на DNS-запрос некорректный IP-адрес запрашиваемого ресурса, и вместо искомого сайта пользователь увидит принадлежащую злоумышленникам веб-страницу. При этом в адресной строке браузера будет демонстрироваться правильный URL. Помимо этого Trojan.Zekos блокирует доступ к интернет-сайтам большинства антивирусных компаний и серверам Microsoft.

Сигнатура данной угрозы и алгоритм лечения последствий заражения троянцем Trojan.Zekos успешно добавлены в вирусные базы Dr.Web. Пользователям, пострадавшим от данной угрозы, рекомендуется проверить жесткие диски своих компьютеров с помощью антивирусного сканера, или воспользоваться бесплатной лечащей утилитой Dr.Web CureIt!

Компания «Доктор Веб» считает, что сегодня одним из самых распространенных в мире видов киберпреступлений по праву можно назвать фишинг. Именно с помощью мошеннической «рыбалки» у интернет-пользователей чаще всего похищают аккаунты в различных сервисах и банковскую информацию. Мы призываем пользователей быть бдительными и представляем новый раздел нашего сайта, посвященный фишингу: antifraud.drweb.com/phishing. Изучайте и не попадайтесь на уловки мошенников!

Новый раздел позволит получить исчерпывающую информацию о фишинге. Помимо целей фишеров, данных о фишерских площадках и способах заражения вы сможете узнать, как защититься от фишинга, получить советы по безопасности от экспертов компании «Доктор Веб», ознакомиться с примерами мошенничества и даже проверить полученные знания с помощью тестов на образовательном проекте ВебIQметр.

Цель раздела — дать интернет-пользователям максимум полезных сведений о фишинге и помочь избежать фишерских атак в будущем.

Мы уверены, что новые знания не окажутся для вас лишними!

ИСТЧНИК

Фишинг. Советы по безопасности

  • Фишинг (англ. phishing, от fishing — рыбная ловля, выуживание) — вид компьютерного мошенничества, основная цель которого — обманным путем вынудить жертву предоставить мошеннику нужную ему информацию. Это компьютерное преступление, которое преследуется по закону.
  • Фишер — мошенник или группа мошенников, которые занимаются фишингом.

Примерный сценарий фишинга

  1. Мошенник создает сайт, как две капли воды похожий на официальный веб-ресурс, например, банка, почтового сервиса или социальной сети, и с почти таким же адресом (примеры), с той только разницей, что поддельный сайт подготовлен для атаки на посетителя (например, инфицирован).
  2. Затем ссылка на эту подделку под видом официального письма с предложением, например, получить приз или прочитать важное сообщение отправляется на электронную почту как можно большему числу потенциальных жертв.
  3. Далее с помощью разнообразных уловок мошенник добивается, чтобы жертва посетила инфицированный сайт, установила на свой компьютер какую-либо программу, открыла файл, собственноручно выдала пароли к аккаунтам социальных сетей, номера банковских счетов, PIN-коды и многое другое.
  4. Перейдя на вредоносный сайт по полученной в письме ссылке, ничего не подозревающая жертва вводит свои данные для входа в систему.
  5. Введенные данные отправляются фишеру, а обманутый пользователь перенаправляется уже на настоящую страницу организации, даже не заподозрив неладное.

Сегодня фишинг — один из самых распространенных в мире видов киберпреступлений, с помощью которого чаще всего похищают аккаунты и банковскую информацию.

ИСТОЧНИК

Как нас заманивают в сети?

Ссылки для перехода на фишинговый сайт чаще всего приходят в письмах или отображаются в сервисных окнах программ под видом:

  • важного сообщения (например, от банка) с предложением срочной установки некоего сертификата безопасности, необходимого для дальнейшего получения финансовых услуг (примечательно, что часто жертвы такого рода фишинга даже не являются клиентами этого банка, но все равно из любопытства переходят на поддельную страницу);
  • срочного обновления операционной системы/браузера/приложения/онлайн-игры, для загрузки которого жертве следует указать в соответствующей форме свой номер мобильного телефона и ввести пришедший в ответном СМС код. Таким образом, пользователь соглашается с условиями платной подписки, за которую со счета его мобильного телефона будет регулярно списываться определенная сумма;
  • ОЧЕНЬ выгодной акции, которая проводится только сегодня и участвовать в ней надо немедленно, для чего нужно перейти на некий сайт;
  • сообщения о подарке или выигрыше (например, в онлайн-казино или лотерее), для получения которого надо ввести номер мобильного телефона или отправить платное СМС;
  • предложения ответить на вопросы анкеты и получить подарок (для получения подарка требуется ввести номер банковской карты и пароль доступа к интернет-банку);
  • сборника обоев для рабочего стола или другого бесплатного контента (тут возможны сотни вариантов), доступ к которому можно получить, нажав на кнопку в письме/приложении.

Новые сценарии атак появляются ежедневно!

Некоторые примеры фишинговых сайтов

После того как пользователь попадает на поддельную страницу, мошенники пытаются различными психологическими приемами (эти методы именуются «социальной инженерией») побудить его ввести свои логин и пароль, что позволяет преступникам получить доступ к аккаунтам и банковским счетам жертвы.

Главная опасность фишинга заключается в том, что на его удочку может попасться КАЖДЫЙ, — как компьютерный новичок, так и опытный пользователь с многолетним стажем работы в сети Интернет.

Фишер — тонкий знаток различных струн души интернет-пользователя. Изобретая все новые и новые способы мошенничества, он как опытный психолог использует в своих преступных целях наши предсказуемые реакции на различную информацию. Вот только некоторые виды приманок, которые используются в этой криминальной «рыбалке».

  • Запугивание — потребность устранить причину испуга, исправить ситуацию, разобраться, в чем проблема (ввести телефонный номер, чтобы получить код разблокировки и устранить проблему).
  • Эмоциональный порыв — как порыв, основанный на желании поучаствовать и получить что-то, так и сезонный (предпраздничный) порыв — сделать ярче или спокойнее свое участие в чем-либо, обрести эмоциональную гармонию (основной позыв: «Я просто не могу это пропустить!»)
  • Дисциплинированность, послушность (упор на воспитание, убеждения, опыт жертвы) — потребность следовать полученной инструкции (установить предлагаемую программу).
  • Потребность в везении, ощущение себя успешной личностью — желание получить выигрыш немедленно (переход на сайт для получения выигрыша).
  • Задетые политические взгляды/религиозные убеждения — возмущение и потребность его выразить (перейти на предлагаемую страницу).
  • Невнимательность, беспечность — склонность жать на все кнопки без разбора, следовать любым «советам», участвовать в любых акциях.
  • Любопытство (потребность все время узнавать новое; провокация, ощущение того, что все уже давно в курсе; нечто необычно выглядящее, легко доступное).

Далее узнайте о том, как при помощи фишинга происходит заражение.

ИСТОЧНИК

 

WWW.VISAWEEK.RU — BOUNDLESS MOVEMENT

INTERNATIONAL LAW-INFORMATIVE SYSTEMS LLC — WWW.VISAWEEK.RU – is the Moscow reliable partner in the field of international law, tourism and migration.

We invite to cooperation the tourist organizations, legal and the individuals interested in cooperation and development of international law, migration and tourism. Our company carries out professional consulting in the field of information, the rights, tourism, to migration and offers the following services:

— consulting – from 500 rubles to Regular customers – discounts!
— the visa — from 1000 rubles
— urgent registration of international passports – from 11000 rubles
— visa support to foreigners – from 6000 rubles
— the legal – from 3000 rubles

In more detail our prices you can see on a site in the section Price lists.

We are engaged in paperwork, including for regional partners, and also non-standard situations (visas to foreigners to the third countries, registration of visas after refusals). Delivery «from a door to a door».

INTERNATIONAL LAW-INFORMATIVE SYSTEMS LLC — WWW.VISAWEEK.RU — welcomes all tourist organizations and offers services in the b2b market for interested persons in the tourism sphere, namely: help in accreditation in Rosturizma, Ministry of Foreign Affairs, FMS and consulates.

Also on the basis of the company there is the consulting structure, carrying-out professional legal and information support of full range of services.

The company, being the electronic messenger on international law and tourism, pays huge attention to the scientific sphere and education and invites to cooperation advertizing and tourist periodicals.

Within our company we carry out carrying out seminars and conferences, and also we can prepare printing materials on our subject for your printing editions for students of your educational institutions. For us are available production base for carrying out such actions.

We hope for long term and fruitful cooperation. At interest probably to speak about flexible systems of discount.

Wish the working day happy to you!

Yours faithfully,

IGOR NOVIKOV
General Director
«INTERNATIONAL LAW-INFORMATIVE SYSTEMS» Co LTD
(MOSCOW, RUSSIA)
+7 499 390 80 92
Skype: visa.week
ICQ 240-391-793
visaweek@visaweek.ru

Эксперты «Лаборатории Касперского» проанализировали развитие
киберугроз, с которыми сталкивались жители пяти крупных российских
регионов1. Согласно данным облачной системы мониторинга угроз Kaspersky
Security Network (KSN2), самыми опасными городами для серфинга в
Интернете стали Барнаул (Сибирский федеральный округ), Калининград
(Северо-Западный федеральный округ), Краснодар (Южный федеральный
округ), Уфа (Приволжский федеральный округ) и Магнитогорск (Уральский
федеральный округ).

Опасность подцепить вредоносный код в Интернете подстерегает
пользователей в регионах на каждом шагу. Причем, зачастую пользователи
по собственной воле становятся жертвами киберпреступников, кликнув,
например, по ссылке, которая ведет на зараженный ресурс или
мошеннический сайт. Наибольшее количество попыток перехода на подобные
сайты — 20,6 млн — заблокировано в СФО. Меньше всего —
5,7 млн — в УФО. Чаще других с этой проблемой среди крупных
городов упомянутых федеральных округов сталкиваются жители
Магнитогорска, где на каждого пользователя в среднем приходится 22
опасные ссылки. (http://www.kaspersky.ru/images/news/6graf.png)

Следуя общероссийской тенденции, пользователи в российских регионах
активно осваивают шоппинг в Сети и все чаще пользуются системами
онлайн-банкинга. Растущая популярность интернет-транзакций побуждает
кибермошенников придумывать все новые способы отъема денег с электронных
счетов россиян. Согласно данным «Лаборатории Касперского»,
только в СФО в 2012 году было предотвращено на 162% больше атак
вредоносного ПО на пользователей онлайн-банкинга, чем годом ранее. По
этому показателю сибиряки оказались в лидерах среди других четырех
исследуемых федеральных округов. На втором месте находится ПФО, где рост
составил 106%. Лучше ситуация обстоит в ЮФО (88%), УФО (85%), а также в
СЗФО (19%).

Однако не только клиенты банков стали чаще оказываться под прицелом
киберпреступников. В уходящем году жители регионов в целом стали больше
подвергаться атакам в Сети, что приводит к заражению не только
банковскими троянцами, но и другими видами вредоносных программ. По
данным «Лаборатории Касперского», в целом по России 59%
пользователей хотя бы раз за этот период сталкивались с угрозой
заражения в Интернете. По этому показателю наша страна занимает первое
место в мире, опередив многих соседние государства, такие как, например,
Армения (55%), Казахстан (55%) и Белоруссия (51%).

Одним из наиболее важных факторов, обуславливающих столь высокие
показатели, стал стремительный рост количества угроз: если в начале года
ежедневно появлялось 70 тыс. новых вредоносных программ, то к концу года
это года их число достигло 200 тысяч. Однако беспокойство вызывает и тот
факт, что согласно данным KSN, большинство (33%) пользователей в России
по-прежнему используют устаревшую версию ОС Windows XP, которая более
уязвима, чем другие, современные версии ОС.

Помимо угроз в Интернете компьютеры пользователей в российских регионах
нередко подвергаются риску заражения через различные переносные
записывающие устройства, такие как жесткий диск или флэш-накопители.
Чаще всего с этой опасностью в рассматриваемых федеральных округах
сталкиваются жители Уфы, где на одного пользователя по итогам 2012 года
в среднем приходится до 14 вредоносных объектов на локальном ПК.

«Стремительное развитие киберугроз наглядно демонстрирует, что
сегодня нельзя игнорировать вопросы компьютерной безопасности.
Отсутствие антивирусной защиты, устаревшие версии операционной системы,
необновленные программы и приложения — все это открывает прямой
путь вирусам на компьютер, — комментирует Сергей Новиков,
руководитель российского исследовательского центра «Лаборатории
Касперского». — Помимо использования технических средств
защиты важно следовать основным правилам поведения в Интернете: не
кликать на завлекающие баннеры, не переходить по сомнительным ссылкам в
спаме и не открывать подозрительные вложения в таких сообщениях. Кроме
того, необходимо регулярно обновлять установленный софт, чтобы устранить
лазейки, через которые вредоносные программы проникают на компьютер.
Выполнение этих простых рекомендаций поможет каждому пользователю
защитить свое цифровое Я».

1 Данные получены на основе статистики по крупным городам пяти
федеральных округов (СФО, СЗФО, ПФО, УФО и ЮфО).

2 Kaspersky Security Network (KSN) — специальная сеть,
объединяющая пользователей продуктов «Лаборатории
Касперского». С согласия пользователей KSN собирает и доставляет
на централизованные серверы информацию обо всех попытках заражения и
подозрительного поведения на миллионах пользовательских машин,
защищенных продуктами компании. К этим данным добавляется информация из
многих других источников. Таким образом, осуществляется постоянный
мониторинг вирусной ситуации в Интернете. Стоит новой вредоносной
программе попытаться заразить хотя бы один компьютер, как информация о
ней и ее действиях мгновенно поступает к экспертам «Лаборатории
Касперского», программа получает соответствующий статус, данные о
ней рассылаются всем пользователям и любые последующие попытки заражения
исключаются.

ИСТОЧНИК

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — информирует о распространении нескольких троянских программ с использованием взломанных злоумышленниками веб-сайтов. В частности, вредоносные программы загружаются с официального интернет-ресурса далай-ламы. Опасность грозит не только пользователям операционной системы Windows, но и Mac OS X.

Несколько дней назад пользователи проинформировали специалистов компании «Доктор Веб» о факте взлома неизвестными злоумышленниками официального сайта тибетского духовного лидера далай-ламы. Исследуя ситуацию, специалисты «Доктор Веб» выяснили, что при попытке открытия этого веб-сайта в окне браузера на компьютер пользователя загружался файл формата jar, содержащий эксплойт (CVE-2012-0507). С помощью этой уязвимости происходит автоматический запуск троянца для Mac OS X, добавленного в вирусные базы под именем BackDoor.Dockster.

Эта вредоносная программа помещается в домашнюю папку пользователя Mac OS X и запускается. При этом для ее функционирования не требуются администраторские привилегии — троянец может работать и под учетной записью обычного пользователя. BackDoor.Dockster способен фиксировать и передавать злоумышленникам нажатия клавиш на инфицированном компьютере (то есть пароли, которые вводятся на зараженном компьютере), а также выполнять различные команды, поступающие от злоумышленников.

screenshot

Примечательно, что троянец BackDoor.Dockster.1 пытается загрузиться на компьютеры всех посетителей сайта далай-ламы, вне зависимости от используемой ими системной платформы. Вероятно, взломавшие данный сайт злоумышленники не смогли настроить на атакованном сервере соответствующую проверку клиентской ОС: в пользу этого предположения говорит то обстоятельство, что на инфицированном ресурсе специалистами «Доктор Веб» был обнаружен другой JAR-файл с именем install.jar, содержащий эксплойт CVE-2012-4681. С помощью этого файла на компьютер жертвы должна устанавливаться вредоносная программа семейства BackDoor.Gyplit, ориентированная на работу в ОС Windows и предназначенная для сбора и передачи злоумышленникам конфиденциальной информации, а также выполнения на инфицированной машине различных команд. Тем не менее, загрузки упомянутого выше JAR-файла в настоящий момент не происходит.

Известно о существовании как минимум еще двух веб-сайтов, при посещении которых выполняется проверка пользовательской ОС, и в зависимости от ее результатов на клиентский компьютер загружается соответствующий JAR-файл. В первом случае версия данного файла для пользователей Windows содержит Exploit.CVE2011-3544.83, с использованием которого происходит заражение вредоносной программой Trojan.Inject1.14703. Версия JAR-файла для других операционных систем эксплуатирует уязвимость CVE-2012-0507, при этом пользователи Mac OS X рискуют заразиться троянцем BackDoor.Lamadai.1. Эта же вредоносная программа загружается с инфицированного веб-сайта на компьютеры пользователей Linux, однако в данной операционной системе она неработоспособна.

Во втором случае на известном южнокорейском новостном сайте, освещающем события в Северной Корее, также осуществляется проверка операционной системы посетителя при помощи аналогичного сценария, однако вредоносный файл, в роли которого выступает троянец Trojan.MulDrop3.47574, «отдается» только пользователям Windows.

Имеют место и другие инциденты, связанные с именем далай-ламы: случаи распространения вредоносных программ и таргетированных вредоносных рассылок, так или иначе ассоциированных с темой борьбы за независимость Тибета, фиксировались и ранее. В целом можно говорить о тенденции использования злоумышленниками взломанных интернет-ресурсов для распространения вредоносного ПО, при этом атаки носят узконаправленный характер, поскольку взлому подвергаются в основном сайты политической и оппозиционной направленности, посвященные тибетской или северокорейской проблематике.

Администраторы подвергшихся атаке веб-сайтов были своевременно предупреждены о факте взлома, и в течение нескольких суток специалисты компании «Доктор Веб» ожидали, что владельцы данных ресурсов удалят код, выполняющий вредоносные функции.

Адреса инфицированных интернет-ресурсов были временно помещены в базы интернет-фильтра Dr.Web SpIDer Gate с целью предотвращения заражения пользовательских компьютеров вредоносным ПО.

ИСТОЧНИК

Массовое заражение веб-сайтов является одной из самых больших проблем в современной IT-безопасности. О том, насколько велика эта проблема, можно судить, например, по числу запросов в наш отдел технической поддержи, касающихся предупреждений о вредоносных веб-сайтах. Владельцы веб-сайтов обычно жалуются на то, что наш продукт ошибочно блокирует доступ к их порталу, и это, очевидно, ложное срабатывание, поскольку они не размещают никакого вредоносного контента. К сожалению, в большинстве случаев они не правы: на их сайтах действительно можно найти вредоносные скрипты, внедренные киберпреступниками в PHP-, JS- или HTML-код. Эти скрипты обычно перенаправляют пользователей на вредоносные URL-ссылки, с которых загружаются вредоносные программы и исполняются на компьютере пользователя. В большинстве случаев процесс исполнения вредоносного кода абсолютно невидим пользователю: ему кажется, что веб-сайт работает как обычно. Вредоносный код незаметно укрепляется на атакуемом компьютере, используя уязвимости в установленном ПО (Java, Flash, программах просмотра PDF-файлов, плагинах к браузерам и т.д.). Этот метод называется drive-by загрузка и подробно описывался на Securelist.

В настоящей статье мы хотим сфокусировать внимание читателя на том, что может помочь администраторам веб-сайтов распознать вредоносное ПО и удалить его с веб-сайтов.

  • Что происходит? Симптомы заражения вредоносным ПО
  • Что искать? Примеры вредоносного кода
  • Как это случилось? Направления и методы атак
  • Для чего это делается? Цели киберпреступников
  • Как справиться с заражением веб-сайта? Методы удаления
  • Как предотвратить заражение веб-сайта? Основы безопасности при администрировании веб-ресурса

Симптомы заражения

Как узнать, что ваш веб-сайт оказался заражён? Наиболее очевидные симптомы таковы:

  • пользователи жалуются на то, что веб-сайт блокируется браузером и/или антивирусными программами
  • веб-сайт внесён в чёрный список Google или в другую базу вредоносных URL-адресов
  • произошли серьёзные изменения в объёме трафика и/или в рейтингах поисковых систем
  • веб-сайт не работает как следует, выдаёт ошибки и предупреждения
  • после посещения веб-сайта компьютер ведёт себя странно.

Зачастую вредоносный код остаётся незамеченным в течение долгого времени, особенно в случае заражения очень сложными зловредами. Такое вредоносное ПО обычно сильно обфусцировано, чтобы ввести в заблуждение и администраторов веб-сайтов, и антивирусные программы; оно всё время меняет доменные имена, на которые перенаправляет пользователей, обходя таким образом чёрные списки. Если нет ни одного из приведенных симптомов, это хороший показатель чистоты вашего сервера, хотя, увы, не 100%-ный; поэтому, оставайтесь бдительными к любой подозрительной активности.

Самым очевидным признаком заражения любым вредоносным ПО является присутствие вредоносного/подозрительного кода в одном или нескольких файлах — преимущественно в формате HTML, PHP или JS, а с некоторых пор и ASP/ASPX. Этот код найти нелегко, требуется владение по меньшей мере основами программирования и разработки веб-сайтов. Для того чтобы читатель лучше понял, как выглядит вредоносный код, мы приводим несколько примеров самого обычного заражения веб-страниц.

Пример 1: простая переадресация

Самым старым и самым простым методом, используемым киберпреступниками, является добавление простого HTML iframe-тега в код HTML-файлов на сервере. Адрес, используемый для загрузки вредоносного веб-сайта в IFrame, указан в качестве атрибута SRC; атрибут VISIBILITY со значением “hidden” делает фрейм невидимым для пользователя, посещающего веб-сайт.

 
Рисунок 1: Вредоносный IFrame внутри HTML-кода веб-сайта

Другой метод выполнения вредоносного скрипта в браузере пользователя — это внедрение ссылки на этот скрипт в HTML-файл в качестве атрибута src в тегах script или img:

 
Рисунок 2: Примеры вредоносных ссылок

Последнее время все чаще встречаются случаи, когда вредоносный код динамически генерируется и внедряется в HTML-код вредоносными JS- или PHP-скриптами. В таких случаях код видим только в представлении исходного кода страницы из браузера, но не в физических файлах на сервере. Киберпреступники могут дополнительно определять условия, когда вредоносный код должен генерироваться: например, только когда пользователь перешёл на сайт с определённых поисковых систем или открыл веб-сайт в конкретном браузере.

Чтобы обмануть и владельца веб-сайта, и антивирусное ПО, а также затруднить анализ вредоносного кода, киберпреступники используют разнообразные методы обфускации кода.

Пример 2: «Ошибка 404: страница не найдена»

В этом примере вредоносный код внедряется в шаблон сообщения, которое выводится, когда указанный объект не был найден на сервере (всем известная «ошибка 404»). Кроме того, в файлы index.html / index.php внедряется ссылка на какой-либо несуществующий элемент, чтобы незаметно вызывать эту ошибку при каждом посещении пользователем заражённой веб-страницы. Этот метод может спровоцировать некоторую неразбериху: человек, ответственный за веб-сайт, получает сообщение, что некое антивирусное решение пометило веб-сайт как заражённый; после поверхностной проверки оказывается, что вредоносный код был найден в объекте, которого по всей видимости не существует; это приводит к соблазну предположить (ошибочно), что это была ложная тревога.

 
Рисунок 3. Trojan.JS.Iframe.zs — вредоносный скрипт в шаблоне сообщения об ошибке 404

В этом конкретном случае вредоносный код был обфусцирован. После деобфускации можем видеть, что целью скрипта является внедрение тэга IFRAME, который будет использован для перенаправления пользователей на вредоносный URL-адрес.

 
Рисунок 4. Trojan.JS.Iframe.zs — вредоносный код после деобфускации

Пример 3: выборочное внедрение вредоносного кода

Аналогичный код может генерироваться и присоединяться динамически (т.е. в зависимости от конкретных условий) ко всем HTML-файлам, расположенным на сервере, используя вредоносный PHP-скрипт, загруженный на тот же сервер. Скрипт, показанный в следующем примере, проверяет параметр UserAgent (который отсылается браузером пользователя, а также поисковыми ботами) и не добавляет вредоносный код, если веб-сайт сканируется ботом или если посетители сайта пользуются браузерами Opera, Chrome или Safari. Таким образом, пользователи браузеров, неуязвимых к конкретному эксплойту, используемому для атаки, не будут перенаправляться на этот эксплойт. Также стоит заметить, что комментарии в коде намеренно вводят в заблуждение, наводя на мысль о том, что данный скрипт имеет какое-то отношение к статистике бота.

 
Рисунок 5. Trojan.PHP.Iframer.e — код, заражающий PHP-скрипт

Этот метод может также использоваться в обратном направлении: киберпреступники могут внедрять ссылки, ведущие к нелегальному, сомнительному или вредоносному контенту (спаму, шпионскому ПО, пиратскому ПО, фишинговым ресурсам) только если на веб-сайт зашёл поисковый бот. Целью такой атаки является так называемая чёрная оптимизация — механизм поднятия позиции киберкриминального ресурса в поисковой выдаче. Такое вредоносное ПО обычно направлено на популярные веб-порталы с высоким рейтингом, и его довольно сложно обнаружить, поскольку вредоносный код никогда не показывается обычному пользователю. В результате вредоносные веб-сайты получают высокий рейтинг в поисковых системах и оказываются в верхних строчках поисковой выдачи.

Пример 4: хитрая обфускация

Заражающие PHP-скрипты могут также принимать другие формы. Ниже даются два примера, обнаруженные и описанные в нашем блоге несколько месяцев назад (здесь и здесь).

 
Рисунок 6. Trojan-Downloader.PHP.KScript.a —заражающий PHP-скрипт

 
Рисунок 7. Trojan.PHP.Injector.c — заражающий PHP-скрипт

Первый из этих примеров (Trojan-Downloader.PHP.JScript.a) внедряет вредоносный JavaScript в код HTML-файлов сразу за одним из определённых закрывающих тэгов (например, script, div, table, form, p, body). Содержимое внедряемого скрипта написано далеко не простым кодом — оно представлено в виде чисел и хранится в двух массивах — $tr и $tc. Деобфускация выполняется «на лету». Код, генерируемый таким образом, также обфусцирован, но другим способом:

 
Рисунок 8. Trojan.JS.Redirector.px — вредоносный JavaScript, внедрённый в HTML-файл

На первый взгляд можно подумать, что этот скрипт имеет какое-то отношение к цветам, отображаемом на веб-сайте. К сожалению, это впечатление полностью ошибочно — скрипт конвертирует значения, которые хранятся в массиве div_colors, в символы ASCII и затем собирает вредоносный URL-адрес, который дописывается в HTML-файл при помощи функций document.write() или document.createElement().

Второй PHP-скрипт (Trojan.PHP.Injecter.c) написан ещё более хитро: во вредоносном URL-адресе использованы «невидимые» символы — пробелы и знаки табуляции. Если принять пробел за ноль, а знак табуляции — за единицу, получим двоичный код; каждый 8-битный кусочек этого кода — это числовое представление ASCII-символа.

Пример 5: заражённые JavaScript

Рассмотренные выше вредоносные заражающие PHP-скрипты были загружены киберпреступниками на сервер с использованием уязвимостей в системах управления контентом (CMS) или краденых данных для доступа к FTP-серверу. Другой метод — заражение легитимных JS-файлов, уже существующих на сервере. Из всего многообразия примеров следует упомянуть по крайней мере три разных сценария, которые были широко распространены последние несколько месяцев.

В первом случае производится динамическое внедрение следующего кода в HTML-файлы:

 
Рисунок 9. Trojan.JS.Iframe.zs — вредоносный Iframe, динамически внедряемый в HTML

Скрипт, отвечающий за добавление этого кода, помещается в один или несколько JS-файлов на сервере:

 
Рисунок 10. Trojan.JS.Iframe.zs — скрипт, внедряющий Iframe — после деобфускации

В следующем случае для обфускации используется шестнадцатеричное представление ASCII-символов. Все JS-файлы на сервере заражены аналогичным кодом:

 
Рис 11. Trojan-Downloader.JS.Agent.gnm — вредоносный код, внедренный в JS-файлы

При другом популярном сценарии наряду со стандартными методами обфускации в код включены комментарии на латыни — видимо, для того, чтобы скрипт выглядел для администратора легитимным и вызывающим доверие. Тем не менее, эти комментарии являют собой всего лишь случайные фрагменты из известного классического текста Lorem Ipsum.

 
Рис 12. Trojan-Downloader.JS.Twetti.t — вредоносный код, внедряемый в JS-файлы

Наконец, известен случай массового заражения зловредом, при котором используются случайные доменные имена. В случае заражения этим зловредом вы можете обнаружить на своём веб-сайте следующий код:

 
Рис 13. Обфусцированная версия кода, который перенаправляет на сгенерированный случайным образом домен

Пример 6: «gootkit» и обфускация файла целиком

Обфусцированный вредоносный код легко обнаружить среди остального чистого кода, и поэтому недавно киберпреступникам в голову пришла идея обфусцировать содержимое файла целиком, делая таким образом нечитабельным как внедренный, так и легитимный код. Отделить легитимный код от вредоносного невозможно, и вылечить файл можно только после его дешифровки.

 
Рис. 14. Файл, обфусцированный зловредом “gootkit”

Избавиться от первого уровня обфускации несложно, для этого нужно просто поменять функцию eval() на alert() — или print() в случае с консолью — и запустить ее на исполнение. Второй уровень несколько сложнее: в данном случае доменное имя используется в качестве ключа для шифрования кода.

 
Рис. 15: «gootkit» — второй уровень обфускации

После дешифровки можно видеть вредоносный код, идущий за оригинальным содержимым файла:

 
Рис. 16: «gootkit» — деобфусцированный код

Иногда вредоносная часть оказывается второй версией вредоносных программ, о которых шла речь в предыдущем примере, и используется для генерации псевдослучайного доменного имени для переадресации.

Пример 7: .htaccess

Вместо заражения скриптов и HTML-кода киберпреступники могут использовать возможности некоторых файлов, например .htaccess. В таких файлах администратор может определять права доступа к определенным папкам на сервере, а также при определенных обстоятельствах перенаправлять пользователей на другие URL-адреса (например, в случае если пользователь заходит с браузера мобильного устройства, он перенаправляется на мобильную версию веб-сайта). Нетрудно догадаться, каким образом киберпреступники используют подобный функционал…

 
Рис17: вредоносный .htaccess

В приведенном выше примере все пользователи, оказавшиеся на этом веб-сайте, пройдя по ссылке в большинстве крупных поисковых систем (параметр HTTP_REFERER), перенаправляются на вредоносную URL-ссылку. Помимо этого, в этом файле .htaccess определено достаточно большое количество браузеров и ботов, для которых перенаправление не производится (параметр HTTP_USER_AGENT). Перенаправление не происходит также в случае, если веб-страница читается из кеша (referer == cache) или загружается повторно с того же компьютера (параметр cookie).

Подобные зловреды позволяют проводить и более избирательные заражения — например, могут быть исключены конкретные IP-адреса, и при просмотре веб-сайтов из определенного диапазона IP-адресов — например, принадлежащих компании по информационной безопасности — выдача вредоносных результатов отсутствует.

Векторы атак и технологии заражения

Независимо от используемых технологий, киберпреступникам необходимо найти способ доставки вредоносных файлов на сервер или модификации файлов, уже существующих на сервере. Наиболее примитивным методом получения доступа к серверу является взлом пароля доступа. Для этого киберпреступники могут использовать так называемую атаку методом перебора или ее ограниченную версию — атаку «перебора по словарю» (словарную атаку). Такая тактика обычно требует большого количества времени и ресурсов, поэтому редко используется при массовых заражениях веб-сайтов. Среди более популярных сценариев — эксплуатация уязвимостей и вредоносное ПО для кражи паролей.

Использование уязвимостей системы управления контентом/ системы электронной коммерции

Большинство современных платформ управления веб-контентом (такие как система управления контентом (CMS), электронная коммерция, панели управления и т.д.) неидеальны и имеют уязвимости, позволяющие другим лицам без аутентификации загружать файлы на сервер. И хотя поиск таких уязвимостей разработчики ведут постоянно, выпуск патчей занимает большое количество времени; помимо этого, многие пользователи продолжают использовать старые версии программ с большим количеством ошибок. Чаще всего уязвимости находят, естественно, в самых популярных платформах, таких как WordPress, Joomla и osCommerce.

Известный пример такой уязвимости — TimThumb, которая широко использовалась киберпреступниками в разнообразных сценариях drive-by загрузки. TimThumb — PHP-модуль для изменения размера изображений и создания так называемых графических миниатюр, включенный в большинство CMS-шаблонов, находящихся в открытом доступе. Уязвимость позволяет записывать файлы, находящиеся на удаленной машине, на сервер, в директорию для кеша. Еще один пример — уязвимость SQL injection в Plesk Panel (версии 10 и старше), обнаруженная в феврале 2012 года, позволяющая читать базы данных и красть пароли, которые — до недавнего времени — хранились в явном виде. Полученные таким образом регистрационные данные, вероятно, использовались при недавней массовой веб-эпидемии http://www.securelist.com/en/blog/208193624/Who_is_attacking_me; https://www.securelist.com/ru/blog/208193713/RunForestRun_gootkit_i_generirovanie_sluchaynykh_domennykh_imen.

Использование шпионского ПО для кражи учетных данных для доступа к серверу по FTP

В наиболее распространенных веб-заражениях (например, Gumblar и Pegel) успешным оказался другой метод. На первом этапе киберпреступники распространяют вредоносные программы, разработанные специально для поиска и кражи имен пользователей и паролей к FTP-аккаунтам посредством проверки настроек FTP-клиентов или сканирования сетевого трафика. После нахождения зловредом этих регистрационных данных на зараженном компьютере администратора сайта программа устанавливает соединение с FTP-сервером и загружает вредоносные скрипты или записывает вместо оригинальных файлов их зараженные версии. Само собой разумеется, что до тех пор пока компьютер владельца аккаунта заражен, файлы, хранящиеся на сервере, будут снова и снова заражаться даже после смены регистрационных данных и восстановления всего контента из чистой резервной копии.

Цели киберпреступников

Какова цель заражения веб-сайтов?

  • переадресация пользователей на эксплойты для незаметной установки вредоносных программ на их компьютерах;
  • переадресация пользователей на спам, фишинговый и другой вредоносный, нелегальный или нежелательный контент;
  • перехват/кража посещений сайта / поисковых запросов.
  • продвижение вредоносных/нелегальных веб-сайтов и веб-сайтов, содержащих спам (черная оптимизация);
  • использование ресурсов сервера для нелегальной активности.

По сути здесь нет ничего нового: при заражении веб-сайтов киберпреступниками движет стремление получить непрямую прибыль.

Методы устранения вредоносного кода

Что делать, если ваш сайт атаковали хакеры?

Во-первых, если вы наблюдаете симптомы, которые говорят о возможном заражении, необходимо незамедлительно деактивировать веб-сайт до устранения проблемы. Это действительно исключительно важно, поскольку каждый момент промедления играет на руку киберпреступникам, позволяя заразить еще больше компьютеров и распространить заражение по всему интернету. Следует проверить журналы сервера на наличие подозрительной активности, например странные запросы с IP-адресов, находящихся в странах, нехарактерных для посетителей сайта, и т.п. — это может быть полезно для обнаружения зараженных файлов и определения, как именно киберпреступники получили доступ к серверу.

Но каким же образом бороться с вредоносным кодом?

Резервная копия

Самый быстрый и надежный способ восстановления всего содержимого сервера — с использованием чистой резервной копии. Чтобы сделать это эффективно, необходимо также произвести полную переустановку ПО, работающего на сервере (системы управления контентом / CMF, системы электронной коммерции и т.п.). Разумеется, для этого необходимо использовать самые последние, полностью обновленные версии. После этих действий на сервере не должно остаться никаких зараженных файлов — при условии, что вы стерли все содержимое перед восстановлением, а резервная копия была создана еще до начала атаки.

Автоматическая проверка

Если чистая резервная копия отсутствует, вам ничего не остается как начать бороться с вредоносным ПО. К счастью, существует ряд автоматизированных решений, которые помогут отыскать вредоносный код — включая антивирусные продукты и онлайн-сканеры веб-сайтов, например http://sucuri.net/. Ни одно из них не является идеальным, но в случае с хорошо известным/обычным вредоносным ПО все они могут быть весьма полезными. Начнем с того, что можно проверить веб-сайт при помощи нескольких онлайн-сканеров. Некоторые из них не только определят, действительно ли ваш сайт заражен, но и укажут на вредоносный код в ваших файлах. Затем можно произвести полную антивирусную проверку всех файлов на сервере.

Если вы владелец сервера или если на сервере работает защитное решение, на использование которого у вас есть права, вы можете выполнить проверку на стороне сервера. Убедитесь в том, что вы создали копию ваших файлов, так как некоторые антивирусные сканеры не лечат зараженные файлы, а удаляют их! Можно также загрузить содержимое вашего сервера на локальный компьютер и осуществить его проверку при помощи антивирусного решения для стационарного компьютера. Второй вариант предпочтительней, поскольку в составе большинства современных антивирусных программ для стационарных компьютеров есть хорошо развитый эвристический модуль. Вредоносные программы, поражающие веб-сайты, в высшей степени полиморфны: и если при борьбе с ним сигнатурный анализ практически бесполезен, эвристика позволяет их с легкостью детектировать.

Удаление вручную

Если автоматическая проверка не дала результатов и сообщения о заражении вашего сайта поступают по-прежнему, единственный способ избавиться от зловреда — найти его вручную и удалить весь вредоносный код. Эта непростая задача может занять значительное количество времени, поскольку необходимо проверить каждый файл — будь то HTML, JS, PHP или файл конфигурации — на наличие вредоносных скриптов. Примеры, приведенные выше, — всего лишь небольшая часть разнообразных зловредов для веб-сайтов, поэтому высока вероятность того, что вредоносный код на вашем сайте будет частично или полностью отличаться от этих образцов. И тем не менее большинство современных вредоносных программ для веб-сайтов имеют некоторые общие черты, и эти черты помогут в определении проблемы.

Более всего необходимо уделить внимание тем частям кода, которые выглядят неясными или нечитаемыми. Обфускация кода — технология, часто используемая вирусописателями, — довольно необычна для любого другого ПО, связанного с веб-сайтами. Если вы не обфусцировали код сами, у вас есть все основания иметь относительно него подозрения. Но будьте аккуратны — вредоносным окажется не весь обфусцированный код!

Аналогичным образом, не любой вредоносный скрипт обфусцирован, поэтому имеет смысл искать теги IFRAME в явном виде и другие ссылки на внешние ресурсы во всех ваших файлах. Некоторые из них могут иметь отношение к рекламным объявлениям и статистике, но не попадитесь на удочку специально сформированных URL, которые могут сбивать с толку, имея вид адресов известных и доверенных порталов. Не забывайте проверять код шаблонных сообщений об ошибках, а также все файлы .htaccess.

Полезными инструментами для поиска вредоносного кода на сервере, несомненно, являются grep и find — утилиты, работающие в режиме командной строки, по умолчанию включаемые практически во все системы на основе Unix. Ниже приведены примеры их использования в диагностике наиболее распространенных заражений:

grep -iRs “iframe” *
grep -iRs “eval” *
grep -iRs “unescape” *
grep -iRs “base64_decode” *
grep -iRs “var div_colors” *
grep -iRs “var _0x” *
grep -iRs “CoreLibrariesHandler” *
grep -iRs “pingnow” *
grep -iRs “serchbot” *
grep -iRs “km0ae9gr6m” *
grep -iRs “c3284d” *
find . -iname “upd.php”
find . -iname “*timthumb*”

Описание grep (из руководства Linux): печать строк, соответствующих шаблону; опция -i означает игнорировать регистр; -R означает рекурсивный поиск, а -s предотвращает показ сообщений об ошибках. Первая из перечисленных команд ищет в файлах тэги IFRAME; три остальные ищут наиболее явные признаки обфускации; остальные ищут особые строки, связанные с крупнейшими известными заражениями веб-сайтов.

Что касается find, в руководстве Linux указано: поиск файлов в иерархической структуре папок; «.» (точка) указывает на текущую директорию (так что запускать данные команды следует из корневой директории или домашнего (home) каталога на сервере), параметр -iname определяет файл, который следует искать. Можно использовать регулярные выражения для поиска всех файлов, соответствующих неким критериям.

Разумеется, всегда нужно знать, что именно искать — не все результаты будут указывать на заражение. Неплохо проверить подозрительные части кода антивирусным сканером или попробовать поискать их в google. Очень вероятно, что вы найдете некоторые ответы — как для вредоносного, так и для чистого кода. Если вы по-прежнему не уверены, заражен ли файл, лучше всего деактивировать веб-сайт (на всякий случай) и до принятия каких-либо действий обратиться за советом к специалисту.

Очень важно!

Помимо очистки файлов на сервере необходимо обязательно произвести полную антивирусную проверку всех компьютеров, используемых для загрузки и управления контентом на сервере и сменить все данные для доступа ко всем аккаунтам на сервере(FTP, SSH, панели управления и т.д.), которые вы поддерживаете.

Основы безопасности для веб-сайтов

К сожалению, в большинстве случаев удаления вредоносного кода недостаточно для того, чтобы избавиться от заражения раз и навсегда. Если ваш веб-сайт заражен, возможно, это говорит о существовании уязвимостей, которые позволили киберпреступникам внедрить вредоносные скрипты на сервер; и если вы оставите без внимания эту проблему, в ближайшем будущем вас ждут новые заражения. Чтобы это предотвратить, необходимо принять соответствующие меры для защиты сервера и компьютера/компьютеров, используемых для администрирования сервера.

  • Использование стойких паролей. Несмотря на тривиальность этого совета, это действительно основа безопасности сервера. Необходимо не только менять пароли после каждого инцидента и/или атаки на сервер — они должны меняться на регулярной основе, например ежемесячно. Хороший пароль должен соответствовать особым критериям, о которых можно узнать на нашем веб-сайте www.kaspersky.com/passwords;
  • Регулярное обновление. Необходимо также не забывать о регулярных обновлениях. Киберпреступники часто эксплуатируют уязвимости в ПО независимо от цели вредоносной программы — направлена ли она на пользователей ПК или на веб-сайты. Все программы, с помощью которых вы управляете вашим сервером / контентом сайта, должны быть самых последних версий, а каждое обновление безопасности должно устанавливаться сразу же по его выходе. Использование актуальных версий ПО и своевременная установка всех необходимых патчей поможет снизить риск атаки с использованием эксплойтов. Регулярно обновляемый список известных уязвимостей можно найти на сайте http://cve.mitre.org/;
  • Регулярное создание резервных копий. Имея в запасе чистую копию серверного контента, вы сэкономите массу времени и усилий, не говоря о том, что свежие резервные копии могут, помимо лечения заражения, оказаться очень полезны и в решении других проблем;
  • Регулярная проверка файлов. Даже при отсутствии явных симптомов заражения рекомендуется периодическое сканирование всех файлов на сервере на предмет выявления вредоносного кода;
  • Обеспечение безопасности ПК. Поскольку значительное количество вредоносного ПО для веб-сайтов распространяется через заражённые ПК, безопасность стационарного компьютера, используемого для управления вашим веб-сайтом, является одним из приоритетных аспектов безопасности веб-сайта. Непрерывная поддержка чистоты и безопасности вашего компьютера существенно увеличивает вероятность того, что ваш веб-сайт также будет в безопасности и защищен от вирусов.
  • Обязательными (но не достаточными) должны быть следующие действия:
    • удаление неиспользуемых программ;
    • деактивация ненужных сервисов и модулей;
    • настройка соответствующих политик для отдельных пользователей и групп пользователей;
    • установка адекватных прав доступа к определенным файлам и директориям;
    • отключение показа файлов и каталогов веб-сервера;
    • ведение журналов событий, регулярно проверяемых на наличие подозрительной активности;
    • использование шифрования и безопасных протоколов.

Вредоносное ПО, предназначенное для заражения веб-сайтов, может стать настоящим кошмаром для веб-администраторов и интернет-пользователей. Киберпреступники непрерывно развивают свои технологии, открывая новые эксплойты. Зловреды стремительно распространяются через интернет, поражая серверы и рабочие станции. Справедливо сказать, что надежного способа полностью устранить данную угрозу не существует. Однако каждый владелец веб-сайта и каждый интернет-пользователь может сделать интернет безопаснее, соблюдая основные правила безопасности и постоянно поддерживая безопасность и чистоту своих веб-сайтов и компьютеров.

ИСТОЧНИК

Dr.Web

Обзор вирусной активности в августе 2012 года: растущие ботнеты, уязвимость Java и новые угрозы для Android

3 сентября 2012 года

В последний летний месяц 2012 года, как и ожидалось, произошла заметная активизация вирусописателей и сетевых мошенников. В середине августа была зафиксирована, пожалуй, крупнейшая за минувшее полугодие волна взломов веб-сайтов в Рунете с целью распространения вредоносного ПО для мобильных устройств. В распространении опасных троянцев, таких как Trojan.Mayachok.1, были уличены и создатели платных архивов. Число новых угроз, обнаруженных специалистами компании «Доктор Веб», по сравнению с июлем 2012 года несколько возросло.

Вирусная обстановка

По данным статистики, собранной с использованием лечащей утилиты Dr.Web CureIt! в августе 2012 года, наиболее распространенной вредоносной программой на компьютерах пользователей по-прежнему является Trojan.Mayachok.1, однако количество обнаруженных экземпляров троянца по сравнению с предыдущим месяцем выросло на 6,5%. Этот рост можно, в частности, связать с тем, что Trojan.Mayachok.1 начали активно распространять создатели платных архивов, детектируемых антивирусным ПО Dr.Web как Trojan.SMSSend. Компания «Доктор Веб» уже сообщала об этом в одной из новостных публикаций. В статистических сводках Trojan.Mayachok.1 уверенно и с большим отрывом занимает лидирующую позицию, в то время как на втором месте разместился троянец-бэкдор BackDoor.Butirat.91 — эта программа способна выполнять поступающие с удаленного сервера команды, а также загружать и запускать на инфицированном ПК различные файлы. Для сравнения: число обнаружений этой угрозы на 87,1% меньше по отношению к количеству выявленных экземпляров Trojan.Mayachok.1. В то же время общее количество компьютеров, инфицированных BackDoor.Butirat.91, за истекший месяц выросло на 41,8%.

Число обнаруженных на инфицированных компьютерах экземпляров вредоносных программ семейства Trojan.SMSSend осталось практически на прежнем уровне, однако следует обратить внимание на тот факт, что если ранее данную категорию троянцев можно было назвать относительно «безобидной», то с недавнего времени они стали представлять значительную опасность для пользователей. Напомним, что к семейству Trojan.SMSSend относятся архивы, максимально правдоподобно имитирующие программу установки различных популярных приложений. При открытии такого архива пользователю предлагается либо отправить на короткий номер платное СМС-сообщение, либо указать собственный мобильный телефон и ввести в специальное поле код, полученный в ответном СМС, подписавшись таким образом на какую-нибудь ненужную услугу с абонентской платой. Внутри архива, как правило, оказывается какой-либо бесполезный «мусор», иными словами, жертва не получает того, за что заплатила деньги.

Однако количество доверчивых пользователей Интернета, по всей видимости, стало понемногу снижаться, и прибыль от «бизнеса на платных архивах» пошла на убыль. Иначе трудно объяснить то обстоятельство, что создатели одной из партнерских программ по распространению платных архивов — ZIPPRO — сначала стали устанавливать на компьютеры скачавших архив пользователей тулбар «Спутник@Mail.Ru» и браузер «Интернет@Mail.ru», а позже специалисты «Доктор Веб» обнаружили в комплекте устанавливаемых жертве приложений еще и троянца Trojan.Mayachok.1. Основная опасность таких архивов заключается в том, что заражение другими вредоносными программами может произойти уже в момент запуска подобного приложения, даже если пользователь сразу закроет окно платного архива. Подробнее об этом вы можете прочитать в нашем новостном материале.

Наиболее популярные вредоносные программы, обнаруженные на компьютерах пользователей в августе с использованием лечащей утилиты Dr.Web CureIt!, перечислены в представленной ниже таблице:

# Имя угрозы Класс угрозы Кол-во обнаружений %%
1 Trojan.Mayachok.1 virus 74701 6,90%
2 BackDoor.Butirat.91 virus 9667 0,89%
3 Trojan.SMSSend.2363 virus 5667 0,52%
4 Trojan.Carberp.30 virus 5421 0,50%
5 Trojan.Hosts.5940 virus 4025 0,37%
6 Trojan.Fraudster.292 virus 3772 0,35%
7 Win32.HLLW.Gavir.ini virus 3458 0,32%
8 BackDoor.Ddoser.131 virus 3180 0,29%
9 Win32.HLLP.Neshta virus 2941 0,27%
10 Win32.HLLM.Reset.395 virus 2580 0,24%

Среди угроз, выявленных в течение месяца в почтовом трафике, лидирует бэкдор BackDoor.Andromeda.22. Вторую и третью позицию занимают троянцы Trojan.Oficla.zip и Trojan.Necurs.21, не менее активно распространяются по электронной почте черви Win32.HLLM.MyDoom.54464, Win32.HLLM.MyDoom.33808 и Win32.HLLM.Netsky.35328.

Ботнеты

Несмотря на то, что с момента обнаружения крупнейшей в истории бот-сети Backdoor.Flashback.39, состоящей из инфицированных «маков», прошло уже более четырех месяцев, говорить об исчезновении этого ботнета пока еще преждевременно. На текущий момент объем бот-сети составляет 126781 зараженная машина, что на 21711 единиц меньше, чем в конце прошлого месяца. В целом темпы сокращения численности ботнета Backdoor.Flashback.39 заметно снизились (в прошлом месяце вредоносная сеть уменьшилась на 76524 машины).

Численность ботнета Win32.Rmnet.12 в течение августа перевалила за четыре миллиона и составила 4351349 инфицированных компьютеров. Можно сказать, что увеличение популяции данного весьма опасного файлового вируса продвигается прежними темпами: если в июле прирост вредоносной сети составил 480 с лишним тысяч инфицированных рабочих станций, то в августе к бот-сети присоединилось еще порядка 500 тысяч зараженных узлов. Динамика изменения численности ботнета Win32.Rmnet.12 показана на представленном ниже графике:

Напомним, что наибольшую угрозу данный файловый вирус представляет в первую очередь для жителей стран Юго-Восточной Азии: наибольшее число заражений приходится на долю таких государств, как Индонезия, Бангладеш, Вьетнам и Индия. На территории России сегодня выявлено 105268 инфицированных машин, что составляет 2,4% от общего количества зараженных компьютеров.

Понемногу увеличивается и численность «родственного» ботнета Win32.Rmnet.16, правда, как и прежде, не столь высокими темпами. Так, в течение августа к этой бот-сети присоединилось порядка 67 000 инфицированных ПК, в то время как ее общая численность составила 222300 узлов. Среднесуточный прирост ботнета составил примерно 1,5–2 тысячи зараженных узлов, однако к концу месяца резко сократился. График изменения количества компьютеров, инфицированных файловым вирусом Win32.Rmnet.16, показан ниже.

Напомним, что Win32.Rmnet.16 по функциональным возможностям очень похож на своего «собрата» Win32.Rmnet.12, однако имеет и ряд существенных различий. Так, Win32.Rmnet.16 использует цифровую подпись, которой подписывается IP-адрес управляющего сервера, а адреса самих командных центров генерируются по специальному алгоритму. Вирус способен обрабатывать поступающие от удаленного центра директивы, в частности, команды на скачивание и запуск произвольного файла, обновление вируса, создание и отправку злоумышленникам снимка экрана и даже команду уничтожения операционной системы. Помимо этого, Win32.Rmnet.16 умеет «убивать» процессы большинства наиболее распространенных антивирусных программ, что само по себе является дополнительным фактором, свидетельствующим об опасности данной вредоносной программы.

Географически вирус наиболее распространен на территории Великобритании (72,1%) и Австралии (24,9%), в границах России Win32.Rmnet.16 распространения практически не имеет. Основные государства, пострадавшие от действия вируса Win32.Rmnet.16, обозначены на представленной ниже карте.

Критическая уязвимость Java

В 20-х числах августа компания FireEye, а вслед за ней и другие разработчики антивирусного ПО сообщили об обнаружении критической уязвимости Java Runtime Environment версий 1.7x, названной CVE-2012-4681. Первые заметки о данной уязвимости были опубликованы 26 августа, а уже на следующий день уязвимость CVE-2012-4681 успела попасть в активно распространяемый среди злоумышленников пакет эксплойтов BlackHole Exploit Кit. Разработчик JRE, компания Oracle, выпустила соответствующее обновление безопасности 30 августа, следовательно, пользователи Java оставались беззащитны перед злоумышленниками как минимум в течение четырех суток.

Специалисты компании «Доктор Веб» провели собственное расследование инцидента, выявив множество TDS (Traffic Direction System), использующих данную уязвимость для создания цепочки перенаправлений пользователей на специально созданные веб-сайты, распространяющие вредоносное ПО. В одном из подтвержденных случаев для организации редиректов злоумышленники вносят изменения в файлы .htaccess на взломанных интернет-ресурсах. Адреса конечных узлов генерируются специальными скриптами динамически и видоизменяются каждый час. При этом URL, на котором заканчивается цепь перенаправлений, зависит от установленной на компьютере пользователя операционной системы. Так, пользователи Mac OS X направлялись на сайт, с которого загружался Backdoor.Flashback.39 (в настоящее время сайт не действует), обладатели мобильных устройств и пользователи ОС Linux попадали на сайт поисковой системы Find-and-Go, а пользователи Windows — на веб-страницу, содержащую вызовы различных эксплойтов.

В настоящее время с использованием уязвимостей Java распространяется троянская программа Trojan.Rodricter.21, обладающая богатыми функциональными возможностями, включающими подмену пользовательских запросов, «накрутку» посещаемости различных сайтов и т. д. Была выявлена и альтернативная цепочка редиректов, в финале которой на компьютер жертвы загружается вредоносная программа, детектируемая антивирусным ПО Dr.Web как Trojan.DownLoader6.29607.

Специалисты компании «Доктор Веб» полагают, что использование данных уязвимостей Java злоумышленниками представляет серьезную опасность для пользователей и может нанести им значительный ущерб. Аналитики настоятельно рекомендуют пользователям установить наиболее актуальные обновления безопасности.

Угрозы для мобильной платформы Android

Август оказался весьма урожайным месяцем с точки зрения угроз, ориентированных на мобильную платформу Google Android. В течение месяца было зафиксировано рекордное количество случаев взлома веб-сайтов с целью распространения вредоносных программ для мобильных платформ. Всего, по подсчетам специалистов «Доктор Веб», атакам подверглись более 2000 русскоязычных интернет-ресурсов, среди которых было отмечено множество популярных и посещаемых сайтов. Злоумышленники изменяли настройки сайтов таким образом, что при открытии веб-страницы на мобильном устройстве пользователь автоматически перенаправлялся на один из вредоносных ресурсов, с которых распространяются троянские программы семейства Android.SmsSend. Подробности этого инцидента описаны в опубликованном нами информационном материале.

В августе получил распространение весьма любопытный троянец Android.SmsSend.186.origin, также ориентированный на мобильную платформу Android. В отличие от большинства других вредоносных программ семейства Android.SmsSend, данный троянец проникает на мобильное устройство с использованием специального дроппера. Еще одной отличительной чертой Android.SmsSend.186.origin является то обстоятельство, что этот троянец обладает способностью сопротивляться попыткам его удаления. Более детальная информация о данной угрозе представлена в соответствующей статье, опубликованной в новостной ленте на сайте компании «Доктор Веб».

Среди других угроз для Android, добавленных в базы Dr.Web в августе, следует отметить Android.Luckycat.1.origin — троянца, предназначенного для хищения пользовательской информации (такой как IMEI устройства, номер телефона, хранящиеся на устройстве файлы) и ее передачи на принадлежащий злоумышленникам сервер. Помимо этого Android.Luckycat.1.origin «умеет» обрабатывать поступающие от злоумышленников команды. Также была выявлена целая группа вредоносных программ для мобильных платформ, относящаяся к знаменитому семейству Zeus/SpyEye — троянцев, предназначенных для кражи паролей. Версия для ОС Android была добавлена в базы под именем Android.Panda.2.origin, версии для BlackBerry — BlackBerry.Panda.1, BlackBerry.Panda.2 и BlackBerry.Panda.3.

Кроме того, в августе было зафиксировано появление нового троянца-загрузчика для ОС Android, получившего имя Android.DownLoader.5.origin — подробнее о нем вы можете узнать из нашей заметки в блоге компании «Доктор Веб». Весьма активно распространялись троянские программы среди японских пользователей Android — в августе пользователи мобильных устройств из Страны восходящего солнца подверглись сразу нескольким массированным спам-атакам. Об этом инциденте мы также рассказывали в одной из наших публикаций. Наконец, следует отметить, что в августе было выявлено большое количество коммерческих шпионских программ: в течение месяца в вирусные базы Dr.Web было добавлено множество подобных приложений, среди них — FinSpy для Android, Symbian OS и iOS.

Угроза месяца: Trojan.Mayachok.17516

Наиболее интересной троянской программой из всех, обнаруженных в августе 2012 года, можно назвать новую модификацию широко распространенного и довольно опасного троянца Trojan.Mayachok, получившую название Trojan.Mayachok.17516. Эта вредоносная программа представляет собой динамическую библиотеку, устанавливаемую в операционную систему с использованием дроппера, который, являясь исполняемым файлом, в общем случае расшифровывает и копирует эту библиотеку на диск. Если в операционной системе включена функция контроля учетных записей пользователей (User Accounts Control, UAC), дроппер копирует себя во временную папку под именем flash_player_update_1_12.exe и запускается на исполнение.

screen

В случае успешного запуска этот исполняемый файл расшифровывает содержащую троянца библиотеку и сохраняет ее в одну из системных папок со случайным именем. Существуют версии библиотеки как для 32-разрядной, так и для 64-разрядной версий Windows. Затем дроппер регистрирует библиотеку в системном реестре и перезагружает компьютер.

Основные функции Trojan.Mayachok.17516 заключаются в скачивании и запуске исполняемых файлов, перехвате сетевых функций браузеров. С использованием процесса explorer.exe Trojan.Mayachok.17516 осуществляет скрытый запуск браузеров и производит «накрутку» посещаемости некоторых интернет-ресурсов. Инфицированный процесс svchost.exe отвечает за обеспечение связи с удаленным командным сервером, а также за загрузку конфигурационных файлов и обновлений. Злоумышленникам, в свою очередь, передается информация о зараженном компьютере, в том числе версия операционной системы, сведения об установленных браузерах и т. д.

Прочие угрозы августа

Во второй половине месяца было зафиксировано распространение троянской программы BackDoor.IRC.Codex.1, использующей для координации своих действий технологию IRC (Internet Relay Chat) — протокол, предназначенный для обмена сообщениями в режиме реального времени. Данная вредоносная программа способна загружать с удаленного сервера и запускать на инфицированном компьютере различные приложения, принимать участие в DDoS-атаках, передавать злоумышленникам информацию, вводимую пользователем в веб-формы, и красть пароли от популярных FTP-клиентов. Исследованию функциональных возможностей троянца BackDoor.IRC.Codex.1 был посвящен отдельный материал.

В ходе расследования инцидента, связанного с распространением опасных троянских программ вместе с платными архивами, специалисты «Доктор Веб» установили, что для установки на компьютеры жертв вредоносного ПО создатели платных архивов разработали собственного троянца, получившего название Trojan.Zipro. Подробности изложены в посвященной этой угрозе статье.

22 августа компания «Доктор Веб» сообщила об обнаружении кросс-платформенной троянской программы BackDoor.Wirenet.1, предназначенной для кражи паролей и способной работать как в операционной системе Linux, так и в Mac OS X. Разработчики продают этот программный продукт в качестве шпионской программы, при этом существует версия BackDoor.Wirenet.1 для операционных систем Solaris и Microsoft Windows.

Китайские вирусописатели сумели удивить специалистов по информационной безопасности, создав довольно сложную и многокомпонентную вредоносную программу Trojan.Xytets, которую можно одновременно отнести и к категории буткитов, и к категории руткитов. Троянец состоит из восьми функциональных модулей различного назначения, обладает технологиями антиотладки, умеет инфицировать главную загрузочную запись и скрывать следы своего присутствия в инфицированной системе. Следует отметить, что Trojan.Xytets обладает весьма развитым вредоносным функционалом, разнообразие которого также отличает его в ряду других вредоносных программ.

Вредоносные файлы, обнаруженные в почтовом трафике в августе

 01.08.2012 00:00 — 31.08.2012 15:00
1 BackDoor.Andromeda.22 1.97%
2 Trojan.Oficla.zip 1.70%
3 Exploit.BlackHole.12 1.45%
4 JS.Redirector.130 1.00%
5 Trojan.Necurs.21 0.90%
6 Win32.HLLM.MyDoom.54464 0.90%
7 Win32.HLLM.MyDoom.33808 0.69%
8 Win32.HLLM.Netsky.35328 0.45%
9 SCRIPT.Virus 0.42%
10 Win32.HLLM.Beagle 0.42%
11 Trojan.Fakealert.32747 0.31%
12 Trojan.PWS.Panda.655 0.31%
13 Exploit.IframeBO 0.24%
14 Win32.HLLM.Netsky.18516 0.24%
15 Trojan.PWS.Panda.786 0.24%
16 W97M.Keylog.1 0.24%
17 Trojan.DownLoader1.64229 0.24%
18 Trojan.Winlock.3020 0.24%
19 BackDoor.Bebloh.17 0.24%
20 Trojan.PWS.Panda.547 0.21%

Вредоносные файлы, обнаруженные в августе на компьютерах пользователей

 01.08.2012 00:00 — 31.08.2012 15:00
1 SCRIPT.Virus 0.50%
2 Trojan.Fraudster.329 0.48%
3 Trojan.Fraudster.256 0.44%
4 Adware.Downware.179 0.42%
5 Tool.Unwanted.JS.SMSFraud.10 0.38%
6 Trojan.Mayachok.1 0.36%
7 Trojan.SMSSend.2925 0.36%
8 Trojan.Fraudster.296 0.34%
9 Win32.HLLM.Graz 0.33%
10 Trojan.Fraudster.320 0.29%
11 Win32.HLLW.Autoruner.59834 0.29%
12 Win32.HLLW.Shadow 0.28%
13 Adware.Downware.316 0.26%
14 Adware.Downware.426 0.25%
15 Tool.Unwanted.JS.SMSFraud.15 0.24%
16 Trojan.Fraudster.261 0.24%
17 Tool.Skymonk.1 0.23%
18 Exploit.CVE2012-1723.13 0.22%
19 Tool.InstallToolbar.88 0.22%
20 Adware.Downware.353 0.22%

ИСТОЧНИК

Trojan.Rodricter распространяется с помощью критической уязвимости Java

5 сентября 2012 года

26 августа компания FireEye сообщила об обнаружении критической уязвимости в Java Runtime Environment версий 1.7x, получившей обозначение CVE-2012-4681. Компания Oracle выпустила соответствующее обновление безопасности только 30 августа, и, следовательно, уязвимость оставалась незакрытой в течение как минимум четырех суток, чем не замедлили воспользоваться злоумышленники. Специалисты компании «Доктор Веб» — российского разработчика средств информационной безопасности — установили, что с использованием этого эксплойта распространялось несколько вредоносных программ, среди которых был обнаружен троянец Trojan.Rodricter.

С целью распространения вредоносных программ злоумышленники использовали взломанные веб-сайты, на которых, в частности, модифицировалось содержимое файла .htaccess. В момент обращения к веб-сайту, содержащему внедренный злоумышленниками вредоносный скрипт, выполняется цепочка перенаправлений, адрес конечного узла в которой зависит от установленной на компьютере пользователя операционной системы. Пользователи ОС Windows перенаправлялись на веб-страницу, содержащую вызовы различных эксплойтов. Примечательно, что адреса серверов, на которые перебрасывались пользователи, генерируются динамически и меняются каждый час.

Загружаемые в браузер пользователя веб-страницы эксплуатировали сразу две уязвимости: CVE-2012-1723 и CVE-2012-4681. Используемый злоумышленниками эксплойт зависит от версии Java Runtime: для версий 7.05 и 7.06 обход безопасности происходил с использованием уязвимости CVE-2012-4681.

screen

В случае если применение уязвимости завершилось успехом, Java-апплет расшифровывает файл class, основное предназначение которого — загрузка и запуск исполняемых файлов. Таким образом злоумышленники распространяли троянскую программу Trojan.Rodricter.21.

screen

Троянец Trojan.Rodricter.21 использует руткит-технологии и состоит из нескольких компонентов. Так, запустившись на инфицированном компьютере, дроппер этой вредоносной программы проверяет наличие в системе антивирусного ПО и отладчиков, после чего пытается повысить свои привилегии: для этого, в частности, могут использоваться уязвимости ОС. На компьютерах, использующих контроль учетных записей пользователей, троянец отключает UAC. Дальнейший алгоритм действий Trojan.Rodricter.21 зависит от того, какие права он имеет в зараженной системе. Троянец сохраняет на диск основной компонент и, если у него достаточно для этого привилегий, инфицирует один из стандартных драйверов Windows с целью скрытия основного модуля в зараженной системе. Таким образом, Trojan.Rodricter.21 вполне можно отнести к категории троянцев-руткитов. Помимо прочего, эта вредоносная программа умеет изменять настройки браузеров Microsoft Internet Explorer и Mozilla Firefox, например, в последнем троянец устанавливает в папку \searchplugins\ дополнительный плагин-поисковик, а также подменяет User-Agent и настройки поисковой системы по умолчанию. В результате отправляемые пользователем поисковые запросы имеют вид http://findgala.com/?&uid=%d&&q={поисковый запрос}, где %d — уникальный идентификатор троянца. Также Trojan.Rodricter.21 модифицирует содержимое файла hosts, прописывая туда адреса принадлежащих злоумышленникам веб-сайтов.

Основной модуль Trojan.Rodricter.21 сохраняется в виде исполняемого файла во временной папке, он предназначен для подмены пользовательского трафика и внедрения в него произвольного содержимого.

Сигнатура данной угрозы добавлена в базы антивирусного ПО Dr.Web, а механизм лечения заражения — в состав лечащей утилиты Dr.Web CureIt! Специалисты компании «Доктор Веб» настоятельно рекомендуют пользователям установить актуальные обновления безопасности, и в первую очередь — обновления Java Runtime Environment.

ИСТОЧНИК

На этом сайте не случайно нами дан подробный список научной и трудовой деятельности доктора Тапиа. Из него наглядно видно, что этот человек – профессионал высочайшего класса, ученый и хирург с мировым именем. Трудоголик и фанат своего дела. Необходимо подчеркнуть, что он начинал свою медицинскую деятельность именно как серьезный хирург в области челюстно-лицевой хирургии. И одновременно талантливый ученый: кандидатскую диссертацию он выполнял под руководством профессора Дмитриевой В.С – ведущего специалиста в области челюстно-лицевой хирургии. Защитил кандидатскую и получил степень в 1989 году. То есть живет в Москве почти 40 лет.
Его неправильно называть и считать иностранным доктором. Это наш московский российский доктор. За многие годы кропотливого труда Владимир Эдуардович, как его зовут в народе, превратился во врача с мировым именем. Имеет запатентованные авторские изобретения в области способов лечения дефектов носа и др. Стал доктором медицинских наук. Он является академиком Академии медико-технических наук РФ, а также членом отечественной и международной ассоциаций пластических, реконструктивных и эстетических хирургов.
Владимир Эдуардович выполняет широкий спектр пластических операций, но никогда не относился к своему труду, как к конвейеру. К каждому случаю своей медицинской практики он подходит индивидуально, свято используя главный врачебный принцип: не навреди. Многим людям он вернул надежду на полноценную жизнь и счастье, так как своим умением мог устранять врожденные дефекты внешности, результаты страшных травм и последствий различных болезней.
Несмотря на свою известность и крайнюю занятость, он всегда полон добра и сочувствия ко всем людям, поразительно скромен и доступен в общении с людьми.
Настоящий профессионал, человек, который из 24 часов в сутки 20 проводил на работе, у операционного стола, оказался безоружен против зла, интриг и зависти. Говорят: каждый судит по себе, и он судил всегда по себе, поэтому пропустил момент, да и просто не мог поверить, что за его спиной готовится предательский удар, который в одно мгновение разрушит его жизнь, работу, семью. В страшном сне не приснится то, что произошло с этим уважаемым известным человеком наяву и уже 9 месяцев является его реальностью. И как многие добрые и порядочные люди он оказался практически беззащитен, столкнувшись один на один с бездушной судебной машиной, бюрократической системой.
Мы – люди, знающие его, верящие в его невиновность и считающие обвинения, выдвинутые против него абсурдными и кощунственными, хотим обратить внимание общественности и всех неравнодушных людей на ситуацию, сложившуюся вокруг этого «дела». Напомним, что 21 октября 2011 года в отношении Владимира Тапиа Фернандеса было возбуждено уголовное дело по статье „Насильственные действия сексуального характера, совершенные в отношении несовершеннолетнего“». Жена Владимира Тапиа Фернандеса обвинила своего супруга в сексуальном насилии над собственными детьми.
9 месяцев человек находится в заключении. За это время должны уже были пройти все следствия и экспертизы по данному делу и восторжествовать справедливость, но доктор Тапиа продолжает оставаться за решеткой. Этот сайт создан в его поддержку, которую мы все считаем делом своей совести оказать этому достойному человеку, попавшему в беду.

Владимир Тапия-Фернандес

Сайт биография