Posts Tagged ‘смс’

Kaspersky Internet Security

«Лаборатория Касперского» и «МегаФон» объявляют о начале совместной акции, в рамках которой клиенты «МегаФон», использующие устройства под управлением ОС Android версии 2.3 и выше, смогут бесплатно скачать специальную версию защитного приложения Kaspersky Internet Security для Android. Все новые брендированные устройства «МегаФона» будут еще до продажи бесплатно оснащены продуктом «Лаборатории Касперского».

Приложение, разработанное «Лабораторией Касперского» специально для абонентов «МегаФона», позволяет проверять устройство на наличие вредоносного кода в файлах, в загружаемых из Интернета приложениях, SMS-сообщениях, а также на картах памяти. При обнаружении вредоносных программ они помещаются в карантин и впоследствии удаляются. Пользователь может установить настройки в режиме «по умолчанию» и в любое время получать уведомления и отчеты по проверке устройства.

В приложении дополнительно предусмотрена функция «Антивор», которая поможет найти украденное или потерянное устройство, а также защитить информацию, находящуюся на нем. Пользователю предоставляется возможность удаленно заблокировать устройство и удалить все сохраненные в нем данные, а приложение определит местоположение девайса, даже если в нем заменили SIM карту.

Помимо бесплатной базовой версии клиентам «МегаФона» будет доступна и расширенная версия приложения c дополнительным функционалом. Она предоставляет возможность проверки в режиме реального времени, что обеспечивает максимальную безопасность устройства от вредоносных программ. Подозрительные сайты, а также ссылки на них, полученные в SMS-сообщениях, будут блокироваться автоматически для защиты от распространения вредоносного кода и кражи конфиденциальных данных. Активировать платную версию продукта можно из интерфейса приложения Kaspersky Internet Security для Android в любое время, а средства списываются с персонального счета абонента «МегаФона» — всего 99 рублей в год.

«Уже сейчас клиенты «МегаФона» имеют, на мой взгляд, лучшую защиту от спам-атак, вредоносных программ, вирусов и посягательств на персональные данные. Новое приложение от «Лаборатории Касперского» защитит ваши мобильные устройства и не потребует дополнительных вложений для тех, кто воспользуется бесплатной версией, — говорит Дмитрий Юмашев, директор по новым услугам «МегаФона». — При этом расширенная версия антивируса обойдется ощутимо дешевле, чем любое аналогичное приложение».

«В случае с мобильными устройствами пока еще не все пользователи осознают необходимость столь же тщательной защиты, как для домашних компьютеров. Чтобы не прийти к этому знанию неприятным путем утраты ценной информации или денежных средств, мы предлагаем клиентам «МегаФона» воспользоваться нашим бесплатным защитным решением или его более удобной и расширенной версией, обеспечивающей бескомпромиссную безопасность от всех видов мобильных угроз», — пояснил Сергей Пиккат-Ордынский, руководитель управления потребительского рынка «Лаборатории Касперского».

Активация и покупка платной версии осуществляется без ручного ввода ключа и дополнительных SMS-подтверждений. Обновление антивирусных баз и установка новых версий приложения на устройство происходит автоматически и не требует дополнительных действий. Скачать приложение можно уже сейчас по ссылке www.megafon.ru/ad/mobile_antivirus.

Как подписаться на новостные блоки и отписаться от них

Если вы хотите подписаться на другие новостные блоки «Лаборатории Касперского» пройдите, пожалуйста, по ссылке: http://www.kaspersky.ru/subscribe/.

Отменить подписку на данный новостной блок можно, посетив сайт компании по следующему адресу: http://www.kaspersky.ru/subscribe/news/unsubscribe?p=$hyCxRVNGRd6SEtmMjkG__QKiF9fDuLpIkeOT0_CI2ny$

Правила безопасности

Для предотвращения попыток рассылки фальшивых писем, маскирующихся под новости «Лаборатории Касперского», сообщаем, что оригинальные сообщения поставляются исключительно в формате html и никогда не содержат вложенных файлов. Если вы получили письмо, не удовлетворяющее этим условиям, пожалуйста, ни в коем случае не открывайте его и перешлите в антивирусную лабораторию компании (newvirus@kaspersky.com) на экспертизу.

В случае возникновения трудностей с получением новостей вы можете связаться с нами по адресу webmaster@kaspersky.com.

Для получения консультации по вопросам технической поддержки продуктов «Лаборатории Касперского» воспользуйтесь, пожалуйста, сервисом Личный кабинет. Перед отправкой запроса в службу техподдержки рекомендуем просмотреть наши ответы на часто задаваемые вопросы в Базе знаний: http://support.kaspersky.ru/.


Служба новостей «Лаборатории Касперского»

Новостной дайджест «Доктор Веб» — Trojan.Triosir.1 — очередной рекламный троянец

Posted: Февраль 11, 2014 in Антивирус, Доктор Веб, Новости, антивирусы, атака, компьютеры, поиск, пользователи, программы, софт, срочно, техника, угрозы
Метки: , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

Dr.Web

10 февраля 2014 года

Специалисты компании «Доктор Веб» обращают внимание пользователей на то, что в последнее время чрезвычайно широкое распространение получили вредоносные программы, предназначенные для демонстрации в окне браузера навязчивой рекламы и подмены содержимого веб-страниц. Опасность подобных троянцев заключается прежде всего в том, что они демонстрируют рекламные объявления на популярных сайтах, к которым пользователи относятся с высокой степенью доверия, а среди рекламируемых ресурсов нередко встречаются мошеннические сайты и веб-страницы, замеченные в распространении вредоносного ПО. Одной из таких угроз является троянец Trojan.Triosir.1, о появлении которого компания «Доктор Веб» предупреждает пользователей.

Trojan.Triosir.1 распространяется с использованием ресурсов партнерской программы Installmonster вместе с различными приложениями и использует для своей установки инсталлятор Amonetize (amonetize.com). Функционал Trojan.Triosir.1 в целом схож с возможностями троянца Trojan.Zadved.1, о котором компания «Доктор Веб» уже рассказывала в одной из своих публикаций. Основное назначение Trojan.Triosir.1 — подмена содержимого просматриваемых пользователем веб-страниц посредством технологии веб-инжектов, при этом демонстрируемая троянцем реклама включает ссылки на различные мошеннические ресурсы. Основные модули троянца реализованы в виде плагинов (надстроек) к популярным браузерам. В частности, Trojan.Triosir.1 распространяется вместе с приложением для создания снимков экрана Screeny, устанавливающим в процессе своей инсталляции одноименный плагин для браузеров Mozilla Firefox, Chrome и Opera, который остается в системе даже после удаления основного приложения.

screenshot

Установленные в инфицированной системе плагины выполняют закачку основного файла вредоносного сценария с удаленного сервера. Данный сценарий, предназначенный для подмены рекламных модулей и встраивания в веб-страницы посторонней рекламы, начинает работать не сразу, а «выжидает» некоторое время, чтобы усыпить бдительность пользователя. При этом в его структуре прописаны специальные алгоритмы внедрения рекламы в страницы некоторых наиболее популярных интернет-ресурсов, например, социальной сети «ВКонтакте», «Одноклассники» и др. Вредоносный скрипт обладает достаточно продвинутым функционалом: например, он умеет получать информацию о поле и дате рождения пользователя из его профиля в социальной сети.

screenshot

screenshot

Среди рекламируемых троянцем ресурсов преобладают мошеннические сайты, подписывающие пользователя на различные услуги путем отправки на указанный им номер мобильного телефона СМС-сообщения с кодом подтверждения.

screenshot

Помимо наиболее популярных и посещаемых сайтов, Trojan.Triosir.1 умеет подменять рекламу и на веб-страницах, не входящих в «привилегированный список». При этом троянец обладает специальной функцией распознавания «плохих» с точки зрения рекламодателей сайтов с использованием специального фильтра ключевых слов — на таких ресурсах реклама не подменяется. Кроме того, Trojan.Triosir.1 специально ищет на веб-страницах и заменяет своими модулями рекламу нескольких партнерских сетей, среди которых — lcads.ru, marketgid.com, visitweb.com, luxup.ru, pcads.ru, gredinatib.info, fulldl.net, adcash.com, tbn.ru, и некоторые другие. Также в коде троянца предусмотрен набор правил, позволяющих «прятать» некоторые элементы на сайтах my.mail.ru, fotostrana.ru, loveplanet.ru, kinopoisk.ru, mamba.ru, go.mail.ru, love.mail.ru, auto.ru, otvet.mail.ru, sprashivai.ru и avito.ru.

Имеются основания полагать, что к созданию и распространению троянца причастна новосибирская компания Trioris, работающая по следующей схеме монетизации: компания отыскивает какое-либо приложение, договаривается с его разработчиками и, добавив в состав программы дополнительные плагины, занимается ее распространением, либо заключает договор дистрибуции с третьей стороной — например, компанией Amonetize, распространяющей Trojan.Triosir.1 с использованием возможностей партнерской программы Installmonster.

Сигнатура Trojan.Triosir.1 добавлена в вирусные базы Dr.Web и потому эта вредоносная программа не представляет серьезной опасности для пользователей антивирусных продуктов производства компании «Доктор Веб».

Источник

Dr.Web

 

ГЛАВНЫЕ НОВОСТИ

31 января 2014 года
«QRутой Dr.Web»: ваш серийник не потеряется!
Компания «Доктор Веб» сообщает об усовершенствовании сервиса «QRутой Dr.Web»: теперь серийный номер оплаченной лицензии можно получить непосредственно со страницы сервиса, если СМС-сообщение с нужными данными по какой-то причине не дошло до покупателя или было им случайно удалено.
Комментировать новость

31 января 2014 года
Dr.Web в помощь правообладателям контента
Компания «Доктор Веб» обращает внимание пользователей на новые возможности Dr.Web Security Space 9.0 по ограничению доступа к сайтам в связи с обращениями правообладателей, обнаруживших нарушения своих интеллектуальных прав в сети Интернет. С внедрением этой функциональности в Dr.Web у правообладателей появляется возможность обратиться в нашу компанию с информацией о нарушении исключительных прав на использование контента в сети Интернет. После этого заявленные ресурсы могут быть включены в нашу базу сайтов, не рекомендуемых для посещения. Это позволит защитить интеллектуальные права и репутацию правообладателей, а также оградит пользователей Dr.Web от вредоносных программ, которыми зачастую заражены сомнительные сайты, и от невольного соучастия в нарушении чужих интеллектуальных прав.
Комментировать новость

29 января 2014 года
500 000 000 долларов в год: как уберечь свои деньги от банковских троянцев?
Компания «Доктор Веб» представляет вниманию пользователей новый раздел своего сайта, посвященный такой актуальной современной угрозе как банковские троянцы. К сожалению, до сих пор вредоносные программы, способные похитить информацию о банковских картах и причинить серьезный финансовый ущерб отдельным людям или целым организациям, остаются насущной проблемой.
Комментировать новость

28 января 2014 года
Дополнительные меры для борьбы с «пиратским» использованием лицензий Dr.Web
Компания «Доктор Веб» в рамках усиления борьбы с «пиратским» использованием Dr.Web вводит дополнительные меры защиты лицензий для своих пользователей. Во избежание нелегального использования Dr.Web третьими лицами законные пользователи теперь получают уведомления о сомнительных попытках регистрации серийных номеров при работе с сервисами «Доктор Веб».
Комментировать новость

27 января 2014 года
Обзор Android-угроз за 2013 год от компании «Доктор Веб»
Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — представляет обзор основных Android-угроз, обнаруженных в 2013 году. Минувший год не принес каких-либо фундаментальных изменений в сфере безопасности мобильной ОС от корпорации Google. Как и ожидалось, за прошедшие 12 месяцев значительно возросло число новых вредоносных, нежелательных и потенциально опасных программ для Android-устройств, при этом наиболее распространенной угрозой для пользователей традиционно стали троянцы, приносящие незаконный заработок своим создателям. Одновременно с этим существенно увеличилось количество вредоносных приложений, предназначенных для кражи конфиденциальной информации владельцев мобильных устройств.
Комментировать новость

22 января 2014 года
Обзор вирусной активности за 2013 год
Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — представляет обзор вирусной активности по итогам минувшего года. 2013 год можно назвать весьма непростым с точки зрения угроз информационной безопасности. Как и в 2012 году, одной из основных тенденций в сфере вирусной активности стало массовое распространение троянцев-шифровальщиков, от действия которых пострадали пользователи во многих странах мира. Заметно выросло число вредоносных программ, предназначенных для демонстрации на компьютерах жертв назойливой рекламы, также в четвертом квартале увеличилось количество троянцев, ориентированных на добычу электронных криптовалют, таких как Bitcoin и Litecoin. Значительно расширился и ассортимент вредоносных программ, угрожающих пользователям мобильной платформы Google Android.
Комментировать новость


НОВОСТИ О ВИРУСАХ

24 января 2014 года
Первый буткит для Android заразил 350 000 мобильных устройств
Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает пользователей ОС Android о появлении опасного троянца, который располагается во встроенной flash-памяти инфицированных мобильных устройств и функционирует как буткит, запускаясь на ранней стадии загрузки операционной системы. Это позволяет ему минимизировать возможность своего удаления без вмешательства в структуру файловой системы Android-устройств. В настоящее время данная вредоносная программа активна на более чем 350 000 мобильных устройств, принадлежащих пользователям из разных стран, таких как Испания, Италия, Германия, Россия, Бразилия, США, а также ряда государств Юго-восточной Азии.
Комментировать новость

23 января 2014 года
Пользователям iOS угрожают вредоносные ссылки
Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает пользователей устройств, работающих под управлением операционной системы Apple iOS, об участившихся случаях распространения ссылок на мошеннические сайты с использованием рекламы в мобильных приложениях. Клюнув на приманку злоумышленников, пользователи портативных устройств Apple могут оказаться подписаны на какую-либо информационную псевдоуслугу, потеряв таким образом деньги на своем мобильном счете.
Комментировать новость

21 января 2014 года
Рекламный троянец распространяется через Facebook и маскируется под Adobe Flash Player
Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — сообщает об активном распространении, в частности через социальную сеть Facebook, троянской программы Trojan.Zipvideom.1, устанавливающей на компьютер пользователя вредоносные расширения (плагины) к браузерам Mozilla Firefox и Google Chrome. Эти плагины препятствуют свободному просмотру веб-страниц, демонстрируя навязчивую рекламу.
Комментировать новость

Обнаружен вирус, имитирующий страницы «ВКонтакте» и «Одноклассников»

 Троянец Trojan.Zekos блокирует доступ к сайтам социальных сетей и подменяет их фальшивыми страницами, имитирующими настоящие.

Вместо страницы своего профиля «ВКонтакте» или в «Одноклассниках» пользователь видит поддельную веб-страницу, похожую по дизайну на оригинальную, с сообщением о том, что профиль заблокирован, и предложением ввести в соответствующее поле номер телефона и подтверждающий код, полученный в ответном СМС. На поддельной странице даже указано настоящее имя ее владельца. Вот примеры текстов таких сообщений, которые приводят специалисты антивирусной компании Doctor Web:

«Мы зафиксировали попытку взлома Вашей страницы. Не беспокойтесь, она в безопасности. Чтобы обезопасить Вашу страницу от злоумышленников и в будущем, мы просим Вас подтвердить привязку к телефону и придумать новый сложный пароль».

Обнаружен вирус, имитирующий страницы «ВКонтакте» и «Одноклассников»

«Ваша страница была заблокирована по подозрению на взлом! Наша система безопасности выявила массовую рассылку спам-сообщений с Вашего аккаунта, и мы были вынуждены временно заблокировать его. Для восстановления доступа к аккаунту Вам необходимо пройти валидацию через мобильный телефон».

Обнаружен вирус, имитирующий страницы «ВКонтакте» и «Одноклассников»

После выполнения инструкций компьютер пользователя заражают вирусом, который перехватывает DNS-запросы и вместо запрошенных пользователем сайтов показывает сайты, принадлежащие злоумышленникам. При этом адрес сайта остается правильным.

Источник

DRWEB

 

Середина осени 2013 года вновь была отмечена широким распространением троянцев-шифровальщиков: в октябре в службу технической поддержки компании «Доктор Веб» обратились сотни пострадавших от действий троянцев-энкодеров. Также в октябре были выявлены очередные вредоносные программы для мобильной платформы Google Android, которая давно уже находится под прицелом злоумышленников.

Вирусная обстановка

Согласно статистике, собранной в октябре с использованием бесплатной лечащей утилиты Dr.Web CureIt!, в списке выявленных угроз, как и прежде, лидирует Trojan.LoadMoney.1 — приложение-загрузчик, созданное организаторами партнерской программы Loadmoney. Также в лидерах списка — еще одна его модификация, Trojan.LoadMoney.76. Велико число заражений компьютеров вредоносной программой Trojan.Hosts.6815: это приложение модифицирует содержимое файла hosts с целью перенаправления браузера на мошеннические или фишинговые ресурсы. Кроме того, в числе лидеров по количеству обнаружений на компьютерах пользователей — троянец-загрузчик Trojan.InstallMonster.28 и рекламный троянец Trojan.Lyrics.11. Двадцатка наиболее актуальных угроз, обнаруженных при помощи лечащей утилиты Dr.Web CureIt! в октябре, представлена в следующей таблице:

Название Кол-во %
Trojan.LoadMoney.1 4794 3.84
Trojan.Packed.24524 3716 2.98
Trojan.LoadMoney.76 3237 2.60
Trojan.Hosts.6815 2192 1.76
Trojan.InstallMonster.28 2061 1.65
Trojan.Lyrics.11 1441 1.16
Trojan.InstallMonster.33 1226 0.98
Win32.HLLP.Neshta 1192 0.96
BackDoor.Andromeda.178 982 0.79
Trojan.Fraudster.524 961 0.77
BackDoor.IRC.NgrBot.42 947 0.76
Trojan.Winlock.8811 881 0.71
BackDoor.Maxplus.24 878 0.70
Trojan.Hosts.6838 862 0.69
Win32.Sector.22 829 0.66
VBS.Rmnet.2 777 0.62
Trojan.Fraudster.502 738 0.59
Win32.HLLW.Gavir.ini 710 0.57
Trojan.Crossrider.1 708 0.57
Trojan.DownLoader9.19157 683 0.55

Ботнеты

Динамика прироста ботнета, образованного зараженными файловым вирусом Win32.Rmnet.12 компьютерами, в октябре осталась практически неизменной: ежесуточно к первой бот-сети подключалось в среднем порядка 15 000 вновь инфицированных ПК, ко второй — 11 000, что в целом соответствует показателям за сентябрь. Изменение численности обеих подсетей Win32.Rmnet.12 в октябре 2013 года можно проследить на представленных ниже графиках:

Динамика регистрации новых ботов в ботнете Win32.Rmnet.12 в октябре 2013 года (1-я подсеть)
screenshot

Динамика регистрации новых ботов в ботнете Win32.Rmnet.12 в октябре 2013 года (2-я подсеть)
screenshot

Продолжает уменьшаться количество компьютеров, на которых антивирусное ПО фиксирует наличие вредоносного модуля Trojan.Rmnet.19, — если на начало октября таковых насчитывалось 4 640, то уже к концу месяца это число составило 3 851.

Практически неизменным остается размер ботнета BackDoor.Bulknet.739: по данным на 28 октября в этой сети числится 1 539 инфицированных компьютеров. В свою очередь, немного снизилась численность ботнета BackDoor.Dande, основным предназначением которого является кража конфиденциальной информации у представителей российских фармацевтических компаний. В конце сентября насчитывалось 1 232 рабочие станции, инфицированные этим троянцем, а в двадцатых числах октября это значение составило уже 1 105.

Постепенно снижается и количество Apple-совместимых компьютеров, инфицированных работающим под управлением Mac OS X троянцем BackDoor.Flashback.39. В конце сентября число заражений составляло 38 288, а спустя месяц количество инфицированных «маков» снизилось до 31 553.

Угрозы для Android

В минувшем месяце специалистами компании «Доктор Веб» было зафиксировано сразу нескольких новых вредоносных Android-приложений, созданных для кражи конфиденциальных данных владельцев мобильных устройств. Так, троянские программы Android.Spy.40.origin, Android.SmsSpy.49.origin и Android.SmsForward.14.origin предназначались для южнокорейских пользователей и распространялись при помощи нежелательных СМС-сообщений, содержащих ссылку на загрузку вредоносного apk-файла. Данный метод киберпреступники взяли на вооружение уже давно, и его популярность продолжает стабильно увеличиваться, что позволяет судить о его достаточно высокой эффективности.

screenshot screenshot

screenshot

Как и многие аналогичные вредоносные программы, эти троянцы способны перехватывать поступающие СМС-сообщения, в которых может содержаться различная ценная информация, включающая как одноразовые mTAN-пароли и иные финансовые реквизиты, так и личную или деловую переписку. Однако в данном случае наибольший интерес представляет троянец Android.Spy.40.origin, при создании которого была использована очередная ошибка ОС Android, позволяющая ему избежать обнаружения антивирусными программами. Для этого злоумышленникам было необходимо лишь определенным образом изменить структуру троянского apk-пакета, после чего он мог успешно обходить сканирование. Более подробная информация об этой угрозе содержится в соответствующей публикации на сайте нашей компании.

Другим заметным событием октября стало обнаружение многофункционального троянца Android.Zoo.1.origin, который распространялся на одном из китайских сайтов в популярной игре, модифицированной киберпреступниками. Попав на мобильное устройство, Android.Zoo.1.origin собирал сведения об имеющихся в телефонной книге контактах и загружал их на удаленный сервер, мог скачивать и устанавливать другие вредоносные приложения, был способен отправлять сообщения на платные премиум-номера, открывать в браузере определенные веб-страницы, а также выполнять ряд других действий.

screenshot screenshot

Не обошлось и без новых модификаций троянцев Android.SmsSend и Android.SmsBot, способных отправлять СМС-сообщения на премиум-номера. В прошедшем месяце вирусная база Dr.Web пополнилась записями для нескольких представителей этих семейств вредоносных программ. Среди них – Android.SmsSend.853.origin, Android.SmsSend.888.origin и Android.SmsBot.7.origin, которые распространялись под видом популярных приложений, а также их инсталляторов.

Прочие события октября

Call-центр мошенников «блокирует» карты Сбербанка

Мошенники нашли очередную схему обмана владельцев карт Сбербанка, связанную с рассылкой фальшивых СМС-уведомлений.

При открытии карты клиентов предупреждают, что СМС-сообщения от Сбербанка приходят только с короткого номера 900 (для некоторых регионов используются номера 9000, 9001, 8632, 6470, SBERBANK). Злоумышленники используют похожие номера, обозначенные буквами и цифрами, например «9oo» (здесь вместо цифр использованы буквы) или «СБ900», для рассылки мошеннических СМС-сообщений о блокировке карты якобы из-за подозрительной транзакции. Для получения инструкций о дальнейших действиях жертве предлагают позвонить по номеру +7(499)504-88-24. Мошенник, представляясь оператором call-центра, сообщает, что клиенту необходимо как можно скорее дойти до ближайшего банкомата и перевести денежные средства со счета карты на новый счет.

Пользователя в подобных случаях может насторожить следующее: ему не могут внятно объяснить причину блокировки карты, просят назвать конфиденциальные данные карты, предлагают подойти к ближайшему банкомату для выполнения сомнительной операции и т. п.

Выявлено около 50 попыток разослать такие фальшивки клиентам Сбербанка. Номера, с которых приходили сообщения, заблокированы и внесены в «черный список» отправителей СМС, который ведут крупные СМС-агрегаторы, поэтому мошенники не смогут повторно подключиться к оператору сотовой связи, сменив компанию-провайдера услуг.

Gameover продолжается: Upatre распространяет шифровальщика CryptoLocker вместе с банковским троянцем Gameover ZeuS

Получила развитие ситуация, связанная с сообщением компании Dell SecureWorks от 10 октября этого года о распространении банковского троянца Gameover ZeuS при помощи троянца-загрузчика. Специалисты по информационной безопасности выяснили, что с этим же загрузчиком распространятся программа-шифровальщик CryptoLocker, вымогающая у владельцев зараженных компьютеров плату за расшифровку файлов.

Троянец из семейства Trojan.DownLoad — это файл небольшого размера, реализующий простую функцию загрузки других вредоносных программ на компьютер жертвы. Он маскируется под zip- или pdf-файл, и распространяется как вложение в спам-сообщения. Стоит пользователю открыть такое вложение, и на компьютер загружается вредоносное ПО, в первую очередь – банковские троянцы семейства Zbot/ZeuS, а теперь и CryptoLocker. Данный шифровальщик не только блокирует доступ к системе, но и вынуждает пользователя оплачивать расшифровку файлов.

Зарубежные эксперты исследовали образец такого спам-сообщения. Вредоносное вложение содержит загрузчик Trojan.DownLoad, скачивающий программу Trojan.PWS.Panda. Именно она фактически загружает CryptoLocker.

Таким образом, пользователь, компьютер которого заражен указанными вредоносными программами, рискует потерять не только учетные данные для онлайн-банкинга и деньги вследствие несанкционированных банковских операций, но и другие свои файлы, зашифрованные CryptoLocker. Самостоятельная расшифровка данных из-за сложности применяемого метода шифрования невозможна.

Троянец CryptoLocker детектируется антивирусом Dr.Web как Trojan.Encoder.304 (образец добавлен в вирусную базу 25 октября 2013 года).

Пользователи, установившие антивирус Dr.Web, защищены от данных угроз. Однако из-за большой комплексной опасности, которую представляют эти вредоносные программы, рекомендуется соблюдать дополнительные меры предосторожности: не открывать вложения в письмах, поступивших из недостоверных источников; избегать переходов по непроверенным ссылкам; регулярно делать резервные копии файлов; пользоваться лицензионным ПО и своевременно обновлять его.

Подробности октябрьских DDOS-атак на сайты российских банков

Представитель службы безопасности Центробанка России Артем Сычев сообщил о подробностях DDOS-атак, организованных в начале октября 2013 года на сайты ЦБ, Сбербанка, ВТБ, Альфа-банка, Газпромбанка и Россельхозбанка.

Бот-сеть из 400 компьютеров, находящихся в Европе, начинала каждую атаку в первой половине дня. В ряде случаев акция продолжалась в течение суток. Банки были атакованы последовательно: первым под удар попал сайт Сбербанка, последним — сайт ВТБ. Целью кибератак был скрипт, обрабатывающий публикацию курсов валют на сайте финансового учреждения. Угроз банковским сервисам в ходе атак выявлено не было, персональные данные и счета клиентов риску не подвергались. По словам Сычева, работа сайта Центробанка прерывалась всего на 7 минут.

О своей причастности к указанным кибератакам заявила группа «Кавказские анонимусы». В этой связи Сычев сообщил о «монетизации преступных действий в киберпространстве, приводящей к тому, что атаки становятся коммерчески выгодными. Распространена ситуация, когда заказчиками являются граждане России, а исполнителями — люди, находящиеся в Европе или Азии. Атакующие машины могут иметь зарубежные IP-адреса».

Dexter: новая тенденция угроз для владельцев банковских карт

Новый вариант вредоносной программы Dexter нанес многомиллионный ущерб большинству южноафриканских банков. Скомпрометированы сотни тысяч кредитных и дебетовых карт. Dexter заражает компьютеры с подключенными к ним торговыми терминалами (point-of-sale, POS-терминалами) для платежей в торговых сетях и ресторанах, похищает данные с пластиковых карт, загруженные в оперативную память компьютера, шифрует их и отправляет на сервер злоумышленников.

По данным зарубежных исследователей, Dexter был выявлен еще в 2012 году. Модификации обнаруженного троянца известны также под названиями Alina, BlackPOS, Vskimmer. За несколько месяцев были заражены сотни компьютеров торговых терминалов в 40 странах. Большинство зараженных систем находилось в Северной Америке и Великобритании.

Образцы указанного вредоносного ПО детектируются антивирусом Dr.Web как Trojan.Packed.23683, Trojan.Packed.23684 и Trojan.Packed.23685. Они добавлены в вирусную базу 27 сентября 2012 года.

Рассылка банковских троянцев семейства P2P Zeus: адрес известен

На многочисленных зарубежных сайтах, где отслеживаются образцы спамерских и фишинговых писем, сообщается о распространении в начале октября со спамом новых вариантов вредоносного ПО (предположительно банковского троянца P2P Zeus). По данным одного из крупных австралийских сайтов, зафиксировано более 135 000 почтовых ящиков, на которые поступил указанный спам.

Мошенники рассылают письма с поддельных адресов, используя возможности протокола SMTP. Предполагается, что их реальный адрес — fraud@aexp.com, зарегистрированный на сервере с IP-адресом 190.213.190.211, относящемся к региону Тринидад и Тобаго. В теме писем (присланных якобы из государственных учреждений, банков и т. п.) злоумышленники указывают названия документов финансовой отчетности, предупреждений служб безопасности и т. п., мотивируя потенциальную жертву открыть вложение, чтобы избежать возможных материальных потерь.

Вложение к письму (маскирующееся под *.zip- или *.pdf-файл) является исполняемым файлом. При открытии вложения загружаются различные варианты троянцев: Trojan.DownLoad3.28161, Trojan.DownLoader10.16610, Trojan.Inject1.27909 (все названия даны в соответствии с вирусной базой Dr.Web).

Есть предположение, что при помощи указанного вредоносного ПО на компьютер жертвы загружается банковский троянец P2P Zeus.

Образцы троянцев Trojan.DownLoad3.28161, Trojan.DownLoader10.16610, Trojan.Inject1.27909, распространявшиеся в указанной рассылке, добавлены в вирусную базу Dr.Web 9 и 10 октября 2013 года.

Вредоносная программа P2P Zeus детектируется Dr.Web как Trojan.PWS.Panda.4379. Этот банковский троянец опасен тем, что относится к числу наиболее распространенных. Он передает злоумышленникам данные для доступа к банковским сервисам, похищает ключи и пароли от различных программ, отслеживает нажатия клавиш, делает снимки экрана, объединяет зараженные устройства в бот-сети, выполняет поступающие с сервера злоумышленников команды, перенаправляет жертву на поддельные (фишинговые) сайты для кражи конфиденциальной информации. По мнению специалистов компании «Доктор Веб», указанная спам-кампания нацелена на клиентов различных банков. Чтобы избежать опасности, пользователям рекомендуется не открывать вложения в письмах, поступивших из подозрительных источников; не переходить по подозрительным ссылкам; защищать устройство при помощи антивирусных программ и своевременно обновлять ПО.

Вредоносные файлы, обнаруженные в почтовом трафике в октябре

 01.10.2013 00:00 — 31.10.2013 23:00
1 Trojan.DownLoad3.28161 1.02%
2 Trojan.Packed.24872 0.77%
3 Trojan.DownLoader9.22851 0.70%
4 Trojan.Packed.3036 0.68%
5 BackDoor.Maxplus.13275 0.60%
6 Trojan.PWS.StealerENT.3243 0.56%
7 Trojan.Click2.22983 0.51%
8 Trojan.PWS.Panda.547 0.49%
9 Trojan.PWS.Panda.2401 0.48%
10 Trojan.PWS.Multi.911 0.44%
11 Trojan.PWS.Panda.4795 0.41%
12 BackDoor.Comet.152 0.39%
13 Trojan.DownLoader10.34549 0.39%
14 Win32.HLLM.MyDoom.33808 0.37%
15 Trojan.Fraudster.517 0.34%
16 Trojan.Packed.24612 0.32%
17 BackDoor.Maxplus.13119 0.32%
18 BackDoor.Blackshades.17 0.31%
19 Trojan.PWS.Panda.4379 0.31%
20 Win32.HLLM.Beagle 0.29%

Вредоносные файлы, обнаруженные в октябре на компьютерах пользователей

 01.10.2013 00:00 — 31.10.2013 23:00
1 Exploit.SWF.254 0.98%
2 Trojan.Fraudster.524 0.57%
3 Trojan.LoadMoney.76 0.54%
4 Trojan.Packed.24524 0.53%
5 BackDoor.PHP.Shell.6 0.48%
6 Trojan.LoadMoney.1 0.47%
7 Trojan.Fraudster.502 0.37%
8 BackDoor.IRC.NgrBot.42 0.33%
9 Trojan.Fraudster.394 0.31%
10 Trojan.InstallMonster.33 0.30%
11 Win32.HLLW.Shadow 0.28%
12 Trojan.SMSSend.4196 0.27%
13 Win32.HLLW.Autoruner.59834 0.27%
14 Trojan.MulDrop5.1740 0.27%
15 Trojan.Winlock.9260 0.26%
16 Trojan.MulDrop4.25343 0.26%
17 Trojan.InstallMonster.34 0.25%
18 Trojan.InstallMonster.28 0.24%
19 JS.Redirector.194 0.24%
20 Trojan.LoadMoney.188 0.23%

За сентябрь 2013 года Dr.Web для Android зафиксировал более 11 миллионов случаев срабатывания антивирусного монитора при выявлении вредоносного или сомнительного ПО и более 4 миллионов случаев обнаружения вредоносных программ при сканировании мобильных устройств по требованию пользователей.

Анализ собранной с использованием Антивируса Dr.Web для Android статистики показал: в сентябре 2013 года пользователи запускали сканирование около 17 000 000 раз, при этом наличие вредоносного или сомнительного ПО было зафиксировано более 4 000 000 раз. А поскольку в случае выявления на мобильном устройстве сразу нескольких угроз они отображаются в программном продукте списком в одном окне, реальное количество обнаруженных вредоносных программ несколько выше указанной цифры.

Если сканер запускается по требованию пользователя, то монитор работает постоянно, защищая устройство в непрерывном режиме. В отличие от сканера, в период с 1 по 30 сентября 2013 года резидентный монитор Антивируса Dr.Web для Android при обнаружении вредоносных или нежелательных программ, а также при попытках скопировать или установить их на защищаемое устройство сработал около 11 500 000 раз. При этом ежесуточно фиксировалось порядка 450 000 случаев срабатывания монитора. Пик выявления угроз для мобильной платформы Android пришелся на 21 сентября 2013 года — в этот день произошло 489 357 срабатываний антивирусного монитора. Активность резидентного монитора Антивируса Dr.Web для Android по количеству срабатываний в сентябре 2013 года представлена на диаграмме ниже.

screenshot

Весьма примечательно географическое распределение пользователей, на устройствах которых фиксировалось срабатывание монитора Антивируса Dr.Web для Android. Подавляющее их большинство (более 3 500 000 случаев) проживает на территории России, на втором месте с показателем 1 800 000 неожиданно оказалась Саудовская Аравия, третью позицию со значением 1 700 000 занимает Ирак. Украина с показателем 670 000 срабатываний — лишь на четвертом месте. Географическое распределение выявленных случаев заражения работающих под управлением платформы Google Android мобильных устройств в сентябре 2013 года показано на следующей иллюстрации.

Географическое распределение случаев заражения, выявленных резидентным монитором Dr.Web для Android
screenshot

Статистика распределения пользователей по странам и регионам, связанная с обнаружением угроз при помощи антивирусного сканера Dr.Web для Android, показывает в целом схожую картину, с незначительными отличиями: зафиксировано 145 564 случаев обнаружения вредоносного ПО у пакистанских пользователей, 113 281 — у пользователей из Малайзии и 103 192 у жителей Вьетнама. Интересный факт: несмотря на то, что жители Японии составляют весьма существенную долю от общего количества пользователей Dr.Web для Android (9,45%), случаи обнаружения вредоносных программ на их устройствах достаточно редки: всего за истекший месяц было выявлено лишь 54 767 срабатываний антивирусного монитора и 4 324 случая обнаружения вредоносного ПО антивирусным сканером. По общему числу заражений Япония находится на 54-м месте среди других стран: косвенно это может свидетельствовать о высокой степени осведомленности японских пользователей в отношении ситуации в сфере информационной безопасности, а также о высокой культуре использования ими приложений для мобильной ОС Android.

Наиболее распространенной угрозой для операционной системы Android, как и прежде, остаются троянцы семейства Android.SmsSend. На втором месте по количеству известных модификаций находятся троянцы семейства Android.SmsSpy, на третьем — программы-шпионы семейства Android.Spy. Кроме того, весьма распространены троянские программы Android.DownLoader, Android.Backdoor, Android.Gingersploit, Android.Basebridge и Android.Fakealert, а также всевозможные рекламные инструменты, например, not a virus Tool.SMSSend, not a virus Tool.Rooter и not a virus Adware.Airpush. Приведенная выше статистика показывает: вредоносные программы представляют серьезную опасность для пользователей платформы Google Android, поэтому владельцам мобильных устройств стоит всерьез задуматься о выборе надежных средств для их защиты. Специалисты компании «Доктор Веб» продолжают следить за развитием ситуации.

Источник

Россия на 65% состоит из реалистов: большинство использует защитное ПО для смартфонов в отличие от остального мира

Российские пользователи стали одними из самых ответственных в мире и в
большинстве своем установили специализированное защитное ПО на свои
мобильные устройства. Так поступили 65% владельцев смартфонов и 55%
владельцев планшетов на базе Android. И это значительно больше, чем в
целом по миру. Таков один из итогов опроса
(http://media.kaspersky.com/ru/documents/B2C_Summary_2013_rus.pdf),
проведенного компанией B2B International совместно с «Лабораторией
Касперского» летом 2013 года*.

Глобальная статистика показывает, что более трети пользователей
смартфонов и планшетов на платформе Android вообще не используют решения
для защиты от киберугроз. Лишь 40% и 42% владельцев смартфонов и
планшетов, принявших участие в опросе, сообщили, что установили и
используют какое-либо защитное решение на своих устройствах. Остальные
респонденты предпочитают использовать свои гаджеты, полагаясь лишь на
немногие встроенные функции защиты и собственную осмотрительность, или
скачивать ПО из сторонних источников, что также может представлять
опасность для мобильного устройства.

Что касается России, то значительный процент пользователей Android в
нашей стране все так же остается без защиты — это 22% и 26%
владельцев смартфонов и планшетов соответственно. Еще по 14% и 19%
пользователей этих гаджетов надеются, что такое ПО было предустановлено
заранее без их участия. Особенно тревожно это выглядит на фоне того
ландшафта киберугроз, с которыми приходилось сталкиваться российским
владельцам электронных устройств.

Android уже давно является самой популярной платформой не только среди
обычных пользователей, но и среди преступников, стремящихся получить
нелегальный заработок с помощью вредоносного ПО. По данным облачного
сервиса Kaspersky Security Network
(http://www.kaspersky.ru/downloads/pdf/kaspersky_security_network.pdf),
97% всех существующих образцов вредоносного ПО для мобильных
устройств созданы под платформу Android. И их количество интенсивно
растет: за 2012 год специалисты «Лаборатории Касперского»
обнаружили 35 тысяч образов вредоносных программ под эту платформу, а за
первые полгода 2013 года — уже более 47 тысяч.

«Интерес киберпреступников к платформе Android, в первую очередь,
обусловлен ее популярностью среди пользователей. Во вторую — ее
функциональностью. Вредоносная программа может заставить смартфон
отправлять SMS на платные номера, опустошая мобильный счет абонента;
превратить его в шпионское устройство, передающее злоумышленникам
сведения о владельце смартфона или планшета, о его разговорах,
переписке, паролях от аккаунтов в социальных сетях, платежных системах и
т.д. Другими словами, все коммуникационные, развлекательные и
вычислительные возможности устройств на ОС Android, сделавшие их столь
востребованными среди пользователей, служат и злоумышленникам, —
комментирует Сергей Голованов, ведущий антивирусный эксперт
«Лаборатории Касперского». — Между тем, даже в
условиях невероятно активного роста числа угроз, Android остается
удобной и полезной для решения многих задач платформой. Просто
устройства на этой ОС необходимо защищать качественным решением класса
Internet Security».

Для защиты пользователей устройств на платформе Android
«Лаборатория Касперского» разработала решение Kaspersky
Internet Security для Android (http://www.kaspersky.ru/android-security)
— продвинутый продукт для обеспечения безопасного использования
смартфонов и планшетов. Высококлассные технологии детектирования
киберугроз на основе обширных антивирусных баз получают обновления
спустя считанные минуты после появления данных о новых образцах
вредоносного ПО и опасных ссылках в облачном сервисе Kaspersky Security
Network. Кроме того, продукт «Лаборатории Касперского»
содержит набор интеллектуальных механизмов для проактивного обнаружения
угроз, в том числе неизвестных, на основе анализа поведения той или иной
программы.

Kaspersky Internet Security для Android доступен на сайте
(http://www.kaspersky.ru/android-security) «Лаборатории
Касперского» и в составе универсального решения с единым кодом
активации Kaspersky Internet Security для всех устройств
(http://www.kaspersky.ru/multi-device-security), которое обеспечивает
безопасность не только ПК на базе ОС Windows, но и смартфонов и
планшетов Android, а также компьютеров Mac. *Исследование проведено
аналитическим агентством B2B International специально для
«Лаборатории Касперского» летом 2013 года. В ходе
исследования было опрошено 8605 респондентов в возрасте 16+, проживающих
в странах Латинской и Северной Америки, Ближнего Востока, Азии, Африки,
Европы и России в частности.

Специалисты компании «Доктор Веб» — российского производителя антивирусных средств защиты информации — обнаружили самую крупную в мире бот-сеть из инфицированных мобильных устройств на базе ОС Android. На сегодняшний день известно о более чем 200 000 смартфонах, которые были заражены вредоносными программами семейства Android.SmsSend и входят в ее состав. Основной источник заражения в этом случае – принадлежащие злоумышленникам или взломанные интернет-ресурсы. Наибольшее число инфицированных устройств принадлежит российским пользователям, на втором месте по данному показателю располагается Украина, далее следуют Казахстан и Белорусь. По предварительным оценкам ущерб, нанесенный пользователям злоумышленниками в результате данного инцидента, может исчисляться многими сотнями тысяч долларов.

Для заражения мобильных устройств и включения их в состав бот-сети злоумышленники использовали несколько вредоносных приложений: среди них новый троянец Android.SmsSend.754.origin, а также вредоносные программы Android.SmsSend.412.origin (известна с марта 2013 года, распространяется под видом мобильного браузера), Android.SmsSend.468.origin (известна с апреля 2013 года) и маскирующийся под мобильный клиент для социальной сети «Одноклассники» троянец Android.SmsSend.585.origin, известный антивирусному ПО Dr.Web с июня 2013 года. Наиболее ранняя версия троянца, замеченного в ходе расследования данного инцидента — Android.SmsSend.233.origin — была добавлена в базы Dr.Web еще в ноябре 2012 года. В большинстве случаев источниками заражения являются принадлежащие злоумышленникам, а также взломанные сайты, распространяющие вредоносные программы.

Троянец Android.SmsSend.754.origin представляет собой apk-приложение с именем Flow_Player.apk. Устанавливаясь в операционной системе, он просит пользователя запустить данную программу с привилегиями администратора устройства — это позволит вредоносному приложению осуществлять управление блокировкой дисплея. Кроме того, Android.SmsSend.754.origin в дальнейшем скрывает свой значок с главного экрана мобильного устройства.

Троянец Android.SmsSend.754 Троянец Android.SmsSend.754 Троянец Android.SmsSend.754После завершения процедуры установки троянец отправляет злоумышленникам информацию об инфицированном устройстве, включая уникальный идентификатор IMEI, сведения о балансе, код страны, номер телефона жертвы, код оператора, модель мобильного телефона и версию ОС. Затем Android.SmsSend.754.origin ожидает поступления от злоумышленников соответствующей команды, по которой он может отправить СМС-сообщение с определённым текстом на заданный номер, выполнить СМС-рассылку по списку контактов, открыть заданный URL в браузере или продемонстрировать на экране мобильного устройства сообщение с определённым заголовком и текстом.

По сведениям, собранным специалистами компании «Доктор Веб», в бот-сеть на сегодняшний день входит более 200 000 мобильных устройств, работающих под управлением Google Android, при этом наибольшая их часть (128 458) принадлежит российским пользователям, на втором месте располагается Украина с показателем 39 020 случаев заражения, на третьем — Казахстан: здесь от действий злоумышленников пострадали 21 555 пользователей. Более подробная картина распространения угроз показана на следующей иллюстрации.

Троянец Android.SmsSend.754Распределение инфицированных мобильных устройств по операторам мобильной связи, к которым они подключены, продемонстрировано на представленной ниже диаграмме.

Троянец Android.SmsSend.754Это — один из наиболее массовых случаев заражения Android-совместимых мобильных устройств, зафиксированных в текущем полугодии. По предварительным оценкам специалистов «Доктор Веб» ущерб, нанесенный пользователям злоумышленниками в результате данного инцидента, может исчисляться многими сотнями тысяч долларов.

В настоящий момент все описанные выше угрозы детектируются и удаляются антивирусным ПО Dr.Web. Пользователям мобильных Android-устройств во избежание заражения рекомендуется не загружать и не устанавливать ПО с подозрительных веб-сайтов. Специалисты компании «Доктор Веб» следят за дальнейшим развитием ситуации.

Источник

Зловред зловреда везет: мобильные троянцы теперь распространяются и через сторонние мобильные ботнеты

Эксперты «Лаборатории Касперского» впервые зафиксировали
новый способ распространения мобильных троянцев — через мобильные
ботнеты, созданные на основе другой вредоносной программы. По крайней
мере, именно этот метод, среди прочих традиционных, избрали
злоумышленники, стоящие за самым сложным мобильным троянцем Obad с
широкими вредоносными функциями и хорошо зашифрованным кодом.

Использование сторонних мобильных ботнетов для распространения зловреда
резко увеличивает возможную «область поражения», чего трудно
добиться привычными способами типа традиционных спам-рассылок или
перенаправления на взломанные сайты. Чаще всего жертвами этого опасного
троянца становятся пользователи устройств на платформе Android в России
(более 83% случаев), Узбекистане, Казахстане, Белоруссии и на Украине.

Сам троянец Obad был обнаружен специалистами «Лаборатории
Касперского» в мае этого года. После внимательного изучения
эксперты не только полностью расшифровали код вредоносной программы, но
и проанализировали избранные злоумышленниками способы ее распространения
в мобильной среде Android. В частности, они выяснили, что создатели Obad
стали первыми, кто использовал для распространения своего троянца
возможности ботнетов, созданных на основе других мобильных зловредов.

Obad распространяется с мобильных ботнетов на базе другого
«популярного» в России и других странах СНГ троянца Opfake.
После активации на зараженном мобильном устройстве Opfake может по
команде, поступающей от сервера, начать рассылку SMS с вредоносной
ссылкой по всем контактам жертвы. Если пользователь перейдет по
предлагаемой ссылке, то на его устройство автоматически загрузится
вредоносная программа. Как правило, таким образом Opfake распространяет
ссылки на самого себя. Однако экспертами «Лаборатории
Касперского» были зафиксированы и массовые рассылки сообщений со
ссылками на Obad. Мощности ботнета на базе Opfake позволяют быстро и
резко увеличивать объемы подобных SMS-рассылок и, как следствие, число
инфицированных троянцем Obad мобильных устройств.

«Мы впервые сталкиваемся с тем, что для распространения мобильных
троянцев используются сторонние мобильные ботнеты. Это факт говорит о
том, что киберпреступники продолжают адаптировать отработанные приемы
заражения ПК для других набирающих популярность платформ, —
рассказывает Роман Унучек, ведущий антивирусный эксперт
«Лаборатории Касперского». — Всего за три месяца
исследований мы обнаружили 12 версий троянца Obad. Все они обладают
схожим функционалом, характеризуются высокой степенью зашифрованности
кода и используют уязвимость в ОС Android, которая позволяет зловреду
скрывать свое присутствие, что крайне усложняет его удаление. Однако
новый продукт Kaspersky Internet Security для Android
«хитрее» этого троянца и легко удаляет Obad из любой версии
Android».

Подробнее об использовании возможностей мобильных ботнетов для
распространения самого сложного мобильного троянца Obad, а также о
других способах попадания этого зловреда на смартфоны и планшеты на базе
Android читайте в аналитической статье Романа Унучека на сайте
www.securelist.com/ru/blog/207768923/Rasprostranenie_troyantsa_Obad_a_teper_i_mobilnye_botnety

22 августа 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — подготовила обзор опасных шпионских приложений, предназначенных для работы в среде операционной системы iOS, которая, как принято считать, остается самой защищенной из мобильных платформ. Как и их аналоги, работающие на других ОС, такие программы позволяют злоумышленникам получать широкий спектр персональной информации пользователей: их СМС-сообщения, историю звонков, GPS-координаты, записи из телефонной книги, фотографии и т. п. Несмотря на то, что подобные продукты способны функционировать лишь на устройствах, имеющих т.н. jailbreak, исходящая от них угроза раскрытия строго конфиденциальных сведений весьма высока.

Владельцы мобильных устройств под управлением операционной системы iOS привыкли к тому, что они надежно защищены от вредоносных программ и атак киберпреступников, однако факт такой защищенности во многом справедлив лишь для тех пользователей, которые не вносили каких-либо модификаций в операционную систему. Если же на их мобильном устройстве выполнен jailbreak (разблокирован доступ к файловой системе), то им может угрожать вполне серьезная опасность раскрытия конфиденциальной информации, которая исходит от коммерческого шпионского ПО, и о такой угрозе большинство из них даже не подозревает.

Для того чтобы установить подобное приложение-монитор, злоумышленнику потребуется совсем немного времени. Все, что ему необходимо, — это получить физический доступ к мобильному iOS-устройству, загрузить программу из Интернета при помощи каталога Cydia (который практически всегда автоматически устанавливается при выполнении процедуры jailbreak) и настроить шпиона. Эти приложения работают незаметно для пользователя, скрытно отправляя все собранные данные на удаленный сервер, откуда при помощи зарегистрированной учетной записи заинтересованный в слежке человек может получить необходимую ему информацию. На представленных ниже изображениях показана процедура установки одного из таких шпионов.

screenshot screenshot screenshot screenshot screenshot screenshot
screenshot

Как видно на последнем изображении, успешно установленная программа отображается в списке каталога Cydia, однако она носит нейтральное название MessagingService, призванное сбить с толку неопытных владельцев взломанных iOS-устройств. Не исключено, что и более опытные пользователи не обратят внимания на приложение, похожее на один из системных компонентов, либо они просто не придадут его наличию особого значения. Практически все производители шпионских программ стараются минимизировать возможность легкого обнаружения их продукции, поэтому для наибольшей конспирации приложения-монитора ими часто используются названия, созвучные с приведенным выше. Например, возможны такие варианты как Radio, MobileService, Core Utilities и т. п.

screenshot

Важно также отметить, что в большинстве случаев коммерческое шпионское ПО для iOS не создает отдельный ярлык на рабочем столе, либо позволяет спрятать его через соответствующие настройки. В частности, им может быть активирован весь функционал, либо только необходимые функции. Более того, существуют способы скрыть значок и самого каталога Cydia, поэтому при хорошо спланированной атаке злоумышленники могут незаметно установить мобильного шпиона на заведомо защищенное iOS-устройство, выполнив на нем jailbreak.

После установки шпиона злоумышленнику необходимо выполнить его настройку. В частности, им может быть активирован весь функционал, либо только необходимые функции. Также на данном этапе часто имеется возможность задать периодичность, с которой приложение будет связываться с удаленным сервером для загрузки на него всей собранной информации.

screenshot
screenshot

После всех этих процедур готовая к работе шпионская программа начинает свою скрытую деятельность, фиксируя всю важную активность пользователя-жертвы и загружая собранные данные на сервер. Ниже показан пример управляющей веб-панели, содержащей сведения, которые могут быть получены в результате такой слежки.

screenshot screenshot screenshot screenshot
screenshot

В зависимости от разработчика и версий программ-мониторов, работающих в среде операционной системы iOS, их функционал может варьироваться. На диаграмме ниже наглядно продемонстрированы функции, наиболее часто встречающиеся в подобных программах.

screenshot

Из этой диаграммы становится видно, что в подавляющем большинстве случаев шпионское ПО позволяет вести наблюдение за всеми важными аспектами частной жизни пользователей iOS-устройств: от чтения их СМС и email-сообщений, до получения сведений об их контактах, планах, встречах и окружающей обстановке.

На данный момент вирусная база Dr.Web содержит более 50 записей для шпионских iOS-приложений, которые принадлежат к 15 различным семействам. Следующая диаграмма содержит сведения об их процентном распределении.

screenshot

Учитывая, что число iOS-устройств, подвергавшихся процедуре jailbreak, на данный момент может превышать 20 миллионов, а также то, что существует весьма высокая вероятность выполнения целенаправленного взлома остальных устройств, угроза кражи персональной информации шпионскими приложениями становится вполне ощутимой для многих пользователей мобильной продукции производства компании Apple. Для того чтобы обезопасить себя от потенциальной опасности раскрытия конфиденциальных сведений, рекомендуется соблюдать ряд простых, но важных правил:

  • не оставляйте надолго свое мобильное устройство в местах массового скопления незнакомых людей, даже если рядом с ним будут те, кому вы доверяете – подготовленный злоумышленник легко может обойти данное препятствие и без особого труда установить шпиона;
  • обращайте внимание на подозрительную активность мобильного устройства, например, на появление странных сообщений или изменений в графическом интерфейсе, причина которых вам неизвестна;
  • создайте заведомо «чистую» резервную копию содержимого вашего мобильного устройства: при необходимости вы сможете восстановить все важные данные, а также вернуть изначальное состояние операционной системы (в большинстве случаев jailbreak исправляется при помощи обновления или восстановления ОС).

Спам в июле: зловред для Android теперь и в почте

По итогам июля доля спама в почтовом трафике по-прежнему превышает 70%:
по сравнению с первым летним месяцем этот показатель увеличился
незначительно — всего на 0,1% — и достиг в итоге отметки в
71,2%. Количество вредоносных вложений в электронных сообщениях при этом
выросло чуть сильнее — в июле эксперты «Лаборатории
Касперского» обнаружили их в 2,2% писем. Среди распространяемых в
почте вредоносных программ преобладали троянцы-шпионы, ворующие, в том
числе финансовую информацию пользователей. Кроме того, в рейтинге
зловредов в почте впервые на высокое место поднялась вредоносная
программа под платформу Android.

Чуть более 23% от всех вредоносных программ, рассылаемых во вложениях к
электронным письмам, пришлось на разные модификации печально известной
шпионской программы семейства Zbot/Zeus. Целью этого троянца является
кража персональных данных с компьютеров пользователей, включая данные
банковских карт. Чаще всего злоумышленники подделывают письма с троянцем
Zbot под официальные уведомления от банков, магазинов, социальных сетей
или популярных служб доставки. В июле особенной популярностью у
мошенников пользовались подделки под сообщения от американского банка
Bank of America.

Впервые за все время наблюдения за ситуацией в почте аналитики
«Лаборатории Касперского» зафиксировали значительный рост
«популярности» вредоносной программы для мобильной платформы
Android. В июле зловред SMS-Flooder.AndroidOS.Didat.a., обладающий
функцией массовой SMS-рассылки, поднялся на 15-ую строчку в рейтинге
вредоносных программ, распространяемых по электронной почте, что стало
абсолютным рекордом для подобного ПО. Однако большим сюрпризом для
экспертов этот факт не стал: рост количества вредоносных программ под
Android в почте вполне ожидаем и соотносится с общей тенденцией
увеличения числа таких зловредов.

Что касается содержания спам-писем, то в середине лета они по-прежнему
нередко эксплуатировали темы отдыха и путешествий. Популярностью также
пользовались рассылки с рекламой, связанной с недвижимостью: спамеры
предлагали купить или снять квартиру, дачу, офис, гараж. Часть
спам-рассылок так или иначе затрагивала тему домашних животных: в одних
письмах пользователям предлагались товары и корма для их питомцев, в
других же отправители призывали пожертвовать деньги на спасение котенка
в приюте.

Громкие мировые события, разумеется, также не прошли мимо внимания
спамеров. Появление на свет наследника британской короны, жизненные
перипетии экс-шпиона Эдварда Сноудена, отставка президента Египта Мурси
— все эти новости стали поводом для привлечения внимания к
спамерской рекламе товаров или темой «нигерийских» писем, в
которых злоумышленники пытались выманить деньги у доверчивых
пользователей.

В рейтинге стран-источников спама существенных изменений по сравнению с
июнем не произошло. Тройка лидеров все так же состоит из Китая (23,4%),
США (18%) и Южной Кореи (14,9%).

Как и в первом летнем месяце, спам в Рунете рассылался преимущественно
из Тайваня (11,4%) и с Украины (8,2%). Однако третье место в июле здесь
досталось Индии (7,4%), которая поднялась с 6-го места, потеснив
июньского «бронзового призера» — Вьетнам. Кроме того,
почти вдвое увеличилась доля спама, попадающего в Рунет из Италии, а вот
«вклад» Японии в этот процесс в июле уменьшился в 2,3 раза.
(http://www.securelist.com/ru/images/vlill/spamreport_jule2013_pic13.png)Страны-источники
спама в Рунете в июле 2013 года

«Лето — время отпусков, когда в целом активность и
рекламодателей, и пользователей в Интернете падает. Именно поэтому мы не
наблюдали в июле какого-либо заметного увеличения объема спама в
почтовом трафике, не фиксировали особых изменений в рейтинге стран и
регионов, являющихся источниками спама в мировой и российской Сети.
Однако в рейтинге зловредов в почте впервые на довольно высокое место
поднялась вредоносная программа для Android. Смартфонов и планшетов на
этой платформе у пользователей очень много, и их число неуклонно
продолжает увеличиваться. В связи с этим мы прогнозируем не только рост
количества подобных зловредов в почте, но и их разнообразие. Скорее
всего, к программам, рассылающим SMS, скоро добавятся и троянцы,
ворующие конфиденциальные данные. Мы рекомендуем пользователям
своевременно озаботиться защитой не только стационарных компьютеров, но
и мобильных устройств», — комментирует итоги июля Дарья
Гудкова, руководитель отдела контентных аналитиков «Лаборатории
Касперского».

Подробнее с отчетом о ситуации со спамом в июле 2013 года можно
ознакомиться на сайте.

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает пользователей о популярной в Рунете мошеннической схеме: злоумышленники регистрируются на рекрутинговых порталах, получая электронные адреса потенциальных жертв, а затем рассылают по ним заманчивые предложения о работе в престижных российских и зарубежных компаниях, сулящие весьма крупные оклады. Пройдя по ссылке, указанной в таком письме, соискатель попадает на принадлежащий мошенникам сайт. В результате жертва рискует получить как минимум испорченное настроение из-за несбывшихся ожиданий, а как максимум — опустошенный счет мобильного телефона.

Сетевые мошенники в своих схемах монетизации часто используют социальную инженерию и иные приемы психологического воздействия на людей, попавших в стесненные жизненные обстоятельства (например, ищущих работу из-за недостатка финансовых средств либо по другой причине). В последнее время в Рунете получила широкое распространение схема, когда злоумышленники регистрируются на рекрутинговых ресурсах (hh.ru, superjob.ru и т.п.) в качестве работодателей, получая при этом доступ к контактным данным потенциальных жертв, после чего отправляют им сообщения по электронной почте с предложениями вакансий от лица крупных российских или иностранных фирм. В письме злоумышленники указывают высокую сумму предлагаемого оклада с расчетом привлечь адресата на мошеннический сайт и втянуть в ложное анкетирование, на одном из этапов которого ему предлагают ввести в специальную форму номер мобильного телефона, а затем — полученный в ответном СМС-сообщении подтверждающий код. Отослав такое СМС-сообщение, пользователь становится жертвой мошенничества: он оказывается подписанным на псевдоуслугу, а со счета его мобильного телефона будут регулярно сниматься денежные средства.

Мошенничество можно распознать еще на этапе чтения письма: в нем нередко встречаются пунктуационные и стилистические ошибки, отсутствуют обязательные атрибуты деловой переписки (подпись официального лица, адресная информация, поддающаяся проверке), и т.д. Пример подобного сообщения приведен ниже (орфография оригинала сохранена):

Уважаемый, соискатель.

Ваше резюме заинтересовало крупную российскую компанию. Вам предлагают работу в данной компании. Работа по Вашей специальности. З/п от 90 000 руб. Для трудоустройства пройдите на сайт работодателя и заполните Анкету – Соискателя.

screenshot

Существует несколько способов убедиться в том, что такой работодатель существует в реальности, например, рекомендуется уточнить адрес и телефон организации, предлагающей вакансию, и попробовать связаться с ней. Не следует вводить на подозрительных веб-сайтах номер телефона и подтверждающие коды, полученные в СМС-сообщениях. Нередко злоумышленники размещают на сайте ссылку на сведения о «правилах использования услуги»: этот текст публикуется с целью избежать ответственности за мошенничество, поскольку извещенный о стоимости СМС соискатель вакансии добровольно воспользовался услугой, вся информация о которой была ему доступна. Следует поискать такую ссылку на веб-странице потенциального работодателя.

Ссылки на данные мошеннические сайты добавлены в базы Dr.Web, они блокируются антивирусным ПО, установленным на компьютере пользователя, при открытии соответствующего сайта в браузере.

Источник

Сегодня уже никого не удивишь таким способом кражи денег у владельцев
Android-смартфонов, как отправка коротких сообщений на платные номера.
Многие пользователи хорошо проинформированы о таких угрозах и привыкли
следить за своим мобильным счетом. Однако специалисты ‘Лаборатории
Касперского обнаружили принципиально новую схему работы мобильных
зловредов, которая позволяет злоумышленникам быстро и незаметно украсть
у ничего не подозревающей жертвы значительную сумму денег.

Особенность текущей схемы работы SMS-троянцев, рассылающих сообщения на
премиум-номера, заключается в том, что при монетизации украденных
средств, значительная часть денег уходит ‘посредникам’, зачастую ни о
чем не подозревающим: оператору сотовой связи, контент-провайдеру и
организаторам партнерской программы. Поэтому чаще всего зловред
старается отправить сразу 2-3 дорогих сообщения на весомую сумму,
например, 1000 рублей, что привлекает внимание жертвы. В такой ситуации
появление новых способов отъема денег у населения было лишь вопросом
времени.

В июле эксперты ‘Лаборатории Касперского обнаружили троянец, задачей
которого было выполнение инструкций, поступающих с удаленного командного
сервера. Это характерное поведение для вредоносов такого класса, однако,
дальнейшее расследование показало, что новый SMS-зловред предоставлял
своим владельцам возможность хищения денег не с мобильного, а c
банковского счета жертвы.

Данный троянец лишен самостоятельности и, связываясь с управляющим
сервером, только транслирует команды злоумышленника, пересылая обратно
результат. Специалистам ‘Лаборатории Касперского’ удалось перехватить
несколько поступивших команд. В ходе выполнения одной из них троянец
отправил SMS со словом ‘BALANCE’ на номер сервиса ‘Мобильного Банка’
Сбербанка России. Получив ответ от банка с информацией о подключенном
счете и его балансе, зловред передавал его преступникам. Ответ
мобильного банка на запрос троянца

Такое поведение троянца позволяет предположить, что следующим шагом
будет перевод любой доступной в ‘Мобильном банке’ суммы на мобильный
номер злоумышленников. Далее украденные деньги могут быть использованы
или обналичены. Например, большая тройка операторов сотовой связи
позволяет переводить деньги с мобильного счета на QIWI кошелек, откуда
впоследствии их можно вывести на банковскую карту и обналичить. А для
того чтобы жертва как можно дольше оставалась в неведении, троянец
тщательно заметает следы своей деятельности, перехватывая SMS и звонки
со стороны банка.

‘Мы хотим напомнить, что мобильные зловреды постоянно эволюционируют,
реализовывая принципиально новые схемы атак, — комментирует появление
новой схемы кражи денежных средств Виктор Чебышев, ведущий антивирусный
эксперт ‘Лаборатории Касперского’. — Быть готовым к новым угрозам можно
только в случае если ваше Android-устройство защищено антивирусным
приложением с регулярно обновляемыми базами — таким, как Kaspersky
Internet Security для Android’.

Ознакомиться с полной версией статьи можно по адресу
www.securelist.com/ru/blog/207768886/Grabitel_s_ruchnym_upravleniem.