Записи с меткой «Yahoo»

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — первой разработала утилиту, успешно справляющуюся с последствиями вредоносных действий троянца-шифровальщика Trojan.Encoder.252. Новая версия представителя известного семейства троянцев-энкодеров опасна тем, что шифрует данные пользователей и вымогает у них деньги за расшифровку пострадавших файлов. Этот троянец попадает на компьютеры жертв через спам-рассылку якобы от арбитражного суда.

Один из выявленных способов распространения этой вредоносной программы — почтовая рассылка с вложением, отправляемая якобы от арбитражного суда. Запустившись на компьютере жертвы, троянец сохраняет свою копию в одной из системных папок под именем svhost.exe, модифицирует отвечающую за автоматическую загрузку приложений ветвь системного реестра и запускается.

Троянец Trojan.Encoder.252 шифрует файлы только в том случае, если инфицированный компьютер подключен к Интернету. При этом вредоносная программа последовательно обходит дисковые накопители от С: до N: и получает список файлов с заданными расширениями (.jpg, .jpeg, .doc, .rtf, .xls, .zip, .rar, .7z, .docx, .pps, .pot, .dot, .pdf, .iso, .ppsx, .cdr, .php, .psd, .sql, .pgp, .csv, .kwm, .key, .dwg, .cad, .crt, .pptx, .xlsx, .1cd, .txt, .dbf), который сохраняет в текстовый файл. Затем Trojan.Encoder.252 проверяет доступность своих серверов, на которые впоследствии отсылается ключ шифрования. Если данные серверы недоступны, троянец выводит на экран сообщение якобы от арбитражного суда с предложением проверить настройки подключения к Интернету. В случае успешного завершения шифрования к именам файлов дописывается строка Crypted, а в качестве обоев Рабочего стола Windows устанавливается следующее изображение:

screenshot

Также на компьютере жертвы появляется текстовый файл ПРОЧТИЭТО.txt, содержащий ID для расшифровки файлов, уникальный для каждого компьютера.

Несмотря на то, что на нескольких тематических ресурсах в Интернете сообщалось о невозможности расшифровки файлов в силу особенностей используемых троянцем Trojan.Encoder.252 алгоритмов шифрования, специалисты компании «Доктор Веб» разработали специальную утилиту, успешно справляющуюся с этой задачей. Правда, для подбора ключей потребуется компьютер с мощной аппаратной конфигурацией: на обычных домашних ПК этот процесс может занять около месяца, однако на сервере, оснащенном 24 процессорными ядрами, был поставлен своеобразный рекорд: ключ удалось подобрать за 20 часов. Данная утилита стала своего рода испытательным полигоном для множества инновационных идей, рожденных вирусными аналитиками «Доктор Веб» — все эти идеи будут применяться и в будущем для расшифровки файлов, пострадавших от действия троянцев-энкодеров файлов. Исследования в области разработки новых методов борьбы с шифровальщиками тем временем продолжаются.

Если вы стали жертвой вредоносной программы Trojan.Encoder.252, придерживайтесь простых правил, которые помогут вам вернуть зашифрованные файлы:

  • не меняйте расширение зашифрованных файлов;
  • не переустанавливайте операционную систему — в этом случае вернуть данные будет уже невозможно;
  • не пытайтесь «чистить» или лечить операционную систему с использованием различных утилит и специальных приложений;
  • не запускайте утилиты Dr.Web самостоятельно, без консультации с вирусным аналитиком;
  • напишите заявление о совершенном преступлении в правоохранительные органы;
  • обратитесь в антивирусную лабораторию компании «Доктор Веб», прислав зашифрованный троянцем DOC-файл и дождитесь ответа вирусного аналитика.

Помните, что в связи с большим количеством запросов персональная помощь в расшифровке файлов оказывается только лицензионным пользователям продукции Dr.Web. Специалисты компании призывают пользователей не пренебрегать необходимостью регулярного резервного копирования хранящейся на дисках вашего компьютера информации.

Источник

Реклама

Очередная волна троянцев-шифровальщиков — Вирусная рассылка для жителей Казахстана

Posted: Июнь 27, 2013 in Антивирус, Доктор Веб, Новости, антивирусы, атака, вирусы, компьютеры, люди, поиск, пользователи, программы, софт, срочно, техника, угрозы
Метки:, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

20 июня 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — сообщает о росте количества пользователей, пострадавших от действия троянцев-шифровальщиков. Наибольшее распространение получила вредоносная программа Trojan.Encoder.94. Также весьма популярен Trojan.Encoder.225: только за последнее время за помощью в восстановлении файлов, пострадавших от действия этого троянца, в антивирусную лабораторию «Доктор Веб» обратилось более 160 человек.

Троянцы семейства Trojan.Encoder представляют собой вредоносные программы, шифрующие файлы на жестком диске компьютера и требующие деньги за их расшифровку. После того как файлы зашифрованы, троянцы семейства Trojan.Encoder, в зависимости от модификации, могут помещать на диск текстовые файлы с информацией по восстановлению данных либо менять фон рабочего стола на изображение с указанием дальнейших инструкций. Сумма, требуемая злоумышленниками, может варьироваться от нескольких десятков до нескольких тысяч долларов.

Троянцы-шифровальщики чаще всего распространяются с использованием вредоносных спам-рассылок. Например, Trojan.Encoder.225 может попасть в операционную систему с помощью письма, содержащего вложения в виде документа RTF (но с расширением .doc), эксплуатирующего уязвимость Microsoft Office. С использованием этого эксплойта на компьютер жертвы устанавливается троянец-загрузчик, который в свою очередь скачивает с управляющего сервера Trojan.Encoder. Троянец Trojan.Encoder.94 нередко скачивается на компьютер жертвы с использованием бэкдора BackDoor.Poison, который, в свою очередь, массово рассылается в письмах с вложенными файлами Порядок работы с просроченной задолженностью.doc и ПОСТАНОВЛЕНИЕ АРБИТРАЖНОГО СУДА.exe.

screen

В июне 2013 года был отмечен значительный всплеск количества случаев заражения вредоносными программами семейства Trojan.Encoder, при этом от последней модификации Trojan.Encoder.225 пострадало более 160 пользователей из России и Украины, обратившихся за помощью в компанию «Доктор Веб». Этот троянец написан на языке Delphi и имеет три версии. В предыдущей модификации троянца для связи злоумышленники используют адрес электронной почты milenium56m1@yahoo.com, в последней из известных — marikol8965@yahoo.com. Файлы, зашифрованные ранними версиями Trojan.Encoder.225, поддаются расшифровке. Над средством восстановления файлов, пострадавших от более поздней модификации троянца, в настоящий момент ведется работа.

Что касается наиболее распространенного троянца-шифровальщика, Trojan.Encoder.94, то он насчитывает рекордное число модификаций — более 350. Файлы, зашифрованные большей частью версий Trojan.Encoder.94, поддаются расшифровке. Жертвами Trojan.Encoder.94 за истекший месяц стали более 680 пользователей.

Всего за последние три месяца в антивирусную лабораторию «Доктор Веб» поступило порядка 2 800 обращений от пользователей, пострадавших в результате заражения троянцами-шифровальщиками. Благодаря тому, что злоумышленники непрерывно усложняют механизмы шифрования, вирусным аналитикам приходится решать все более сложные математические задачи в условиях возрастающего потока заявок от жертв энкодеров. В связи с большим числом запросов на лечение и заметно возросшей нагрузкой на антивирусную лабораторию с 19 июня 2013 года помощь в расшифровке файлов оказывается только зарегистрированным пользователям продуктов компании «Доктор Веб».

Если вы стали жертвой одной из таких вредоносных программ, ни в коем случае не переводите деньги киберпреступникам и не пытайтесь самостоятельно устранить последствия заражения (не переустанавливайте операционную систему и не удаляйте никаких файлов на вашем компьютере), т. к. при этом существует высокая вероятность безвозвратной потери данных. Не забывайте о необходимости своевременного резервного копирования хранящейся на жестких дисках вашего компьютера информации. Если вы являетесь зарегистрированным пользователем антивирусных продуктов «Доктор Веб», отправьте несколько зашифрованных файлов в антивирусную лабораторию, воспользовавшись соответствующей формой и выбрав категорию «Запрос на лечение», после чего дождитесь ответа вирусного аналитика и в точности следуйте его инструкциям.

С более подробной информацией о методах противодействия троянцам-энкодерам можно ознакомиться по адресу legal.drweb.com/encoder.

25 июня 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает о массовой вредоносной рассылке, представляющей серьезную опасность для жителей Казахстана. Получатели почтовых сообщений рискуют стать жертвами вредоносной программы BackDoor.Shell.218, открывающей удаленный доступ к инфицированному компьютеру.

Специалистами компании «Доктор Веб» 13, 17 и 23 июня 2013 года была зафиксирована массовая почтовая рассылка, ориентированная в первую очередь на жителей Казахстана. В качестве отправителя электронных сообщений значилось «Web-приложение «Кабинет налогоплательщика» <web-application-cabinet@mail.ru>», а само послание содержало следующий текст: «В целях разъяснения норм налогового законодательства и налогового администрирования Налоговый комитет МФ РК направляет Вам письмо разъясняющего характера».

Письмо содержало вложение в виде архива, при попытке открытия которого запускалось вредоносное приложение. Из ресурсов данной программы извлекалось основное тело троянца и сохранялось во временную папку под именем winlogon.exe, после чего данное приложение запускалось на исполнение и демонстрировало на экране инфицированного компьютера документ в формате .DOC.

Троянская программа детектируется антивирусным ПО «Доктор Веб» как BackDoor.Shell.218. Этот троянец относится к категории приложений, открывающих злоумышленникам возможность удаленного управления инфицированной системой: он позволяет выполнять различные команды в командной строке Windows, делать снимки экрана и даже выключать компьютер.

Особо стоит отметить, что основные адресаты рассылки — сотрудники бухгалтерий различных компаний. Именно для этой категории пользователей поступление письма из налоговых органов — безусловный повод его прочитать и не задумываясь открыть любое вложение. При этом именно бухгалтерские компьютеры чаще всего используются для проведения онлайн-платежей в системах «Банк-Клиент». Доступ к таким компьютерам — заветная мечта киберпреступников, промышляющих хищениями денежных средств со счетов предприятий. Именно такой доступ к компьютеру жертвы и открывает злоумышленникам BackDoor.Shell.218.

Специалисты компании «Доктор Веб» призывают пользователей не открывать вложения в сообщения электронной почты, полученные от подозрительных отправителей, а также поддерживать базы установленного на компьютере антивирусного ПО в актуальном состоянии.

Спам в I квартале 2013 года: всё новое — хорошо забытое старое

По итогам первого квартала 2013 года аналитики «Лаборатории
Касперского» зафиксировали небольшой рост (+0,53%) объёма
нежелательной корреспонденции в мировом почтовом трафике. В результате
общая доля спама составила 66,5%. Также незначительно увеличился уровень
вредоносных вложений в спам-письмах — по прошествии первых трёх
месяцев этот показатель составил 3,3%. А вот доля фишинговых писем
серьезно уменьшилась — в 4,25 раза — и составила 0,004%.

В первом квартале 2013 года спамеры, как всегда, эксплуатировали
наиболее громкие мировые события — смерть президента Венесуэлы Уго
Чавеса, отречение от престола Папы Римского Бенедикта XVI и избрание
нового понтифика — для привлечения внимания к письмам с
вредоносными URL. При этом большая часть таких сообщений была
замаскирована под новостные рассылки известных информационных агентств
(например, CNN или BBC), а любопытство пользователей злоумышленники
подогревали обещаниями «сенсационных» фотографий и
видеороликов.

Также в первом квартале 2013 года злоумышленники активно использовали
возможности легальных сервисов для обхода спам-фильтров. В частности, с
их помощью маскировали реальный адрес, на который вела содержащаяся в
сообщениях вредоносная ссылка. Такой трюк аналитики «Лаборатории
Касперского» обнаружили в стандартной для спама рекламе
медикаментов для мужчин. Злоумышленники сначала воспользовались сервисом
коротких ссылок от Yahoo, а затем обработали полученную с его помощью
ссылку в онлайн-переводчике Google Translate, который может выполнять
перевод веб-страницы по указанной пользователем ссылке и генерировать
собственную ссылку на результат перевода. Сочетание этих методов сделало
каждую ссылку в спам-рассылке уникальной, а кроме того, использование
двух всемирно известных доменов помогало сделать ссылку достаточно
«авторитетной» в глазах получателя спама. Пример
использования легальных сервисов генерирования ссылок в спам-рассылках

Спамеры стали использовать комбинации из нескольких приемов, в том числе
довольно известных, но со временем утративших популярность. Например, в
спаме вновь стал встречаться приём замусоривания содержимого письма,
известный как «белый текст». По сути, это добавление в
письмо случайных кусков текста (в первом квартале 2013 года ими, в
основном, были фрагменты новостей), оформленных светло-серым шрифтом на
сером фоне или отделённых от основного рекламного текста большим
количеством переносов строки. Такой приём рассчитан, прежде всего, на
то, что контентные спам-фильтры примут нежелательное письмо за новостную
рассылку. Кроме того, использование случайных фрагментов новостей делает
каждое письмо спам-рассылки уникальным, что затрудняет его
детектирование.

Среди стран-источников спама в первом квартале 2013 года Китай и США
по-прежнему остаются в числе абсолютных лидеров, набрав 24,3% и 17,7%
соответственно. На третье место по итогам первых месяцев этого года с
довольной большой долей (9,6%) поднялась Южная Корея. Любопытно, что
спам из этих стран нацелен на разные регионы. Так, большинство
китайского спама рассылается в Азию, спам из США ориентирован
преимущественно на Северную Америку, а спам из Кореи направлен в
основном на Европу. Россия в этом рейтинге за начало года прибавила 1,2%
и в результате с показателем в 3,2% заняла 7-ое место, поднявшись на
одну строчку вверх по сравнению с последним кварталом 2012 года.

«В начале 2013 года доля нежелательной корреспонденции в почтовом
трафике хоть и колебалась от месяца к месяцу, но в среднем за квартал
практически не изменилась по сравнению с предыдущим аналогичным
периодом. Мы ожидаем, что в дальнейшем доля спама останется на нынешнем
уровне или даже немного возрастет, так как в последнее время участились
случаи очень крупных многомиллионных рассылок, — комментирует
Дарья Гудкова, руководитель отдела контентных аналитиков
«Лаборатории Касперского». — Спамеры стараются
привлекать внимание пользователей к своим сообщениям, используя громкие
имена, мировые события или просто подделывая письма под уведомления
популярных ресурсов. Многие подобные сообщения содержат ссылки на
вредоносные программы, в том числе эксплойты. Мы хотим ещё раз напомнить
пользователям, что не стоит кликать по ссылкам в письмах, даже если
отправитель кажется знакомым. Гораздо безопаснее вручную набрать в
браузере адрес нужного ресурса».

С подробной версией отчёта о ситуации со спамом в первом квартале 2013
года можно ознакомиться на сайте www.securelist.com/ru.

15 января 2013 года

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — информирует пользователей о распространении вредоносной программы BackDoor.Finder, способной подменять запросы в различных поисковых системах, а также перенаправлять браузер на сайты злоумышленников.

Запустившись в инфицированной системе, троянец BackDoor.Finder создает собственную копию в папке %APPDATA% текущего пользователя и вносит соответствующие изменения в ветвь системного реестра Windows, отвечающую за автозагрузку приложений. Затем эта вредоносная программа встраивается во все запущенные процессы. Если троянцу удается внедриться в процессы браузеров Microsoft Internet Explorer, Mozilla Firefox, Maxtron, Chrome, Safari, Mozilla, Opera, Netscape или Avant, он осуществляет перехват функций WSPSend, WSPRecv и WSPCloseSocket.

Затем BackDoor.Finder генерирует до 20 доменных имен управляющих серверов и последовательно обращается к ним, передавая зашифрованный запрос. При попытке пользователя зараженной машины обратиться к поиску на google.com, bing.com, yahoo.com, ask.com, search.aol.com, search.icq.com, search.xxx, http://www.wiki.com, http://www.alexa.com или yandex.com введенный запрос передается на управляющий сервер, а в ответ троянец получает конфигурационный файл со списком адресов сайтов, на которые будет перенаправляться браузер. В результате вместо веб-страницы с результатами поиска пользователь увидит в окне браузера указанные злоумышленниками интернет-ресурсы.

map

Поскольку специалистам компании «Доктор Веб» удалось определить используемый BackDoor.Finder алгоритм генерации имен командных центров, было зарегистрировано несколько управляющих серверов с целью сбора статистики. Выяснилось, что наибольшее распространение эта троянская программа имеет на территории США, причем абсолютным лидером по количеству заражений выступает штат Канзас, на втором месте находится Нью-Джерси, на третьем — Огайо и Алабама. Меньше всего случаев инфицирования троянцем BackDoor.Finder приходится на долю Юты и Мичигана.

Данная вредоносная программа добавлена в вирусные базы и потому не представляет опасности для пользователей продуктов Dr.Web.

ИСТОЧНИК

14 ноября 2012 года

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — предупреждает о распространении нового троянца-загрузчика, добавленного в вирусные базы под именем Trojan.DownLoader7.21125. С точки зрения архитектуры данную вредоносную программу нельзя назвать сложной или хоть сколько-нибудь примечательной, однако она опасна, прежде всего, своим широким распространением, а также тем, что с ее помощью на инфицированный компьютер загружаются другие троянцы.

Trojan.DownLoader7.21125 устроен примитивно: в теле троянца в незашифрованном виде хранится адрес сайта, при обращении к которому происходит перенаправление на другой интернет-ресурс, откуда Trojan.DownLoader7.21125 получает файл со списком адресов для последующей загрузки вредоносных приложений. При попытке соединиться с управляющим сервером по протоколу HTTP в окне браузера демонстрируется веб-страница с просьбой ввести логин и пароль.

screen

В настоящее время Trojan.DownLoader7.21125 загружает и устанавливает на инфицированные компьютеры жертв программу для добычи (майнинга) электронной криптовалюты Bitcoin, перепакованные модификации самого себя, а также следующие вредоносные программы:

  • BackDoor.Andromeda.22 — популярный троянец-загрузчик, способный скачивать с принадлежащих злоумышленникам серверов и устанавливать на инфицированном компьютере другие вредоносные программы.
  • Trojan.Rodricter.21 — многокомпонентный троянец-руткит, дроппер которого обладает функционалом антиотладки. Использует локальные уязвимости ОС для поднятия собственных привилегий. Отключает User Accounts Control (UAC) как в 32-разрядных, так и в 64-разрядных версиях Windows. Изменяет настройки браузеров Mozilla Firefox и Internet Explorer. Функциональное назначение основного модуля троянца — перехват трафика на инфицированном ПК.
  • Trojan.PWS.Multi.879 — вредоносная программа, способная похищать пароли от ряда популярных приложений, в том числе ICQ, Yahoo! Messenger, FTP Commander, Paltalk, AIM, Google Talk, MSN Messenger, Miranda, Trillian и других.
  • BackDoor.HostBooter.3 — троянец, предназначенный для выполнения DDoS-атак, а также скачивания и запуска файлов по команде с управляющего сервера.

Все перечисленные выше угрозы известны антивирусному ПО Dr.Web. Троянец Trojan.DownLoader7.21125 может быть загружен на ПК жертвы другими вредоносными приложениями, а также установлен в систему с использованием иных способов, в том числе уязвимостей браузеров. Его основная опасность заключается в том, что в случае проникновения данной угрозы на компьютер инфицированная система очень быстро превращается в «зоопарк» из множества других вредоносных программ. В целях обеспечения безопасности специалисты компании «Доктор Веб» рекомендуют пользователям поддерживать вирусные базы в актуальном состоянии.

«Лаборатория Касперского» и компания Seculert обнаружили очередного кибершпиона на Ближнем Востоке
17 июл 2012
******************************************************************

1. «Лаборатория Касперского» и компания Seculert обнаружили очередного кибершпиона на Ближнем Востоке
2. Как подписаться на новостные блоки и отписаться от них
3. Правила безопасности

******************************************************************

1. «Лаборатория Касперского» и компания Seculert обнаружили очередного кибершпиона на Ближнем Востоке

«Лаборатория Касперского» и компания Seculert
(http://www.seculert.com/) представили результаты исследования
(http://www.securelist.com/en/blog/208193677/The_Madi_Campaign_Part_I)
вредоносной программы Madi, предназначенной для совершения
целенаправленных атак на ряд пользователей в ближневосточном регионе с
целью кражи конфиденциальной информации. Для распространения троянца и
заражения компьютеров жертв использовались методы социальной
инженерии.

Эксперты «Лаборатории Касперского» и Seculert установили
контроль над серверами управления Madi за счет внедрения
sinkhole-маршрутизатора. Это позволило определить более 800 жертв,
находящихся в Иране, Израиле и ряде других стран мира, которые были
подключены к командным серверам злоумышленников в течение последних
восьми месяцев. Полученные данные позволили сделать вывод, что основной
целью атак были люди, имеющие отношение к разработке критически важных
инфраструктурных проектов Ирана и Израиля, израильским финансовым
организациям, студенты инженерных специальностей, а также различные
правительственные структуры, действующие на территории Ближнего
Востока.

Кроме того, в ходе детального исследования вредоносной программы было
выявлено большое количество «отвлекающих» религиозных и
политических документов и фотографий, которые были использованы в ходе
заражения компьютеров пользователей.

«Несмотря на то, что используемая вредоносная программа и
инфраструктура преступников были далеко не самыми сложными,
злоумышленникам удалось в течение достаточно продолжительного времени
вести наблюдение за жертвами, — прокомментировал результаты
исследования Николя Бруле (Nicolas Brulez), ведущий антивирусный эксперт
«Лаборатории Касперского». — Возможно, именно из-за
непрофессионализма организаторов их атаки долгое время оставались
необнаруженными».

«Стоит отметить, что в ходе нашего совместного с
«Лабораторией Касперского» расследования мы выявили
множество персидских «ниточек» как в самом троянце, так и в
системе управления им. Наличие подобной информации во вредоносном коде
— большая редкость. Нет никаких сомнений в том, что злоумышленники
владеют языком фарси на уровне носителей», — уверен Авиф
Рафф (Aviv Raff), технический директор компании Seculert.

Троянец Madi предоставляет злоумышленникам удаленный доступ к файлам,
расположенным на зараженных компьютерах, работающих под управлением ОС
Windows. Преступники получают возможность перехватывать электронную
почту и мгновенные сообщения, включать микрофон и делать аудио-записи
разговоров, следить за нажатием клавиш на клавиатуре, а также делать
скриншоты рабочего стола жертвы. По данным экспертов, объем данных,
переданных с компьютеров жертв, исчисляется
гигабайтами.

Среди приложений и Веб-сайтов, которые использовались для слежения за
жертвами, Gmail, Hotmail, Yahoo! Mail, ICQ, Skype, Google+ и Facebook.
Кроме того, для получения дополнительной информации были задействованы
ERP/CRM-системы, базы деловых контактов и системы управление финансовой
деятельностью.

В антивирусной базе «Лаборатории Касперского» различные
модификации троянца Madi, а также связанные с ним модули, в том числе
загрузочные, детектируются как Trojan.Win32.Madi.

Отчеты об исследовании доступны на сайтах:

«Лаборатории Касперского»  www.securelist.com/en/blog
(http://www.securelist.com/en/blog/208193677/The_Madi_Campaign_Part_I) и
компании Seculert blog.seculert.com (http://blog.seculert.com/).

*****

2. Как подписаться на новостные блоки и отписаться от них

Если вы хотите подписаться на другие новостные блоки «Лаборатории
Касперского» или отменить подписку на данный новостной блок, то вам
необходимо посетить сайт компании по следующему адресу:
http://www.kaspersky.ru/subscribe

3. Правила безопасности

Для предотвращения попыток рассылки фальшивых писем, маскирующихся
под новости «Лаборатории Касперского», сообщаем, что оригинальные
сообщения поставляются исключительно в формате plain text и никогда не
содержат вложенных файлов. Если вы получили письмо, не
удовлетворяющее этим условиям, пожалуйста, ни в коем случае не
открывайте его и перешлите в антивирусную лабораторию компании (newvirus@kaspersky.com) на экспертизу.

В случае возникновения трудностей с получением новостей
вы можете связаться с нами по адресу webmaster@kaspersky.com.

Для получения консультации по вопросам технической поддержки продуктов «Лаборатории Касперского» воспользуйтесь, пожалуйста, веб-формой http://www.kaspersky.ru/helpdesk.html . Перед отправкой запроса в службу техподдержки рекомендуем просмотреть наши ответы на часто задаваемые вопросы в Базе знаний: http://support.kaspersky.ru/ .

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — информирует о распространении новой модификации IRC-бота, добавленного в вирусные базы под именем BackDoor.IRC.IMBot.2. Как и другие представители данного семейства, этот бот способен рассылать спам в сетях мгновенного обмена сообщениями, загружать на инфицированный компьютер и запускать исполняемые файлы, а также осуществлять по команде с управляющего сервера DDoS-атаки.

Существует огромное количество модификаций троянских программ, использующих в своей работе IRC (Internet Relay Chat) — протокол, позволяющий реализовать обмен сообщениями в режиме реального времени. Более того, новые версии IRC-ботов появляются с завидной регулярностью. С этой точки зрения BackDoor.IRC.IMBot.2 можно было бы назвать типичным представителем данного семейства, если бы не одно отличие.

BackDoor.IRC.IMBot.2 распространяется аналогично другим известным IRC-ботам: сохраняет себя на сменные носители под именем usb_driver.com и создает в корневой директории файл autorun.inf, с помощью которого осуществляется запуск троянца при подключении устройства (если данная функция не была заранее заблокирована в настройках операционной системы).

Запускаясь в инфицированной системе, BackDoor.IRC.IMBot.2 сохраняет себя в папку установки Windows и вносит соответствующие изменения в ветвь системного реестра, отвечающую за автозапуск приложений. Также BackDoor.IRC.IMBot.2 изменяет настройки брандмауэра Windows, для того чтобы обеспечить себе соединение с Интернетом.

Наиболее интересной чертой данного бота является встроенный в него своеобразный механизм поиска процессов с именами dumpcap, SandboxStarter, tcpview, procmon, filemon. Будучи запущенным на компьютере жертвы, троянец обращается к разделу системного реестра HKEY_PERFORMANCE_DATA, отвечающего за определение производительности ПК, и ищет с помощью размещающихся в данном разделе счетчиков запущенные в операционной системе процессы. Данный алгоритм интересен тем, что ранее он не встречался в других вредоносных программах подобного типа.

BackDoor.IRC.IMBot.2 способен загружать и запускать на инфицированном компьютере исполняемые файлы, распространять спам в сетях, использующих для обмена сообщениями программы MSN Messenger, AOL Instant Messenger, Yahoo! Messenger, а также по команде с удаленного сервера организовывать DDoS-атаки. Сигнатура данной угрозы добавлена в вирусные базы Dr.Web