QIWI рассказала о трояне в платежных терминалах

Платежный сервис QIWI назвал искаженными сообщения компании "Доктор Web" о вирусе в терминалах QIWI, способном похищать деньги клиентов.
В пресс-релизе компании говорится, что появление вируса, который специалистами компании "Доктор Web" был назван "вирус-троян Trojan.PWS.OSMP", было зафиксировано специализированной системой мониторинга вредоносных программ 20 февраля 2011 года.
По факту обнаружения специалисты QIWI оперативно отреагировали и произвели необходимые действия по устранению возможных угроз со стороны этого вредоносного ПО.
Как сообщается, в результате ни один клиент не пострадал, никаких краж и несанкционированных действий не было зафиксировано.
Ежедневно через платежный сервис QIWI проходит более 10млн. транзакций, и интерес злоумышленников понятен, именно поэтому компания уделяет максимум внимания безопасности и надежности сервиса.
"QIWI использует многоуровневую систему защиты, которая успешно противостоит атакам, в том числе систему Anti-Fraud, которая сумеет распознать любую атаку и заблокировать поступление платежей с "фальшивого" терминала, созданного путем хищения конфигурационного файла.
Платежный сервис QIWI продолжает свою работу в стандартном режиме, обеспечивая пользователей безопасным и надежным сервисом.

Источник

Специалист Symantec встретился с авторами первого вируса в истории ПК

Микко Хиппонен, исследователь из финской антивирусной компании F-Secure, нашел и встретился с двумя пакистанцами, создавшими первый в мире вирус для ПК. Спустя 25 лет после написания вируса Brain создатели антивирусов смогли вживую встретиться со своими первыми оппонентами.

Четверть века назад Микко Хиппонен был одним из первых, кто анализировал вирус Brain. После тщательного анализа специалисты обнаружили скрытый в коде текстовый фрагмент с указанием адреса и телефона того места, где писался вирус. Кроме того, авторы даже указали свои имена – Басит Фарук и Амджад Фарук.

В феврале текущего года Хиппонен решил узнать, как обстоят дела у авторов вируса Brain, ставшего одним из первых вирусов в карьере разработчика антивирусов. Также Хиппонен решил расспросить их о том деле, которое открыло эпоху вирусов для настольных ПК. Наверное, в это трудно поверить, но сегодня братья Фаруки – успешные бизнесмены, они работают в той же самой компании, что и 25 лет назад. Эта телеком-компания - Brain Telecommuncations – что еще удивительней, по-прежнему находится по тому же адресу в г. Лахор (Пакистан), что был указан в коде вируса.

Как говорят братья Фаруки, они закончили работу над вирусом в сентябре 1986 года. Целью их работы была проверка общей системы безопасности – они хотели понять, как далеко может распространиться вредоносная программа, если единственным способом распространения служат дискеты (сменные накопители в виде гибких магнитных дисков).

Хиппонен не просто встретился с авторами вируса Brain – он снял небольшой документальный фильм, в котором сами авторы Brain объясняют, что написание вируса было в первую очередь экспериментом и не имело под собой никакого злого умысла. Басит Фарук и Амджад Фарук отделяют себя от тех, кто пишет вредоносные вирусы, количество которых за последние четверть века растет угрожающими темпами.

По словам братьев Фаруков, сегодняшние вирусы имеют целиком криминальное происхождение, причем сами братья не считают себя ответственными за распространение вредоносных программ. Кроме того, братья Фаруки не считают, что их Brain был первыми вирусом для ПК: вирусы писали и до них, а их программа не была вредоносной. Фактически, программа Brain одной из первых оказалась в сфере внимания специалистов по безопасности, как удобная мишень и как наглядный пример программы с возможностью самостоятельного копирования и распространения на сменных носителях.

Источник

Нового вредоносного ПО стало на 26% больше

Согласно последнему отчёту антивирусной лаборатории PandaLabs за первый квартал текущего года, количество активных в данный период времени угроз увеличилось по сравнению с прошлым годом. На протяжении первых трех месяцев 2011 года лаборатория PandaLabs в среднем ежедневно обнаруживала около 73000 новых образцов вредоносного программного обеспечения, большинство которых оказались троянами. Что характерно, было зафиксировано увеличение количества появляющихся ежедневно угроз на 26% по сравнению с аналогичным периодом прошлого года.

В то время как лаборатория PandaLabs в течение 2010 года ежеквартально наблюдала постепенное увеличение количества вновь появляющихся угроз, рост был не столь заметен по сравнению с резким скачком показателя в последние два квартала.

График демонстрирует увеличение числа новых угроз, начиная с первого квартала 2010 года и заканчивая первым кварталом 2011.

Стоит отметить, что Трояны всё ещё остаются наиболее распространённым типом угроз и на данный момент сотавляют 70% от общего числа вредоносного программного обеспечения. Это неудивительно, учитывая насколько прибыльным для мошенников может быть использование Троянов.

Технический директор антивирусной лаборатории PandaLabs Луи Корронс комментирует ситуацию: «Распространение программ в Интернете, позволяющих людям без специальных знаний запросто создавать Трояны и организовывать нелегальный бизнес, особенно если это может обеспечить доступ к банковским реквизитам, влечёт за собой невероятный рост количества Троянов в сети».

Не все виды троянов распространяются с одинаковой скоростью. Проанализировав подклассы обнаруженного вредоносного программного обеспечения, антивирусная лаборатория PandaLabs пришла к выводу о том, что количество банковских троянов уменьшилось, количество ботов осталось на том же уровне, а популярность поддельного антивирусного программного обеспечения снизилась. Тем не менее, число "загрузчиков" (downloader) значительно увеличилось.

Так называемые загрузчики являются подклассом троянов, которые, однажды заразив компьютер пользователя, автоматически подключаются к сети Интернет и загружают ещё больше вредоносного прогреммного обеспечения. Хакеры часто используют этот метод, поскольку сам загрузчик небольшой по объёму (он содержит всего несколько строк кода), и может проникнуть на компьютер пользователя совершенно незаметно в отличие от других троянских программ.

Лаборатория PandaLabs настоятельно рекомендует пользователям убедиться в безопасности своих компьютеров. Чтобы избежать Интернет-угроз, Вы можете установить на свой ПК бесплатную программу Panda Cloud Antivirus (http://www.cloudantivirus.com/ru) или использовать бесплатный онлайновый антивирус Panda ActiveScan (http://www.viruslab.ru/service/check).

О PandaLabs
С 1990 года миссией лаборатории PandaLabs (исследовательского центра компании Panda Security) является выявление и максимально эффективная борьба с новыми видами вредоносного ПО для обеспечения максимальной IT-безопасности пользователей. PandaLabs использует самые современные инновационные разработки для ежедневного анализа и классификации тысяч новых образцов вредоносных кодов. Система основана на принципе Коллективного Разума, который опирается на знания сообщества пользователей Panda для автоматического обнаружения, анализа, классификации и лечения более 63 000 новых образцов ПО ежедневно. Кроме того, в PandaLabs работает команда узкоспециализированных специалистов, каждый из которых сосредоточен на анализе определенного типа вредоносного ПО.

Дополнительная информация доступна в блоге PandaLabs: http://www.pandalabs.com

ESET: февраль показал рост вредоносных ресурсов и программ-вымогателей

Компания ESET, международный разработчик антивирусного ПО и решений в области компьютерной безопасности, сообщает о самых распространенных интернет-угрозах, выявленных специалистами Вирусной лаборатории ESET с помощью технологии раннего обнаружения ThreatSense.Net в феврале 2011 года.
Первенство среди угроз в российском регионе в феврале вновь отвоевало семейство вредоносных программ INF/Autorun с показателем распространенности в 3,78%, что на 0,24% больше, чем в прошлом месяце. Этот тип злонамеренного ПО использует для проникновения на компьютер пользователя функцию автозапуска Windows Autorun и распространяется на сменных носителях. Следом в российском топе угроз расположился класс вредоносных программ Win32/Spy.Ursnif.A, которые крадут персональную информацию и учетные записи с зараженного компьютера, а затем отправляют их на удаленный сервер. Процент проникновения таких программ снизился за месяц на 0,02% и достиг 3,60%.
Замыкает тройку лидеров ПО класса HTML/Iframe.B.Gen, что является эвристическим обнаружением различных вредоносных скриптов для перенаправления пользователя на ресурс, который содержит определенный набор злонамеренных эксплойтов. Они, в свою очередь, достаточно часто реализованы в виде html-тега iframe. Доля распространения HTML/Iframe.B.Gen выросла за месяц на 1,20% и составила 1,93%. Это говорит об увеличении числа вредоносных ресурсов, которые перенаправляют пользователя по опасным ссылкам.
«В связи с появлением в середине января в открытом доступе информации об уязвимости HTML/Exploit.CVE-2011-0096, количество ее эксплуатаций злоумышленниками в начале февраля сильно возросло, – комментирует Александр Матросов, директор Центра вирусных исследований и аналитики компании ESET. – К данному эвристическому методу были также добавлены определенные модификации кода для более точного обнаружения этой угрозы, которые достаточно часто реализованы с использованием html-конструкции iframe, что объясняет увеличение числа срабатываний эвристического обнаружения HTML/Iframe.B.Gen. На данный момент эта уязвимость по-прежнему не закрыта, и с ее помощью могут производиться успешные атаки на пользователей браузеров Microsoft Internet Explorer всех версий».
Распространение вредоносных программ, связанных с применением методов социальной инженерии, становится все более актуальным для России. Январский тренд увеличения присутствия программ-вымогателей в российском сегменте сети Интернет продолжился и в феврале. При этом на смену январским угрозам класса Hoax.ArchSMS в регионе получили широкое распространение новые модификации данного вредоносного ПО – Win32/Hoax.ArchSMS.FQ (1,30% распространения), Win32/Hoax.ArchSMS.FG.Gen (0,84%), Win32/Hoax.ArchSMS.EP (0,63%), Win32/Hoax.ArchSMS.GA (0,62%), Win32/Hoax.ArchSMS.FN (0,62%). Кроме того, показатель проникновения семейства программ-вымогателей Win32/RegistryBooster увеличился на 0,04% и достиг 0,09%. Также по-прежнему популярной остается мошенническая «партнерка» ZipMonster, в рамках которой продвигается различный нелегальный контент, начиная от электронных книг и заканчивая популярными видео новинками. Процент распространенности Win32/Packed.ZipMonster.A в прошлом месяце составил 1,80%. «Волна распространения платных архивов с нелегальным и бесплатным контентом за прошедший месяц не только не сбавила обороты, а наоборот количество обнаружений таких угроз возросло, а популярность подобных сервисов приводит к появлению новых модификаций программ-вымогателей, – отмечает Александр Матросов. – Что касается резкого увеличения числа срабатываний HTML/Iframe.B.Gen, то это можно объяснить довольно простой реализацией самого эксплойта, что породило новые атаки со стороны злоумышленников».
В связи с широким распространением программ-вымогателей компания ESET рекомендует пользователям воздержаться от использования пиратского контента, который, так или иначе, приносит выгоду только злоумышленникам. При отправке SMS-сообщения на короткий номер для получения доступа к желаемому контенту сумма, которую теряет пользователь, в среднем составляет порядка 200 рублей. При этом в большинстве случаев он так и не получает нужный контент. Кроме того, злоумышленники собирают конфиденциальные данные о номерах пользователя, что зачастую приводит к SMS-спаму, который может содержать вредоносные ссылки. Ресурсы с пиратским контентом зачастую являются распространителями злонамеренных программ. Доля России от общего обнаружения мировых угроз в феврале снизилась на 0,44% и составила 11,29%. При этом процент уникальных угроз, которые приходятся на регион, показал рост на 0,23% и составил 3,28%.
В мировой десятке самых распространенных угроз за месяц существенных изменений не произошло. На первом месте семейство INF/Autorun (5,53%), по-прежнему остаются популярными вредоносные программы Win32/Conficker (3,78%). Третьим по распространенности в мировом масштабе стало злонамеренное ПО Win32/PSW.OnLineGames, которое используется хакерами для кражи аккаунтов игроков многопользовательских игр.

Двадцать самых распространенных угроз в России в феврале 2011

№ Угрозы	Процент заражения
1. INF/Autorun	3,78%
2. Win32/Spy.Ursnif.A	3,60%
3. HTML/Iframe.B.Gen	1,93%
4. Win32/Packed.ZipMonster.A	1,80%
5. Win32/Conficker.AA	1,63%
6. Win32/Hoax.ArchSMS.FQ	1,30%
7. Win32/Conficker.X	1,15%
8. INF/Conficker	1,12%
9. INF/Autorun.Gen	1,11%
10. Win32/Tifaut.C	1,08%
11. Win32/RegistryBooster	0,90%
12. Win32/Toolbar.AskSBar	0,85%
13. Win32/Hoax.ArchSMS.FG.Gen	0,84%
14. Win32/AutoRun.KS	0,79%
15. Win32/HackKMS.A	0,77%
16. Win32/Bflient.K	0,71%
17. Win32/Packed.Temida	0,69%
18. Win32/Hoax.ArchSMS.EP	0,63%
19. Win32/Hoax.ArchSMS.GA	0,62%
20. Win32/Hoax.ArchSMS.FN	0,62%

Десять самых распространенных угроз в мире в феврале 2011

№ Угрозы	Процент заражения
1. INF/Autorun	5,53%
2. Win32/Conficker	3,78%
3. Win32/PSW.OnLineGames	2,20%
4. Win32/Sality	1,72%
5. INF/Conficker	1,24%
6. Win32/Tifaut.C	1,02%
7. Java/TrojanDownloader.OpenStream	1,02%
8. Win32/Spy.Ursnif.A	0,77%
9. HTML/ScrIngect.B	0,73%
10. Win32/Bflient.K	0,68%

Статистика угроз получена с помощью ThreatSense.Net – глобального сервиса, обеспечивающего автоматическую передачу новых образцов подозрительных или вредоносных программ экспертам вирусной лаборатории ESET для анализа и принятия оперативного решения.

Первый компьютерный вирус появился 40 лет назад

В этом году исполняется 40 лет самому первому компьютерному вирусу в мире - Creeper. Этот "червь" был написан в 1971 году сотрудником компании, которая занималась обслуживанием ARPANET- сети, созданной Агентством министерства обороны США по перспективным исследованием в 1969 году и предшествующей Интернету.

Creeper, по сути, еще не был полноценным вирусом, поскольку не причинял никакого вреда системе. Вместо этого он искал по сети компьютеры, самостоятельно копировался на них выводил на терминале сообщение: I'm the creeper, catch me if you can! ("Я Крипер, поймай меня, если сможешь!"). Если Creeper обнаруживал на машине уже существующую копию самого себя, то "перескакивал" на другой компьютер.

Другой серьезный вирус - Elk Cloner - появился в 1982 году. Этого "червя", проникавшего на компьютеры через дискеты, разработал 15-летний подросток. В 1987 году был создан вирус Jerusalem, который каждую пятницу 13 числа удалял все программы на зараженной системе.

В 1999 году появился "червь" Melissa, который распространялся через инфицированные документы Microsoft Word и отправлял себя другим пользователям через список контактов почте Outlook. Тогда этому вирусу удалось на некоторое время парализовать популярные в то время почтовые системы в Интернете.

Один из последних опасных вирусов - Stuxnet, способный наносить физический ущерб заводам, электростанциям и другим промышленным объектам. Впервые об этом "черве" стало известно в июне 2010 года, когда он заразил компьютеры на Бушерской АЭС.

За последние четыре десятилетия число вирусов росло в геометрической прогрессии: от 1,300 в 1990 году, 50,000 в 2000 году и более 200 миллионов в 2010 году, говорится в статье Net Security.

Специалисты считают, что следующей целью киберпреступников станут смартфоны, через которые легко переводить электронные платежи. Более того, у этих устройств обычно есть встроенный GPS-навигатор, микрофон и несколько камер, а это может позволить злоумышленникам следить за владельцами "умных" трубок.

По прогнозу разработчика антивирусного ПО McAfee, главной целью хакерских атак в 2011 году станут смартфоны (в особенности на платформе Android), сервисы сокращения длинных URL-адресов, социальные сети, продукция корпорации Apple и геолокационные сервисы.

Платежные терминалы под атакой троянца

Компания «Доктор Веб» – российский разработчик средств информационной безопасности – сообщает об обнаружении троянца Trojan.PWS.OSMP, заражающего  терминалы одной из крупнейших российских платежных систем. Эта вредоносная программа вмешивается в работу легального процесса maratl.exe, запущенного в операционной системе терминала, и подменяет номер счета, на который осуществляет платеж пользователь. Таким образом, деньги попадают напрямую к злоумышленникам.

Первоначально в операционную систему платежного терминала (ОС Windows) попадает BackDoor.Pushnik, представляющий собой вредоносную программу в виде исполняемого файла, написанного злоумышленниками на языке Delphi. Передается он через съемные носители, в частности USB Flash Drive. Как только такая «флешка» подключается к терминалу, происходит автозапуск бэкдора. В дальнейшем BackDoor.Pushnik получает с сервера первого уровня конфигурационную информацию, в которой присутствует адрес управляющего сервера второго уровня. С него, в свою очередь, исходит «задача» загрузить исполняемый файл (троянскую программу Trojan.PWS.OSMP) с третьего сервера.

Trojan.PWS.OSMP – одна из первых вредоносных программ, представляющих опасность для клиентов платежных терминалов. Попадая в операционную систему,  троянец проверяет программное обеспечение, установленное на терминале и осуществляет поиск процесса maratl.exe, который является вполне легальной программой. Далее Trojan.PWS.OSMP встраивается в maratl.exe, меняя его память. В сущности, троянская программа позволяет злоумышленникам исправить любой номер счета, на который пользователи отправляют деньги. Средства, таким образом, попадают напрямую вирусописателям.

Последняя известная модификация Trojan.PWS.OSMP, появившаяся в конце февраля 2011 года, действует уже по другой схеме. Она крадет конфигурационный файл, что, предположительно, может помочь злоумышленникам создать поддельный терминал на обыкновенном компьютере и направлять деньги на собственный счет в электронной форме, минуя купюроприемник.

Сейчас можно с уверенностью говорить,  что Trojan.PWS.OSMP представляет наибольшую опасность для терминалов, подключенных к Интернету и использующих maratl.exe. Специалисты «Доктор Веб» уже передали всю известную им информацию компании — владельцу терминалов, которые находятся под угрозой. Надеемся, что это поможет решить проблему в кратчайшие сроки и уберечь пользователей от потери денежных средств.

По оценкам специалистов из процессинговой компании вероятность заражения терминалов этим троянцем является невысокой ввиду специфики обслуживания. По их словам, активность Trojan.PWS.OSMP на данный момент оценивается как низкая.

Блокеры-вымогатели "охотятся" за желающими пошпионить в сети

Эксперты "Лаборатории Касперского" предупреждают о появлении нового трояна-вымогателя Trojan-Ransom.Win32.Vkont.a. СМС-блокер использует нестандартную схему распространения, маскируясь под бесплатную программу, которую скачивают желающие пошпионить в Интернете за друзьями и знакомыми. Попавшиеся на эту приманку расплачиваются за свое любопытство деньгами, не получая взамен ожидаемого результата.

Распространяется зловред через мошеннический сайт, на котором предлагается скачать ПО для взлома учетных записей в социальной сети "ВКонтакте". Очевидно, что посетителями этой страницы движут отнюдь не благородные мотивы. Однако после клика на кнопку загрузки под видом "программы-взломщика" начинается скачивание трояна-вымогателя, при чем о подмене ничего не сообщается.

Попав на компьютер, зловред выводит на Рабочий стол окно с предложением отправить СМС-сообщение на короткий номер, чтобы получить программу для доступа к личным данным пользователей сети "ВКонтакте". Одновременно троян блокирует работу системы до тех пор, пока вымогатели не получат выкуп в виде СМС-ки.

Однако, отправив СМС-сообщение, пользователь оказывается дважды "наказан" злоумышленниками. Троянец скачает архив VK-Hack.zip, в котором находятся программа для подбора паролей к аккаунтам в популярных почтовых сервисах, а также ПО класса ShareWare, за полноценное использование которого необходимо заплатить дополнительно. Таким образом, жертва уловки мошенников не только оплачивает отправку дорогостоящей СМС-ки, но и получает совсем не бесплатные программы сомнительного функционала.

Источник

Специалисты Trend Micro обнаружили банковский троян для BlackBerry

Специалисты антивирусной компании Trend Micro накануне сообщили об обнаружении версии троянской программы Zitmo для платформы RIM BlackBerry.

Zitmo представляет собой мобильный вариант нашумевшего трояна Zeus, охотящегося на клиентов систем мобильного банкинга. Zitmo (Zeus-in-the-Mobile Trojan), среди прочих функций, может перехватывать SMS-сообщения и блокировать телефонные звонки. В Trend Micro говорят, что до сих пор Zitmo обнаруживали в вариантах для систем Android и iPhone.

Антивирусные эксперты отмечают, что дополнительная опасность Zitmo кроется в том, что этот вредоносный код в отличие от многих других, не имеет графического интерфейса, а кроме того он может скрываться от глаз даже опытных пользователей и в случае необходимости удаляться со смартфона. Патрик Эставилло, антивирусный аналитик Trend Labs, говорит, что система Zitmo такова, что даже опытные пользователи могут ненароком "поделиться" с хакерами своими банковскими реквизитами.

Согласно данным исследований, после того, как мобильный Zeus попадает на смартфон, он отсылает подтверждающее сообщение удаленному администратору на командный и контрольный сервер, согласно которому троян готов к получению и выполнению хакерских команд. В обнаруженном случае, Zitmo отправлял сообщение "App Installed OK" на один из серверов в Великобритании, а также имел прописанный телефонный номер, также принадлежащий одному из британских операторов связи.

cybersecurity.ru

Описание работы вируса Trojan-Dropper.Win32. Agent.dvyh

Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Программа является приложением Windows .Net (PE EXE-файл). Имеет размер 3889352 байта.

Деструктивная активность

После запуска троянец расшифровывает и извлекает из своего тела во временный каталог текущего пользователя следующие файлы:

%Temp%\KasKeygenRevised.exe

MD5: 5625FEE8B2A40614C60329EDC715121B
SHA1: A2745AA6ADDB38B2B41C52D6273E68514E533035 Данный файл имеет размер 479232 байта и детектируется Антивирусом Касперского как Trojan.Win32.VB.aaen.

%Temp%\1234.exe

MD5: 21AF98290B99AE6810940A22B1741A9B
SHA1: 06D78674771590A620C01E7E1102A239A1E06576 Данный файл имеет размер 2196545 байт и детектируется Антивирусом Касперского как Trojan-Dropper.Win32.Agent.dvyg. Затем троянец запускает извлеченные файлы на выполнение и завершает свою работу.
Файл "KasKeygenRevised.exe", который детектируется как Trojan.Win32.VB.aaen выполняет имитацию генерации ключей для продуктов Лаборатории Касперского, таких как: Kaspersky Anti-Virus 2010, Kaspersky Internet Security 2010, Kaspersky Simple Scan 2010. Основные окна программы имеют следующий вид:

Файл "1234.exe", который детектируется как Trojan-Dropper.Win32.Agent.dvyg выполняет следующие деструктивніе действия: После запуска троянец расшифровывает и извлекает из своего тела во временный каталог текущего пользователя следующие файлы:

%Temp%\instant.exe

MD5: 1061DD99AC8AD010104CF04389CD0A21
SHA1: FB2C35AA9FFBE0A18CA7B2954E76C47BFB3B5CF8 Данный файл имеет размер 1116397 байт и детектируется Антивирусом Касперского как Trojan.MSIL.Agent.aor.

%Temp%\server.exe

MD5: 02833F8FC9F6C06B4EEB71473E9E26E6
SHA1: 7768C1C168C558CA1F4DAEFD82A16ED5166CA246 Данный файл имеет размер 289792 байта и детектируется Антивирусом Касперского как Trojan.Win32.Llac.gfu.
Затем троянец запускает извлеченные файлы на выполнение и завершает свою работу.
Файл "instant.exe", который детектируется как Trojan.MSIL.Agent.aor выполняет следующие деструктивные действия:
Троянец реализует функционал, предотвращающий проявление его деструктивной активности при запуске в следующих виртуальных средах:

VMWare
VirtualPC
VirtualBox
Sandboxie

Троянская программа предназначена для похищения регистрационной информации пользователей следующих программных продуктов:

Splinter Cell Pandora Tomorrow   
Splinter Cell Chaos Theory  
Call of Duty   
Call of Duty United Offensive   
Call of Duty 2   
Call of Duty 4   
COD4 Steam Version   
Call of Duty WAW   
Dawn of War   
Dawn of War - Dark Crusade   
Medieval II Total War   
Adobe Goolive   
Nero 7   
ACDSystems PicAView   
Act of War   
Adobe Photoshop 7   
Advanced PDF Password Recovery   
Advanced PDF Password Recovery Pro   
Advanced ZIP Password Recovery   
Anno 1701   
Ashamopp WinOptimizer Platinum   
AV Voice Changer   
Battlefield(1942)   
Battlefield 1942 Secret Weapons of WWII   
Battlefield 1942 The Road to Rome   
Battlefield 2   
Battlefield(2142)   
Battlefield Vietnam   
Black and White   
Black and White 2   
Boulder Dash Rocks   
Burnout Paradise   
Camtasia Studio 4 
Chrome   
Codec Tweak Tool   
Command and Conquer Generals   
Command and Conquer Generals Zero Hour   
Red Alert 2   
Red Alert   
Command and Conquer Tiberian Sun   
Command and Conquer 3   
Company of Heroes   
Counter-Strike   
Crysis   
PowerDVD   
PowerBar   
CyberLink PowerProducer   
Day of Defeat   
The Battle for Middle-earth II   
The Sims 2   
The Sims 2 University   
The Sims 2 Nightlife   
The Sims 2 Open For Business   
The Sims 2 Pets   
The Sims 2 Seasons   
The Sims 2 Glamour Life Stuff   
The Sims 2 Celebration Stuff   
The Sims 2 H M Fashion Stuff   
The Sims 2 Family Fun Stuff   
DVD Audio Extractor
Empire Earth II   
F.E.A.R   
F-Secure   
FARCRY   
FARCRY 2   
FIFA 2002   
FIFA 2003   
FIFA 2004   
FIFA 2005   
FIFA 07   
FIFA 08   
Freedom Force   
Frontlines Fuel of War Beta   
Frontlines  Fuel of War   
GetRight   
Global Operations   
Gunman   
Half-Life   
Hellgate London   
Hidden & Dangerous 2   
IGI 2 Retail   
InCD Serial   
IG2   
iPod Converter (Registration Code)   
iPod Converter (User Name)   
James Bond 007 Nightfire   
Status Legends of Might and Magic   
Macromedia Flash 7   
Macromedia Fireworks 7   
Macromedia Dreamweaver 7   
Madden NFL 07   
Matrix Screensave   
Medal of Honor  Airborne   
Medal of Honor  Allied Assault   
Medal of Honor  Allied Assault  Breakthrough   
Medal of Honor  Heroes 2   
mIRC   
Nascar Racing 2002   
Nascar Racing 2003   
NHL 2002   
NBA LIVE 2003   
NBA LIVE 2004   
NBA LIVE 07   
NBA Live 08   
Need for Speed Carbon   
Need For Speed Hot Pursuit 2   
Need for Speed Most Wanted   
Need for Speed ProStreet   
Need For Speed Underground   
Need For Speed Underground 2   
Nero - Burning Rom   
Nero 7   
Nero 8   
NHL 2002   
NHL 2003   
NHL 2004   
NHL 2005   
NOX   
Numega SmartCheck   
OnlineTVPlayer 
O&O Defrag 8.0 
Partition Magic 8.0   
Passware Encryption Analyzer 
Passware Windows Key 
PowerDvD   
PowerStrip   
Pro Evolution Soccer 2008   
Rainbow Six III RavenShield   
Shogun Total War Warlord Edition   
Sid(Meier) 's Pirates!   
Sid(Meier) 's Pirates!   
Sim City 4 Deluxe   
Sim City 4   
Sniffer Pro 4.5   
Soldiers Of Anarchy   
Soldiers Of Anarchy   
Stalker - Shadow of Chernobyl   
Star Wars Battlefront II (v1.0)   
Star Wars Battlefront II (v1.1)   
Steganos Internet Anonym VPN   
Splinter Cell Pandora Tomorrow   
Surpreme Commander   
S.W.A.T 2   
S.W.A.T 3   
S.W.A.T 4   
TechSmith SnagIt 
Texas Calculatem 4 
The Battle for Middle-earth   
The Orange Box   
The Orange Box   
TMPGEnc DVD Author   
TuneUp 2007 
TuneUp 2008 
TuneUp 2009 
Winamp 
The Sims 3   
Spore   
Mirrors Edge   
GTA IV   
FIFA 2009   
Pro Evolution Soccer 2009   
FIFA 2008   
Nero 9   
Mirc 
Orange Box   

В данном случае под регистрационной информацией подразумеваются значения параметров с именами:

Name
Serial
Registration Code
User Name
Username
Company
License
Owner
Key
Serial Key

Собранные данные записываются в файл:

%Temp%\TMP.dat

и отправляются на почтовый ящик злоумышленника на сервере "@gmail.com". Для определения IP-адреса зараженного компьютера троянец обращается к сервису:

www.whatismyip.com

В ходе своей работы троянец извлекает из своего тела следующие файлы:

%WorkDir%\System.Data.SQLite.DLL (886272 байта)
%Temp%\melt.tmp (6 байт)

Файл "System.Data.SQLite.DLL" является сборкой библиотеки ADO.NET провайдера для работы с SQLite. В файл "melt.tmp" записывается строка:

melt

Троянец модифицирует файл:

%System%\drivers\etc\hosts

записывая в него следующие сроки:

##Do not touch this file, changing it will cause 
SERIOUS damage to your computer
127.0.0.1 www.rsbot.org/vb/
127.0.0.1 rsbot.org/vb/
127.0.0.1 85.25.184.47
127.0.0.1 www.rsbot.com
127.0.0.1 www.rsbot.com
127.0.0.1 www.rsbot.org
127.0.0.1 www.rsbot.org
127.0.0.1 virustotal.com
127.0.0.1 www.virustotal.com
127.0.0.1 www.virusscan.jotti.org/
127.0.0.1 www.virusscan.jotti.org/en
127.0.0.1 www.virusscan.jotti.org/en
127.0.0.1 www.rsbots.net
127.0.0.1 rsbots.net
127.0.0.1 www.RSbots.net
127.0.0.1 www.AutoFighter.org
127.0.0.1 www.RSBotting.com
127.0.0.1 www.RSTrainers.com
127.0.0.1 www.CodeSpace.net
127.0.0.1 www.RsAutoCheats.com
127.0.0.1 www.XxBots.net
127.0.0.1 www.AutoFarmer.org
127.0.0.1 www.kMiner.org 

Таким образом, доступ к указанным ресурсам блокируется. Файл "server.exe", который детектируется как Trojan.Win32.Llac.gfu выполняет следующие деструктивные действия:

Инсталляция:

После запуска троянец создает копию своего файла в системном каталоге Windows c именем

%System%\install\server.exe

Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
"Policies" = "%System%\install\server.exe"

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"HKLM" = "%System%\install\server.exe"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
"Policies" = "%System%\install\server.exe"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"HKCU" = "%System%\install\server.exe"

[HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\
{VOC6T861-UAYF-N871-Y74N-64IK6MMG1C83}]
"StubPath" =  "%System%\install\server.exe Restart"

Деструктивная активность:

При выполнении какого-либо из следующих условий троянец завершает свое выполнение:

1. При обнаружении в своем адресном пространстве следующих библиотек:

   dbghelp.dll
   sbiedll.dll

2. При запуске троянца на виртуальной машине компании Vmware;
3. При наличии процесса:

   VBoxService.exe

   таким образом троянец препятствует запуску своего тела на виртуальной машине компании Oracle Corporation;
4. Имя пользователя компьютера было:

   CurrentUser

5. Значение параметра ключа системного реестра

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
"ProductId" = 

было одним из следующих:

76487-337-8429955-22614
76487-644-3177037-23510
55274-640-2673064-23950

Помимо этого троянец использует различные антиотладочные приемы. Во время выполнения создает уникальные идентификаторы с именами:

_x_X_UPDATE_X_x_
_x_X_PASSWORDLIST_X_x_
_x_X_BLOCKMOUSE_X_x_
0BP3RCBQG7BM1V
0BP3RCBQG7BM1V_PERSIST

Создает файл во временном каталоге текущего пользователя Windows:

%Temp%\XX—XX--XX.txt — 227744 байта

Данный файл содержит в зашифрованном виде файл конфигурации для работы троянца, а также исполняемый файл, который внедряет в адресное пространство процесса:

explorer.exe

Троянец запускает процесс браузера, используемого на компьютере пользователя по умолчанию. Данные о браузере получает из ключа реестра:

[HKCR\http\shell\open\command]

В процесс браузера также внедряет вредоносный код. Внедряемый в адресное пространство процессов файл предназначен для восстановления вредоносного файла троянца, а также для выполнения команд, получаемых с сервера злоумышленника:

dc-hac***o-ip.info:3737

Злоумышленник может получать следующую информацию с компьютера пользователя:

• Список файлов на компьютере пользователя;
• Список открытых окон;
• Список запущенных процессов;
• Список запущенных служб;
• Данные об оборудовании компьютера пользователя;
• Данные о реестре компьютера пользователя;
• Данные об установленных программах;
• Список открытых портов;
• Имеет функцию просмотра рабочего стола компьютера пользователя;
• Изображение с веб-камеры;
• Звук с микрофона компьютера пользователя;
• Выполнять функцию кейлогера для получения нажимаемых клавиш клавиатуры и мыши;
• Сохраненные пароли браузеров; Помимо этого может отправлять команды для выполнения следующих действий:
• Запуск Socks Proxy и HTTP Proxy серверов;
• Открытие различных страниц в браузере пользователя;
• Загрузка на компьютер пользователя различных файлов и запуск их на исполнение;
• Получение доступа к командной строке;
• Выполнение поиска файлов на компьютере пользователя;
• Получение доступа к буферу обмена;
• Получение доступа к чату при использовании программы Windows Live Messenger;
• Изменение адреса сервера злоумышленника;
• Обновление настроек;
• Перезапуск вредоносного файла;
• Завершение своего выполнения и удаления своих файлов.

Данный вредоносный файл был создан с помощью программы "CyberGate RAT v1.04.8" — утилиты для удаленного администрирования. Сайт разработчиков:

http://website.cybe***-rat.org

Описание работы вируса Worm.Win32. Stuxnet.m

Вредоносная программа, предназначенная для атаки на компьютеры под управлением системы визуализации производственных процессов Siemens WinCC.

Инсталляция

При активации вредоносной программы происходит создание следующих файлов:

%WinDir%\inf\oem6C.PNF

Данный файл имеет размер 323848 байт и детектируется Антивирусом Касперского как Worm.Win32.Stuxnet.a.Crypt.

%WinDir%\inf\oem7A.PNF

Данный файл имеет размер 498176 байт и детектируется Антивирусом Касперского как Worm.Win32.Stuxnet.a.Crypt.

%System%\drivers\mrxcls.sys

Данный файл имеет размер 26616 байт и детектируется Антивирусом Касперского как Rootkit.Win32.Stuxnet.a.

%System%\drivers\mrxnet.sys

Данный файл имеет размер 17400 байт и детектируется Антивирусом Касперского как Rootkit.Win32.Stuxnet.b.

<путь к проекту wincc>\<имя_проекта>\GraCS\cc_alg.sav

Данный файл имеет размер 498176 байт и детектируется Антивирусом Касперского как Worm.Win32.Stuxnet.a.Crypt.

<путь к проекту wincc>\<имя_проекта>\GraCS\cc_tlg7.sav

Данный файл имеет размер 5237 байт и детектируется Антивирусом Касперского как Worm.Win32.Stuxnet.a. Также создаются файлы:

%WinDir%\inf\mdmcpq3.PNF, 4633 байта.
%WinDir%\inf\mdmeric3.PNF, 90 байт.
<путь к проекту wincc>\<имя_проекта>\GraCS\cc_tag.sav,8459 байт
<путь к проекту wincc>\<имя_проекта>\GraCS\db_log.sav, 90 байт

Для автоматического запуска при следующем старте системы вредоносная программа создает следующие службы:

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS]
"NextInstance" = "1"

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS\0000]
"Class" = "LegacyDriver"
"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"ConfigFlags" = "0"
"DeviceDesc" = "MRXCLS"
"Legacy" = "1"
"Service" = "MRxCls"

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS\0000\
Control]
"*NewlyCreated*" = "0"
"ActiveService" = "MRxCls"

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET]
"NextInstance" = "1"

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET\0000]
"Class" = "LegacyDriver"
"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"ConfigFlags" = "0"
"DeviceDesc" = "MRXNET"
"Legacy" = REG_DWORD, 1
"Service" = "MRxNet"

[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET\0000\
Control]
*NewlyCreated* = "0"
"ActiveService" = "MRxNet"

[HKLM\SYSTEM\CurrentControlSet\Services\MRxCls]
"Data" = " ...m}.....$z...#......Q.*..j..O..i|..;...u...3H...../
...!..uh....{...rG.......2...86kI..o...J...K....AK...$...7.B..j.....
<.c.>`......7..W....kA.m.9q......}...pF.$...-.`r.....4RK}
_._5..>x....Z.0ZV......../...+?IA....qgi..iw)w.....]&.Z\,F.
.(..K..:<....!.O.n...........S...1.8{7....,.L.3....h1- .Pd{9....
..l*...%C..(.'s.E..S.......(..Z......%...LHf.Y@..0....v.....J.."
"Description" = REG_SZ, "MRXCLS"
"DisplayName" = "MRXCLS"
"ErrorControl" = "0"
"Group" = "Network"
"ImagePath" =  "\??\C:\WINDOWS\system32\Drivers\mrxcls.sys"
"Start" = "1"
"Type" = "1"

[HKLM\SYSTEM\CurrentControlSet\Services\MRxCls\Enum]
"0| ="Root\LEGACY_MRXCLS\0000"
"Count" = "1"
"NextInstance" = "1"

[HKLM\SYSTEM\CurrentControlSet\Services\MRxNet]
"Description" = "MRXNET"
"DisplayName" = "MRXNET"
"ErrorControl" = "0"
"Group" = "Network"
"ImagePath" = "\??\C:\WINDOWS\system32\Drivers\mrxnet.sys"
"Start" = "1"
"Type" = "1"

[HKLM\SYSTEM\CurrentControlSet\Services\MRxNet\Enum]
"0" = "Root\LEGACY_MRXNET\0000"
"Count" = "1"
"NextInstance" = "1"

Распространение

Вредоносная программа распространяется с помощью сменных USB носителей, используя уязвимость CVE-2010-2568 в LNK/PIF-файлах. Для этого вредоносный код, работающий в процессе services.exe мониторит подключение новых USB накопителей в системе и в случае обнаружения подключения создает в корневой папке накопителя следующие файлы:

~wtr4132.tmp

Данный файл имеет размер 513536 байт и детектируется Антивирусом Касперского как Worm.Win32.Stuxnet.m.

~wtr4141.tmp

Данный файл имеет размер 25720 байт и детектируется Антивирусом Касперского как Worm.Win32.Stuxnet.b. Эти файлы являются динамическими библиотеками, которые загружаются в результате срабатывания уязвимости и инсталлируют вредоносную программу в систему. Вместе с этими файлами в корень заражаемого диска помещаются файлы ярлыков с уязвимостью:

"Copy of Shortcut to.lnk" 
"Copy of Copy of Shortcut to.lnk" 
"Copy of Copy of Copy of Shortcut to.lnk" 
"Copy of Copy of Copy of Copy of Shortcut to.lnk"

Файлы имеют размер 4171 байт и детектируются, как Trojan.WinLnk.Agent.i. Уязвимость срабатывает, когда пользователь делает попытку просмотреть содержимое корня сменного носителя файловым менеджером, с включенным отображением значков файлов. После срабатывания уязвимости активируется руткит, который мгновенно скрывает вредоносные файлы. Вредонос использует уязвимость в службе Диспетчер печати (Print Spooler) Windows (MS10-061), которая позволяет выполнять произвольный код на целевой системе.
Заражению подвержены компьютеры, использующие принтер и предоставляющие к нему общий доступ. При этом на атакуемую машину происходит загрузка следующих файлов:

%System%\winsta.exe

Данный файл имеет размер 521728 байт и детектируется Антивирусом Касперского, как Worm.Win32.Stuxnet.e.

%System%\wbem\mof\good\sysnullevnt.mof

Данный файл имеет размер 1594 байта, содержит скомпилированный mof-скрипт, для запуска файла "winsta.exe" Также для распространения по сети вредонос использует уязвимость в службе сервера (MS08-067), и уязвимость в Task Scheduler, позволяющая повысить локальные привилегии.

Деструктивная активность

С помощью драйвера:

%System%\drivers\mrxnet.sys

Руткит подключается как драйвер-фильтр к следующим устройствам файловых систем:

\FileSystem\ntfs
\FileSystem\fastfat
\FileSystem\cdfs

и таким образом получает контроль над файловой системой зараженного компьютера. Руткит скрывает файлы, имеющие имена вида:

~WTR<rnd>.tmp

Где <rnd> - случайное четырехзначное число, например:

~WTR4132.tmp
~WTR4141.tmp

Также скрываются файлы имеющие расширение LNK и размер файла равный 4171 байт. Файл руткита подписан цифровой подписью Realtek Semiconductor Corp Содержит строку:

b:\myrtus\src\objfre_w2k_x86\i386\guava.pdb

При помощи драйвера:

%System%\drivers\mrxcls.sys

Вредоносная программа внедряет вредоносный код(inject) в процессы пользовательского режима. Для этого загружает динамическую библиотеку DLL в следующие системные процессы:

svchost.exe
services.exe
lsass.exe

после чего в их списке модулей появляются библиотеки с именами вида:

kernel32.dll.aslr.<rnd>
shell32.dll.aslr.<rnd>

Где <rnd> - случайное шестнадцатеричное число. Внедряемый код находится в файле:

%WinDir%\inf\oem7A.PNF

в зашифрованном виде. Внедряемый код содержит основной функционал данной вредоносной программы. Который включает:

• Распространение на сменных носителях.
• Мониторинг за работой системы Siemens Step7. Для этого драйвер руткита внедряет в процесс s7tgtopx.exe свою библиотеку-посредник, вместо оригинальной s7otbxsx.dll, которая эмулирует работу следующих API-функций:

  s7_event
  s7ag_bub_cycl_read_create
  s7ag_bub_read_var
  s7ag_bub_write_var
  s7ag_link_in
  s7ag_read_szl
  s7ag_test
  s7blk_delete
  s7blk_findfirst
  s7blk_findnext
  s7blk_read
  s7blk_write
  s7db_close
  s7db_open
  s7ag_bub_read_var_seg
  s7ag_bub_write_var_seg

  собирая различные данные о работе системы.
• Выполнение SQL запросов. Вредонос получает список компьютеров в локальной сети и проверяет запущен ли на каком-либо из них Microsoft SQL сервер, который обслуживает систему визуализации производственных процессов Siemens WinCC. Если сервер обнаружен, вредонос пытается подключиться к базе данных, используя имя пользователя и пароль WinCCConnect/2WSXcder (CVE-2010-2772) после чего пытается получить данные таблиц, таких как:

  MCPTPROJECT
  MCPTVARIABLEDESC
  MCPVREADVARPERCON

• Собирает информацию из файлов со следующими расширениями:

  *.S7P
  *.MCP
  *.LDF

  Которые созданы при помощи системы Siemens Step7. Поиск файлов ведется на всем жестком диске компьютера.
• Отправляет собранные данные в интернет на сервера злоумышленников в зашифрованном виде.

Доктор Веб: Вирусные угрозы в феврале 2011 года

В феврале 2011 года сохранили свою актуальность основные тенденции прошлых месяцев. Значительную долю вирусного трафика составляют блокировщики Windows и трояны, осуществляющие кражу паролей к учетным записям систем дистанционного банковского обслуживания.Причем последние работают в тандеме с фальшивыми антивирусами.

Блокировщики Windows
Концепция троянцев-вымогателей, блокирующих работу компьютера, оказалась весьма живучей. В ходе развития данной идеи вирусописатели перепробовали несколько способов перечисления денег и ряд технологических решений, иногда довольно неожиданных, вплоть до блокировки ОС из загрузочной записи.
В феврале 2011 года появилось несколько новых разновидностей Trojan.Winlock, отличающихся внешним видом блокирующего окна. Кроме того, блокировщики стали использовать новые приемы, затрудняющие анализ, а также достаточно сложные крипторы — программы для шифрования и «запутывания» готовых исполняемых файлов. Один из таких крипторов, популярных среди разработчиков Trojan.Winlock, размещает в исполняемом файле характерную иконку, позволяющую отличить такой файл визуально:
Простота реализации и эффективность этой схемы вымогательства позволяют с уверенностью утверждать, что распространение блокировщиков в обозримом будущем не прекратится. Наоборот, вероятно появление все более изощренных вариантов данного вида мошенничества.

Шифровальщики
Другая разновидность так называемых ransomware (программ-вымогателей) — шифровальщики — также напомнила о себе в феврале. Автор Trojan.Encoder несколько раз менял алгоритм шифрования, но в целом количественные показатели данного вида вредоносных программ остались на прежнем уровне. Коллектив «Доктор Веб» обеспечивает своевременную разработку и поддержку утилит — расшифровщиков данных, зашифрованных троянцами семейства Trojan.Encoder.

Воровство банковских аккаунтов
В десятке вредоносных лидеров февраля 2011 года оказалось сразу несколько программ для кражи денежных средств с банковских счетов, аналогичных нашумевшему троянцу Trojan.PWS.Panda, известному также как Zeus. Все они являются модификациями одного и того же вирусного прототипа. В теле троянца зашит внушительный список URL систем дистанционного банковского обслуживания. Среди них — русские, итальянские, американские, немецкие:
* libertyreserve.com
* perfectmoney.com
* laiki.com
* bankofcyprus.com
* commbank.com.au
* suncorpbank.com.au
* stgeorge.com.au
* online.westpac.com.au
* anz.com
* sparkasse.de
* commerzbanking.de
* finanzportal.fiducia.de
* deutsche-bank.de
* targobank.de
* postbank.de
* csebo.it
* poste.it
* gruppocarige.it
* cedacri.it
* payment.ru
* ibank.alfabank.ru
* chase.com
* capitalone.com
Некоторые из троянцев этого семейства определяются антивирусом Dr.Web как Trojan.DownLoader2. В качестве дополнительной «нагрузки» троянцы имеют функции «лоадеров» и скачивают поддельные антивирусы (Trojan.FakeAlert), а также программы скрытого удаленного администрирования (BackDoor).

Мобильные платформы
В сравнении с январем значительно увеличилось количество троянцев для платформы Android. Android.SmsSend написаны на Java, их единственной функцией является отправка платных СМС-сообщений на короткие номера, например 6008.
В январе был обнаружен один образец такого вредоносного ПО, в феврале — уже шесть, что позволяет говорить о тенденции, и появление более сложных и опасных троянских программ под эту платформу — дело ближайшего будущего.

Прочие угрозы
Среди прочих угроз можно отметить новые модификации Win32.Virut и традиционно высокие показатели трафика различных модификаций почтовых червей Win32.HLLM.NetSky и Win32.HLLM.MyDoom.
Разработчики ботнета Trojan.WinSpy в течение февраля дважды обновляли компоненты своих ботов. В основном это коснулось алгоритмов шифрования и структуры файла sfcfiles.dll.
Отмечен спад активности червей, распространяющихся через сменные носители (Win32.HLLW.Autorunner).

Источник

За созданием червя Stuxnet стоят США

Немецкий эксперт по компьютерной безопасности заявил в четверг, что по его мнению, вредоносного червя Stuxnet в иранскую ядерную программу запустили Соединенные Штаты и израильский Моссад.

«Я считаю, что к этому причастен Моссад», - заявил Ральф Лангнер (Ralph Langner) во время обсуждения его глубокого анализа кода Stuxnet на престижной конференции TED, состоявшейся в городе Лонг-Бич в Южной Калифорнии.

«Но главный источник это не Израиль… Есть лишь один главный источник, и это Соединенные Штаты».

Широкое распространение получили слухи о том, что за червем Stuxnet, атаковавшим компьютеры в Иране, стоит Израиль. А Тегеран обвинил Тель-Авив и США в том, что они убили в ноябре и январе двух его ученых-ядерщиков.

«Идея создания компьютерного червя Stuxnet на самом деле весьма проста, - заявил Лангнер. – Мы не хотим, чтобы Иран получил атомную бомбу».

По словам Лангнера, этот вредоносный код тайно проник в компьютеры на иранском атомном предприятии и взял под свой контроль управление электронными приборами и роторами.

«Его создали люди, которые могли иметь доступ к секретной информации о программе, - объяснил он. – Возможно, они даже знали размер обуви оператора».

Stuxnet проникает в системы компьютерного управления, производимые немецким промышленным гигантом Siemens. Эти системы обычно используются для управления подачей воды, нефтяными вышками, электростанциями и прочими важными объектами инфраструктуры.

«Идея здесь состоит в том, чтобы обмануть и обойти системы цифровых данных, сделав это так, чтобы оператор не смог быстро добраться до этого кода», - сказал Лангнер.

«Когда подвергаются опасности цифровые системы безопасности, могут произойти очень страшные вещи – скажем, может взорваться ваш завод».

В большинстве случаев червя Stuxnet обнаруживали в Иране, и это вызвало предположения о том, что данный вредоносный код предназначен для проведения диверсий на иранских ядерных объектах. Червь создан таким образом, что он распознает ту систему, которую должен атаковать.

В январе на страницах New York Times появилось сообщение о том, что разведслужбы США и Израиля совместно разработали этот компьютерный код, дабы помешать усилиям Ирана по созданию атомной бомбы.

Москва в январе потребовала от НАТО провести расследование в отношении этого компьютерного червя, который проник в системы построенной Россией иранской атомной электростанции. Она заявила, что данный инцидент может спровоцировать новый Чернобыль.

Российский представитель в НАТО заявил в январе, что из-за кода Stuxnet производящие на Бушерской АЭС обогащенный уран центрифуги вышли из-под контроля, и что это могло вызвать новую «чернобыльскую трагедию» - аварию, произошедшую в 1986 году на Украине.

«Операторы видели на своих экранах, что центрифуги работают нормально, хотя на самом деле, они вышли из-под контроля», - заявил Дмитрий Рогозин журналистам после встречи с представителями блока НАТО, куда входит 28 государств.

Россия помогает Ирану строить в южном городе Бушере атомную электростанцию, которая предназначена для гражданских целей.

По словам Лангнера, код Stuxnet создан таким образом, что вводит в заблуждение операторов, показывая им записанные данные приборов, говорящие о том, что оборудование работает нормально. На самом деле, это оборудование выходит из-под контроля и идет к саморазрушению.

«Определенно, это откровенная диверсия, - сказал Лангнер по поводу Stuxnet. – Это как в кино, когда во время ограбления камеры безопасности крутят заранее сделанную запись, которая показывает, что все в порядке».

Представитель Ирана в МАГАТЭ опроверг предположения о том, что атака Stuxnet негативно повлияла на ядерную программу страны, в том числе, на Бушерскую АЭС.

По словам Лангнера, самое ужасное в коде Stuxnet то, что его атаки многофункциональны, и что он прекрасно работает на заводах, электростанциях и на других объектах подобного рода, которых очень много в США.

«Это кибернетическое оружие массового уничтожения, - сказал Лангнер, - и нам лучше прямо сейчас начать готовиться к его отражению».

Источник

56 вредоносных приложений неделю раздавались на Android Market

В Android Market обнаружено по крайней мере 56 вредоносных приложений, которые успели загрузить на свои смартфоны десятки тысяч пользователей.

Как сообщается, реальные масштабы инцидента ещё только предстоит выяснить, но уже сейчас вырисовывается некая картина происшедшего.

По крайней мере часть вредоносных приложений появилась в Android Market около недели назад. Об этом свидетельствует разработчик популярного Android-приложения Guitar : Solo Lite, некто Coding Caveman.

Дело в том, что все эти вредоносные приложения фактически являются клонами настоящих популярных приложений, в которые внедрён особый код. В Guitar : Solo Lite ведётся сбор отчётов о падениях программы, соответственно и вредоносный клон этого приложения также присылал отчеты, что и привлекло внимание разработчика. Он быстро понял, что происходит, и попытался связаться с представителями Google.

Это было ещё неделю назад. Ни один из способов, которые перепробовал Coding Caveman для получения хоть какой-то реакции Google, не сработал.

Затем эту проблему заметил один из членов сообщества Reddit. Он обнаружил сразу 21 приложение, которые были выложены на Android Market неким издателем Myournet и являлись при этом копиями существующих популярных приложений. Выборочная проверка показала, что копии содержат троянскую программу.

Также сообщается, что калифорнийская компания Lookout, специализирующаяся на безопасности мобильных устройств, сумела обнаружить ещё двух издателей, выложивших аналогичные вредоносные приложения на Android Market. Общее число таких приложений достигло 56.

Публикация в Reddit привлекла внимание многих, на Google через свои каналы вышли как Reddit, так и другие СМИ и компании, так что специалисты Google сразу занялись решением проблемы.

К настоящему моменту все эти приложения уже удалены из онлайн-магазина. Известно также, что специалисты Google при поддержке ряда сторонних экспертов внимательно изучают данный инцидент. Планируется или уже началось дистанционное удаление вредоносных приложений, которые беспечные пользователи успели загрузить за время их присуствия в Android Market.

Источник

Sophos обнаружила троян для Mac OS X

Антивирусная компания Sophos в субботу сообщила об обнаружении нового опасного троянского программного обеспечения под операционную систему Mac OS X.

Новый код называется BlackHole RAT (Remote Access Trojan) и сейчас его достаточно легко найти на многих хакерских форумах. Честер Висниевски, антивирусный специалист компании Sophos, говорит, что на YouTube был в субботу размещен ролик, демонстрирующий работу данного трояна ( http://www.youtube.com/watch?v=bGaQXOuMRaY&feature=related )

В Sophos говорят, что в их компании не видели данного троянского программного обеспечения в действии, хотя судя по демонстрации, разработка в значительной степени является концептуальной и показывает общий вектор направления развития возможных атак. Также в компании говорят, что его довольно легко можно адаптировать для "тихой" установки в Mac и последующей кражи данных.

Технически говоря, BlackHole - это вариант Windows-трояна darkComet, но судя по коду, он был написан другим разработчиком. darkComet сейчас доступен в исходных кодах, поэтому велика вероятность того, что Mac-троян просто позаимствовал логику и некоторые аспекты работы первоначального трояна.

Описание работы вредоносной программы AdWare.Win32. Agent.qgf

Программа показа рекламы, написана на Visual C++. Программа является динамической библиотекой Windows (PE DLL-файл). Имеет размер 598016 байт.

Инсталляция

Приложение копирует свои исполняемые файлы со следующими именами:

%Program Files%\Wyeke\wyeke.dll
%Program Files%\Wyeke\uninstall.exe
%Program Files%\Wyeke\wyeke.exe
%Documents and Settings%\All Users\Application Data\
Wyeke\wyeke127.exe

Для автозапуска при каждой загрузки ОС создает службу со следующими параметрами: Имя службы:

Wyeke Service

Название:

Wyeke Service

Описание:

Update and control for Wyeke

Файл:

"%Documents and Settings%\All Users\Application 
Data\Wyeke\wyeke127.exe" "wyeke.dll" Service

Устанавливает элемент поиска "Wyeke" в панели инструментов таких браузеров как MS Internet Explorer и Mozilla Firefox.

Для установки кнопки поисковика в MS Internet Explorer – создает в системном реестре следующий ключ:

[HKLM\Software\Microsoft\Internet Explorer\Extensions\
{E62B896C-824D-4C5B-B8E6-7F0A14CCB9FD}]
"Default Visible"="Yes"
"ButtonText"="Go to Wyeke"
"HotIcon"="%WinDir%\Temp\<rnd>.tmp\tbb.ico"
"Icon"="%WinDir%\Temp\<rnd>.tmp\tbb.ico"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Script"="%WinDir%\Temp\<rnd>.tmp\home.js"

где rnd – случайное имя временного каталога. При инсталляции плагина в браузер Mozilla Firefox - создает следующие файлы:

%Program Files%\Mozilla Firefox\extensions\
{4CFC8387-5FB1-47C1-8AA4-5B7B906A591E}\chrome\wyeke.jar
%Program Files%\Mozilla Firefox\extensions\
{4CFC8387-5FB1-47C1-8AA4-5B7B906A591E}\defaults\preferences\prefs.js
%Program Files%\Mozilla Firefox\extensions\
{4CFC8387-5FB1-47C1-8AA4-5B7B906A591E}\install.rdf
%Program Files%\Mozilla Firefox\extensions\
{4CFC8387-5FB1-47C1-8AA4-5B7B906A591E}\chrome.manifest

Деструктивная активность

Библиотека "wyeke.dll" содержит в себе зашифрованную библиотеку "nncore.dll", после расшифровки которой – выполняет ее функционал. Библиотека экспортирует следующие функции:

Command()
Init()
Install()
Main()
Opt()
Proc()
Service()
Uninstall()

После активации приложение повышает привилегии для своего процесса. Также пытается запретить любой доступ к информации процесса. Для контроля уникальности своего процесса в системе троянец создает глобальные уникальные идентификаторы с именами"91auo+#>>> Добавляет следующую информацию в системный реестр:

[HKEY_LOCAL_MACHINE\SOFTWARE\Wyeke]
"Primary"=dword:0000a9fd
"DllPath"="%Program Files%\Wyeke\wyeke.dll"
"Version"=dword:0001005f
"Cid"="3fb86536b44a4d68b4e012aae8758386"
"Partner"="WYEKE127"
"Src"="wyeke"
"ShowToolbarButton"=dword:00000000
"ShowBarSign"=dword:00000000
"UpdateTimeH"=dword:01cbbe92
"UpdateTimeL"=dword:e73555ec
"FXInstalled"=dword:00000001

[HKCU\Software\Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders]
"Local AppData"="%Documents and Setting%\%Current 
User%\Local Settings\Application Data"

В параметрах ключа реестра приложение сохраняет свои настройки, такие как:

• информацию о своих установленных плагинах в браузерах;
• время обновления;
• расположение своих системных файлов;
• номер версии.

Также устанавливает системные перехватчики, при помощи которых перехватывает ввод с клавиатуры в адресной строке браузера. После чего перенаправляет поисковый запрос на свой ресурс:

http://www.w***ke.com

Приложение загружает и устанавливает свою обновленную версию без уведомления пользователя. Загрузка производится со следующего домена:

upgrade.w***ke.com

ESET зафиксировала высокую активность вредоносного ПО в Facebook

Москва, 21 февраля 2011 г. Компания ESET, международный разработчик антивирусного ПО и решений в области компьютерной безопасности, сообщает о том, что зафиксировала высокую активность кибер-угроз, нацеленных на пользователей социальной сети Facebook.
В силу своей популярности социальные сети сегодня стали одним из основных источников распространения вредоносного программного обеспечения. При этом ежедневно сотни тысяч пользователей подобных ресурсов подвергаются различным атакам со стороны злоумышленников. Facebook - самая популярная и многочисленная социальная сеть, аудитория которой составляет на сегодняшний день более 600 миллионов пользователей, что, естественно, способствует развитию киберпреступности в рамках данного ресурса.
В середине февраля специалисты аналитического центра кибер-угроз ESET в Сан-Диего (ESET Cyber Threat Analysis Center) провели исследование активности вредоносного ПО в социальной сети Facebook. При этом вирусные аналитики ESET обнаружили большое количество злонамеренных программ, распространяющихся в рамках данного ресурса. Самыми распространенными угрозами в списке выявленного вредоносного ПО оказались Win32/Yimfoca.AA и Win32/Fbphotofake. Уже на протяжении нескольких недель эти черви возглавляют рейтинги угроз в Австрии, Италии, Чехии и Словакии.
Программа Win32/Yimfoca.AA опасна тем, что при заражении компьютера злоумышленники получают полный удаленный контроль над системой, через реализованный функционал бэкдора (backdoor). Также Win32/Yimfoca.AA может загружать и запускать другое вредоносное ПО, в том числе фальшивые антивирусы. Для своего распространения червь использует чат в сети Facebook. Также данная угроза проникает в компьютеры с помощью сторонних программ-месенджеров (Skype, MSN, Yahoo Messenger и другие), предоставляющих возможность пользователям Facebook обмениваться мгновенными текстовыми сообщениями.
Червь Win32/Fbphotofake использует технологии социальной инженерии, распространяясь с помощью сообщений от уже зараженных друзей из списка контактов в Facebook. Сразу после заражения компьютера Win32/Fbphotofake получает контроль над учетной записью пользователя в Facebook и начинает рассылать спам-сообщения по всей его адресной книге в социальной сети.
«Атаки с использованием социальной инженерии являются одними из самых опасных угроз, - отмечает Александр Матросов, директор Центра вирусных исследований и аналитики компании ESET. – Это связано с тем, что принятие решений относительно действий, которые злоумышленники предлагают выполнить пользователю или провоцируют его на них, полностью ложатся на его плечи. И порой подобный подход к распространению вредоносных программ оказывается весьма успешным. При этом любая из известных социальных сетей привлекает злоумышленников достаточно широкой аудиторией, что мотивирует их на постоянный поиск различных механизмов распространения вредоносных программ внутри таких ресурсов. Поэтому количество угроз для пользователей социальных сетей с каждым годом только возрастает, а усложнение функционала самих сервисов способствует возможности появления новых уязвимостей, которыми непременно воспользуются киберпреступники».
В связи с увеличением активности атак, нацеленных на пользователей социальных сетей, компания ESET рекомендует пользователям быть предельно осторожными, не открывать подозрительные вложения и письма от неизвестных авторов, а также не переходить по сомнительным ссылкам, даже если их присылают друзья. При просьбе установить приложение со стороны кого-нибудь из списка контактов, желательно проверить данное ПО антивирусом, а лучше не устанавливать подозрительную программу вовсе.

Вредоносные программы остаются опасными даже для защищенных компьютеров

Многие пользователи по-прежнему инфицированы компьютерными вредоносными программами – несмотря на тот факт, что большинство из них используют компьютеры, защищенные антивирусами.

Исследование, проведенное статической службой Европейского союза EUROSTAT, показало, что треть компьютерных пользователей (31%) имеет инфицированные компьютеры, несмотря на то, что большинство (84%) используют программы для обеспечения безопасности (антивирус, антиспам, брандмауэр) на своих компьютерах. Из опрошенных, 3% сообщили о финансовых потерях в результате фарминг- или фишинг-атак, в то время как еще 4% отметили нарушение права на неприкосновенность частной жизни.

Болгария (58%) и Мальта (50%) находятся на вершине списка самых инфицированных пользователей. В сравнении с ними Финляндия (20%), Ирландия (15%) и Австрия (14%) поживают относительно хорошо.

Трояны (59.2%) были самой распространенной инфекцией, обнаруженной на взломанных компьютерах, затем шли вирусы (11.7%).

Отдельное исследование фирмы по производству антивирусов Panda, данные которого также опубликованы на этой неделе, отражает подобную ситуацию. Половина (50%) компьютеров, просканированных Panda в январе, содержали вредоносные программы. Также как в исследовании Европейского сообщества, трояны были отмечены как основная угроза – составляя 59.2% всех проблем. Компьютеры в Таиланде, Китае, Тайване, России и Турции оказались под наибольшим воздействием инфекций. Показатели Panda были собраны у пользователей при помощи программы Active Scan.

Panda опубликовала данные своего исследования с целью иллюстрации своей давнишней идеи о том, что применение облачных архитектур необходимо, чтобы использовать все шансы сдержать растущее количество вредоносных программ и мошенников.

Энтузиасты запустили новый сервис по отслеживанию червя Palevo

Швейцарские активисты, занимающиеся мониторингом ботнетов ZeuS, а с недавних пор и SpyEye, запустили сервис Palevo Tracker. Новый ресурс предоставляет открытый доступ к актуальной статистике и призван привлечь внимание интернет-общественности к растущей угрозе.

Червь-полиморфик Palevo (P2P-Worm.Win32.Palevo) приобрел печальную известность в конце 2009 года, когда был обезоружен гигантский ботнет Mariposa (по-испански «бабочка»), составленный на его основе. После этого события интерес СМИ к зловреду постепенно угас, хотя сам он успешно продолжает завоевывать место под солнцем, имея для этого все предпосылки. Напомним, что Palevo наделен функционалом бэкдора и распространяется через р2р-сети, USB-накопители и системы мгновенного обмена сообщениями. Он может долго оставаться незамеченным: постоянно обновляется, шифрует данные, отсылаемые в центр управления, и использует UDP-протокол.

Эффективный функционал и высокая скорость распространения давно снискали Palevo популярность в криминальных кругах. Если также учесть, что червь доступен на черном рынке в составе готового комплекта для построения ботнетов, становится понятным, почему в минувшем году он был обнаружен на миллионах ПК. (В рейтинге ЛК за прошлый год Palevo занял 10-е место по числу локальных заражений.) В настоящее время, по данным Palevo Tracker, общее количество C&C серверов бота-«бабочки» приблизилось к 80, и большинство из них активны. В России они нашли приют в сетях ОАО «Вебальта» (AS 41947).

Описание работы вируса Trojan-Banker.Win32. Qhost.rv

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (RAR SFX-файл). Имеет размер 93463 байта. Написана на C++.

Деструктивная активность

После запуска троянец извлекает из своего тела файл, которым переписывает оригинальный файл "hosts"

%System%\drivers\etc\hosts

Данный файл имеет размер 2324 байта и детектируется Антивирусом Касперского как Trojan-Banker.Win32.Qhost.rv. Извлеченный файл содержит следующие строки:

# Copyright (c) 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
#      102.54.94.97     rhino.acme.com          # source server
#       38.25.63.10     x.acme.com              # x client host

# localhost name resolution is handled within DNS itself.
#       127.0.0.1       localhost
#       ::1             localhost


74.***.60  santander.cl
74.***.60  www.santander.cl
74.***.60  www.bancosantander.cl
74.***.60  bancosantander.cl
74.***.60  www.banefe.cl
74.***.60  banefe.cl
74.***.60  www.santandersantiago.cl
74.***.60  santandersantiago.cl
74.***.60  bbva.cl
74.***.60  www.bbva.cl
74.***.60  bbvanet.cl
74.***.60  www.bbvanet.cl

Измененный файл "hosts" позволяет злоумышленнику перенаправлять обращения по указанным URL адресам, на заданный IP адрес.

Описание работы вируса Trojan-Clicker.HTML. IFrame.ait

Троянская программа, открывающая в браузере различные веб-страницы без ведома пользователя. Является HTML-страницей. Имеет размер 16281 байт.

Деструктивная активность

Зараженная страница содержит скрытый фрейм, в котором отрывается следующая ссылка:

http://jL.c***a.pl/rc/

Заражение Web-страниц скорее всего происходит путем дописывания кода данного троянца другой вредоносной программой в конец всех найденных на сервере файлов.