7 апреля 2015 года

Специалисты компании «Доктор Веб» исследовали образец новой вредоносной программы, способной выполнять поступающие от злоумышленников команды и похищать различную информацию на инфицированных устройствах. Примечательно, что данный троянец распространялся киберпреступниками в ходе таргетированной атаки, направленной на один из крупных российских концернов, в состав которого входят многочисленные предприятия преимущественно оборонного профиля.

Троянец-бэкдор, получивший наименование BackDoor.Hser.1, распространялся с помощью целевой почтовой рассылки на личные и служебные электронные адреса сотрудников более десяти предприятий, входящих в состав известного российского концерна, причем все эти предприятия имеют оборонный профиль или обслуживают интересы военно-промышленного комплекса. Письмо было отправлено якобы от имени сотрудника головной организации холдинга и имело заголовок «Дополнение к срочному поручению от 30.03.15 № УТ-103». В тексте сообщения получателю предлагалось ознакомиться с номенклатурой некоего оборудования, а во вложении злоумышленники разместили файл табличного редактора Microsoft Excel с именем Копия оборудование 2015.xls.

Вложенный в сообщение файл содержит эксплойт, использующий уязвимость CVE2012-0158 в некоторых версиях табличного редактора Microsoft Excel. При попытке открытия данного файла на атакуемом компьютере запускается процесс excel.exe, в который встраивается дроппер троянца.

Дроппер распаковывает из своего тела бэкдор BackDoor.Hser.1 и сохраняет его на диск под именем npkim.dll в папку C:\Windows\Tasks\, регистрирует данную библиотеку в параметрах автозагрузки Windows и запускает командный интерпретатор cmd.exe для удаления файла процесса, в который он был встроен.

После своего запуска на инфицированном компьютере BackDoor.Hser.1 расшифровывает хранящийся в его теле адрес управляющего сервера и устанавливает с ним соединение. Троянец отправляет в принадлежащий злоумышленникам командный центр информацию об атакованном ПК (IP-адрес компьютера, его имя, версию операционной системы, наличие в сети прокси-сервера), после чего ожидает поступления команд от злоумышленников. Среди прочего, вредоносная программа способна по команде передавать на удаленный сервер список активных процессов на зараженном ПК, загрузить и запустить другое вредоносное приложение, а также открыть командную консоль и выполнить перенаправление ввода-вывода на принадлежащий киберпреступникам сервер, благодаря чему злоумышленники получают возможность дистанционного управления инфицированным компьютером.

Сигнатура троянца BackDoor.Hser.1 добавлена в вирусную базу Dr.Web, и потому эта вредоносная программа более не представляет опасности для пользователей антивирусных продуктов компании «Доктор Веб». Тем не менее, мы снова напоминаем читателям о необходимости установки современного антивирусного ПО и поддержания вирусных баз в актуальном состоянии.

Подробнее о троянце

http://feedproxy.google.com/~r/drweb/viruses/~3/2YC820npyks/

2 апреля 2015 года

Первый месяц весны 2015 года ознаменовался появлением новых вредоносных программ для различных системных платформ. Так, некоторые пользователи Windows стали жертвами многофункционального троянца-бэкдора, добавленного в вирусную базу Dr.Web под именем BackDoor.Yebot. По-прежнему продолжают распространяться троянцы-энкодеры, требующие у пользователей выкуп за расшифровку файлов — так, в марте была зафиксирована массовая почтовая рассылка, с помощью которой злоумышленники распространяли шифровальщика Trojan.Encoder.514. Не угасает интерес вирусописателей и к мобильной платформе Google Android, для которой в течение минувшего месяца появлялись новые вредоносные программы.

Угроза месяца

В марте 2015 года специалисты компании «Доктор Веб» завершили исследование многофункционального троянца-шпиона BackDoor.Yebot. Он распространяется с использованием другой вредоносной программы, добавленной в вирусную базу Dr.Web под именем Trojan.Siggen6.31836. Бэкдор BackDoor.Yebot обладает следующими функциональными возможностями:

• запуск на инфицированном компьютере FTP-сервера;
• запуск на инфицированном компьютере Socks5 прокси-сервера;
• модификация протокола RDP для обеспечения удаленного доступа к инфицированному компьютеру;
• фиксация нажатий пользователем клавиш (кейлоггинг);
• возможность установки обратной связи с инфицированным ПК для FTP, RDP и Socks5, если в сети используется NAT (бэкконнект);
• перехват данных по шаблонам PCRE (Perl Compatible Regular Expressions) — библиотеки, реализующей работу регулярных выражений в среде Perl, для чего троянец перехватывает все возможные функции, связанные с работой в Интернете;
• перехват токенов SCard;
• встраивание в просматриваемые пользователем веб-страницы постороннего содержимого (веб-инжекты);
• расстановка перехватов различных системных функций в зависимости от принятого конфигурационного файла;
• модификация кода запущенного процесса в зависимости от принятого конфигурационного файла;
• взаимодействие с различными функциональными модулями (плагинами);
• создание снимков экрана;
• поиск в инфицированной системе приватных ключей.

Более подробную информацию об этой вредоносной программе, способах ее распространения и методах работы можно получить, ознакомившись с опубликованной на сайте компании «Доктор Веб» информационной статьей.

Троянцы-шифровальщики

В марте активизировались злоумышленники, распространяющие троянцев-шифровальщиков с использованием массовых почтовых рассылок. Так, в минувшем месяце вирусописатели активно рассылали письма с заголовком «Incoming Fax Report» якобы от имени службы по передаче факсов через Интернет. В приложении к письму под видом факсимильного сообщения содержался ZIP-архив, внутри которого располагался вредоносный SCR-файл, детектируемый антивирусным ПО Dr.Web как Trojan.DownLoader11.32458.

При попытке открытия вложения вредоносная программа Trojan.DownLoader11.32458 распаковывает и запускает на атакуемом компьютере троянца-энкодера Trojan.Encoder.514, шифрующего хранящиеся на диске пользовательские файлы и требующего выкуп за их расшифровку. Подробности об этом инциденте рассказаны в опубликованной нами статье.

Количество запросов на расшифровку, поступивших в службу технической поддержки «Доктор Веб»

Февраль 2015	Март 2015	Динамика
1840	2361	+ 28.31%

Наиболее распространенные шифровальщики в марте 2015 года:

• Trojan.Encoder.761;
• Trojan.Encoder.858;
• BAT.Encoder;
• Trojan.Encoder.741;
• Trojan.Encoder.567.

По данным статистики лечащей утилиты Dr.Web CureIt!

• Trojan.Lyrics

  Семейство троянцев, способных демонстрировать на экране назойливую рекламу и открывать в окне браузера веб-сайты сомнительного содержания без ведома пользователя.

• Trojan.BPlug

  Это надстройки (плагины) для популярных браузеров, демонстрирующие назойливую рекламу при просмотре веб-страниц.

• Trojan.Click

  Семейство вредоносных программ, предназначенных для накрутки посещаемости различных интернет-ресурсов путем перенаправления запросов жертвы на определенные сайты с помощью управления поведением браузера.

• Trojan.LoadMoney

  Семейство программ-загрузчиков, генерируемых серверами партнерской программы LoadMoney. Данные приложения загружают и устанавливают на компьютер жертвы различное нежелательное ПО.

• Trojan.Zadved

  Надстройки, предназначенные для подмены в окне браузера результатов выдачи поисковых систем, а также демонстрации поддельных всплывающих сообщений социальных сетей. Кроме того, в их троянский функционал входит замена рекламных сообщений, демонстрируемых на различных сайтах.

• Trojan.Yontoo

  Семейство надстроек для популярных браузеров, назначение которых заключается в демонстрации пользователю рекламы при просмотре веб-страниц.

По данным серверов статистики «Доктор Веб»

• Trojan.LoadMoney

  Семейство программ-загрузчиков, генерируемых серверами партнерской программы LoadMoney. Данные приложения загружают и устанавливают на компьютер жертвы различное нежелательное ПО.

• BAT.Hosts.147

  Вредоносный сценарий, позволяющий изменить содержимое файла hosts, расположенного в системной папке Windows и отвечающего за трансляцию DNS-имен сайтов в их сетевые адреса. В результате при попытке перейти на один из указанных в данном файле сайтов браузер автоматически перенаправляется на специально созданную злоумышленниками веб-страницу.

• Trojan.Ormes.69

  Рекламный троянец, демонстрирующий пользователю назойливую рекламу при просмотре веб-страниц.

• Trojan.Click

  Семейство вредоносных программ, предназначенных для накрутки посещаемости различных интернет-ресурсов путем перенаправления запросов жертвы на определенные сайты с помощью управления поведением браузера.

• BackDoor.IRC.NgrBot.42

  Довольно распространенный троянец, известный специалистам по информационной безопасности еще с 2011 года. Вредоносные программы этого семейства способны выполнять на инфицированном компьютере поступающие от злоумышленников команды, а управление ими киберпреступники осуществляют с использованием протокола обмена текстовыми сообщениями IRC (Internet Relay Chat).

Статистика вредоносных программ в почтовом трафике

• BackDoor.Andromeda

  Семейство троянцев-загрузчиков, предназначенных для скачивания с удаленных серверов злоумышленников и запуска на инфицированном компьютере других вредоносных программ.

• Trojan.Upatre

  Семейство троянцев-загрузчиков, предназначенных для скачивания на инфицированный компьютер и скрытной установки других вредоносных приложений.

• Win32.HLLM.MyDoom

  Давно известное и широко распространенное семейство почтовых червей, способных рассылать себя по каналам электронной почты без участия пользователя, для чего они собирают информацию о почтовых адресах потенциальных жертв непосредственно на инфицированном компьютере.

Ботнеты

Специалисты компании «Доктор Веб» продолжают следить за деятельностью бот-сети, созданной злоумышленниками с использованием файлового вируса Win32.Rmnet.12. Среднесуточная активность двух подсетей этого ботнета показана на следующих диаграммах:

Rmnet — это семейство файловых вирусов, распространяющихся без участия пользователя, способных встраивать в просматриваемые пользователям веб-страницы постороннее содержимое (это теоретически позволяет киберпреступникам получать доступ к банковской информации жертвы), а также красть файлы cookies и пароли от наиболее популярных FTP-клиентов и выполнять различные команды, поступающие от злоумышленников.

Также продолжает свою деятельность бот-сеть, созданная злоумышленниками с использованием файлового вируса Win32.Sector, реализующего следующие функциональные возможности:

• загрузка из P2P-сети и запуск на зараженной машине различных исполняемых файлов;
• встраивание в запущенные на инфицированном компьютере процессы;
• возможность останавливать работу некоторых антивирусных программ и блокировать доступ к сайтам их разработчиков;
• инфицирование файловых объектов на локальных дисках и сменных носителях (где в процессе заражения создает файл автозапуска autorun.inf), а также файлов, хранящиеся в общедоступных сетевых папках.

Среднесуточная активность этого ботнета в марте 2015 года показана на следующей диаграмме:

Также специалисты компании «Доктор Веб» продолжают наблюдать за активностью ботнета Back.Door.Flashback.39:

• BackDoor.Flashback.39

  Троянская программа для Mac OS X, получившая массовое распространение в апреле 2012 года. Заражение осуществлялось с использованием уязвимостей Java. Предназначение троянца — загрузка и запуск на инфицированной машине полезной нагрузки, в качестве которой может выступать любой исполняемый файл, указанный в полученной троянцем от злоумышленников директиве.

По-прежнему проявляет активность Linux-троянец Linux.BackDoor.Gates.5, продолжающий осуществлять DDoS-атаки на различные интернет-ресурсы. В марте 2015 года специалистами «Доктор Веб» было зафиксировано 2236 уникальных IP-адресов, на которые осуществлялись атаки, что почти в два раза больше по сравнению с прошлым месяцем. Большинство из атакованных ресурсов, как и ранее, расположено на территории Китая, на втором месте располагаются США:

Мошеннические и нерекомендуемые сайты

Для защиты пользователей от различных способов мошенничества в Интернете служат компоненты SpiDerGate и Родительский контроль, входящие в комплект поставки Dr.Web Security Space 10.0. Родительский контроль позволяет ограничивать доступ к интернет-сайтам определенной тематики, осуществляет фильтрацию подозрительного контента, а также, используя базы нерекомендуемых ссылок, защищает пользователя от мошеннических, потенциально опасных сайтов, шокирующего контента и ресурсов, замеченных в распространении вредоносного ПО.

В течение марта 2015 года в базу нерекомендуемых и вредоносных сайтов Dr.Web было добавлено 74 108 интернет-адресов.

Февраль 2015	Март 2015	Динамика
22 033	74 108	+ 236.35%

Нерекомендуемые сайты

Вредоносное и нежелательное ПО для Android

Прошедший март оказался весьма неспокойным месяцем для владельцев мобильных Android-устройств: злоумышленники не переставали совершать атаки на пользователей и применяли для этого как известные, так и новые вредоносные программы. Самыми актуальными Android-троянцами в марте стали:

• СМС-троянцы
• Троянцы-вымогатели
• Банкеры

Более подробную информацию о вредоносных программах для мобильной платформы Android читайте в нашем специальном обзоре.

Узнайте больше с Dr.Web

Вирусная статистика Библиотека описаний Все обзоры о вирусах Лаборатория-live

http://feedproxy.google.com/~r/drweb/viruses/~3/a57G74Xiqxw/

2 апреля 2015 года

Количество записей для вредоносных и нежелательных программ под ОС Android в вирусной базе Dr.Web

Февраль 2015	Март 2015	Динамика
6665	7103	+6,57%

«Мобильная» угроза месяца

В прошедшем месяце специалисты компании «Доктор Веб» обнаружили опасного многофункционального троянца Android.Titan.1, предназначенного для незаметной отправки СМС-сообщений, совершения телефонных звонков, а также сбора различной конфиденциальной информации. Особенности данного троянца:

• Может распространяться злоумышленниками через облачные сервисы с использованием нежелательных СМС, содержащих ссылку на загрузку вредоносного приложения.
• После запуска на мобильных устройствах удаляет свой ярлык, скрываясь от пользователей.
• Способен незаметно выполнять телефонные звонки, в том числе когда зараженный смартфон или планшет находится в режиме ожидания с выключенным экраном. При этом во время совершаемого троянцем телефонного разговора экран остается неактивным, в результате чего пользователь не подозревает о нежелательной деятельности зараженного устройства.
• Основной вредоносный функционал реализован в виде отдельной Unix-библиотеки, поэтому некоторые антивирусные приложения могут оказаться не в состоянии обнаружить троянца.

Данная вредоносная программа успешно обнаруживается и нейтрализуется антивирусными продуктами Dr.Web для Android. Подробнее о троянце рассказано в соответствующей публикации на сайте компании.

СМС-троянцы

Одними из наиболее активных вредоносных Android-программ по-прежнему остаются различные СМС-троянцы. В марте самыми заметными из них стали представители семейства Android.Bodkel, часть которых распространялась вирусописателями при помощи популярной в России социальной сети. Злоумышленники создали в ней несколько мошеннических сообществ, посвященных пиратским или якобы бесплатным версиям платного ПО для ОС Android, и предлагали потенциальным жертвам посетить ряд сомнительных веб-сайтов для загрузки подобных программ.

После установки на устройства пользователей эти вредоносные приложения по команде злоумышленников могли незаметно отправлять дорогостоящие СМС-сообщения, автоматически подписывать абонентов на платные услуги, обходя защитный сервис captcha, а также выполнять широкий спектр других опасных действий. Некоторые троянцы семейства Android.Bodkel, использованные в данной атаке:

• Android.Bodkel.123
• Android.Bodkel.162
• Android.Bodkel.166
• Android.Bodkel.167

Число записей для СМС-троянцев Android.Bodkel в вирусной базе Dr.Web:

Февраль 2015	Март 2015	Динамика
154	169	+9,74%

Также в прошедшем месяце вирусописатели продолжили активно создавать и распространять СМС-троянцев семейства Android.SmsSend. Число записей для этих вредоносных программ в вирусной базе Dr.Web:

Февраль 2015	Март 2015	Динамика
3264	3529	+8,12%

Банковские троянцы

В прошедшем месяце были зафиксированы новые случаи распространения злоумышленниками разнообразных банковских троянцев для ОС Android. В частности, подобные вредоносные приложения были в очередной раз задействованы при атаках на пользователей из Южной Кореи – здесь киберпреступники вновь применяли рассылку СМС-сообщений, содержащих ссылку на загрузку вредоносных программ, однако число подобных спам-кампаний в марте заметно сократилось по сравнению с предыдущими месяцами и составило менее 20 случаев. Вирусописатели использовали следующие вредоносные Android-приложения при атаках на южнокорейских клиентов банков:

Android.BankBot.29.origin

Банковский троянец, крадущий аутентификационные данные у клиентов ряда южнокорейских кредитных организаций. При запуске оригинальных программ интернет-банкинга троянец подменяет их интерфейс своей поддельной копией, в которой запрашиваются все конфиденциальные сведения, необходимые для доступа к управлению банковским счетом. Введенная пользователем информация в дальнейшем передается злоумышленникам. Под видом подписки на некую банковскую услугу пытается установить вредоносную программу Android.Banker.32.origin.

Android.MulDrop.14.origin

Троянская программа, предназначенная для распространения и установки на мобильные Android-устройства других вредоносных программ, в частности, различных банковских троянцев. Распространяется преимущественно среди южнокорейских пользователей.

Троянцы-вымогатели

В марте были обнаружены новые троянцы-вымогатели семейства Android.Locker, блокирующие мобильные устройства под управлением ОС Android и требующие у пользователей выкуп за их разблокировку. Число записей для этих опасных вредоносных программ в вирусной базе Dr.Web:

Февраль 2015	Март 2015	Динамика
174	190	+9,2%

Другие вредоносные приложения

Android.Gazon.1

Троянская программа, предназначенная для незаконного заработка злоумышленников посредством загрузки в веб-браузере мобильного Android-устройства различных опросов. Особенности троянца:

• Распространяется вирусописателями под видом купона на скидку для онлайн-магазина Amazon. При этом троянец способен распространяться среди пользователей самостоятельно благодаря наличию функционала СМС-червя. Для этого вредоносная программа отправляет всем контактам из телефонной книги жертвы СМС-сообщения, в которых для получения «купона» предлагается перейти по ссылке.
• После запуска загружает в веб-браузере мобильного устройства страницу с тем или иным опросом, после прохождения которого пользователем авторы вредоносного приложения получают денежное вознаграждение.

Android.Backdoor.160.origin

Многофункциональный троянец-бэкдор для ОС Android, способный выполнять широкий спектр задач. Особенности:

• Управляется злоумышленниками при помощи push-уведомлений сервиса Baidu Cloud.
• Способен перехватывать СМС, производить аудиозапись при помощи встроенного в мобильное устройство микрофона, определять местоположение пользователя, загружать на удаленный сервер фотографии жертвы, а также все ее контакты из телефонной книги.
• Может отправлять СМС, совершать звонки, загружать и удалять файлы.
• Имеет несколько модификаций (Android.Backdoor.161.origin, Android.Backdoor.165.origin).

http://feedproxy.google.com/~r/drweb/viruses/~3/vYrpePZ7pIE/

1 апреля 2015 года

Компания «Доктор Веб» запатентовала уникальную технологию, которая призвана обезопасить пользователей от нового поколения вредоносных программ, способных похищать конфиденциальную информацию с инфицированных устройств при помощи встроенной в ноутбуки и планшетные компьютеры веб-камеры. Один из образцов такого ПО был добавлен в вирусную базу Dr.Web под именем BackDoor.EyeSpy.1.

Ассортимент используемых злоумышленниками технологий, позволяющих похищать конфиденциальную информацию у пользователей, непрерывно расширяется. Так, специалистами компании «Доктор Веб» была обнаружена вредоносная программа, способная с помощью веб-камеры распознавать отражение экранного изображения на сетчатке глаза пользователя и похищать таким образом вводимую им информацию. Для защиты от подобных атак компания «Доктор Веб» разработала и запатентовала специальное оптическое поляризационное покрытие, получившее название IR-Glasses, которое, в частности, могут использовать производители очков.

Троянец BackDoor.EyeSpy.1, исследованный вирусными аналитиками компании «Доктор Веб», распространяется на файлообменных сайтах и торрентах под видом различных «полезных» приложений, в частности компьютерных игр. Запустившись в атакуемой системе, работающей под управлением ОС Windows, вредоносная программа расшифровывает и сохраняет в папку Users\%username%\AppData\Roaming\ собственный исполняемый файл, а также файл конфигурации, после чего приложение регистрируется в параметрах автозагрузки. Для установки связи с управляющим сервером BackDoor.EyeSpy.1 использует шифрованный бинарный протокол, при этом адрес командного центра генерируется автоматически при помощи специального алгоритма в момент инициализации троянца.

Установив соединение с командным центром, BackDoor.EyeSpy.1 отправляет предварительно собранную информацию об инфицированном компьютере и переходит в режим ожидания команд от злоумышленников. Среди прочего, BackDoor.EyeSpy.1 может выполнять следующие функции:

• фиксирование нажатий пользователем клавиш (кейлоггинг);
• создание и передача злоумышленникам снимков экрана;
• передача на управляющий сервер списка установленных и запущенных в системе приложений;
• запуск от имени Администратора устройства командного интерпретатора и выполнение в нем различных команд.

Однако наиболее интересной и необычной функцией BackDoor.EyeSpy.1 является возможность подключения к веб-камере инфицированного устройства с целью похищения вводимой пользователем информации. С помощью веб-камеры троянец анализирует отражение демонстрируемого на экране устройства изображения на сетчатке глаза пользователя и способен распознавать данные, вводимые им в различные экранные формы. Таким образом троянец может похищать у своих жертв различную конфиденциальную информацию — номера банковских карт, логины, а также пароли, если они не защищены при наборе специальными маскирующими символами. Проведенные специалистами «Доктор Веб» исследования показали, что вредоносная программа успешно распознает до 48% вводимых пользователем символов, если разрешение матрицы веб-камеры составляет менее 1 мегапиксела, и порядка 76% при более высоком разрешении. Если же пользователь носит очки, успешность реализуемого BackDoor.EyeSpy.1 алгоритма распознавания вводимых символов может достигать 98%, поскольку поверхность стекла прекрасно отражает изображение, демонстрируемое на мониторе компьютера.

В настоящее время зафиксировано значительное число экземпляров троянца BackDoor.EyeSpy.1, переупаковываемых злоумышленниками во избежание сигнатурного детекта, поэтому новые образцы этой вредоносной программы попадают в вирусную базу с небольшой задержкой. Кроме того, есть основания полагать, что BackDoor.EyeSpy.1 — это лишь первый образец данного типа угроз, и технология похищения информации с использованием отражения экранного изображения на поверхности человеческого глаза, скорее всего, будет совершенствоваться злоумышленниками и в дальнейшем. С целью обезопасить пользователей от подобных вредоносных программ специалисты Департамента разработки и исследований компании «Доктор Веб» разработали специальное поляризационное покрытие для стекол очков, искажающее отражение дисплея (что делает невозможным его распознавание шпионским ПО), но не оказывающее виляния на оптические свойства стекла. Покрытие полностью пропускает свет солнечного спектра, однако в силу своей структуры определенным образом изменяет угол отражения падающих на его поверхность лучей, что вносит в видимое на стекле отражение заметные оптические искажения. Сотрудники «Доктор Веб» провели ряд экспериментов с использованием концептуальной модели, созданной на основе обычных очков, на поверхность линз которых было нанесено защитное покрытие, — в результате опытов эффективность технологии была подтверждена на практике.

Данная разработка была запатентована компанией «Доктор Веб» и в настоящее время рассматривается вопрос о её лицензировании для производителей очков и различных оптических приборов. Предполагается, что эта технология будет востребована прежде всего среди организаций и компаний, выдвигающих особые требования к обеспечению информационной безопасности своей деятельности, однако очевидно, что она будет эффективна только в сочетании с более традиционными способами защиты информации, такими как своевременное резервное копирование и использование современного антивирусного ПО.

http://feedproxy.google.com/~r/drweb/viruses/~3/wKca-cCYaBU/

23 марта 2015 года

Специалисты компании «Доктор Веб» провели исследование опасного троянца-бэкдора, способного заражать компьютеры под управлением Microsoft Windows. Вредоносная программа, получившая наименование BackDoor.Yebot, может выполнять на инфицированной машине широчайший диапазон деструктивных действий, в частности, запускать собственный FTP и прокси-сервер, искать различную информацию по команде злоумышленников, фиксировать нажатие пользователем клавиш, передавать на удаленный сервер снимки экрана и многое другое.

Троянец BackDoor.Yebot распространяется с использованием другой вредоносной программы, добавленной в вирусные базы Dr.Web под именем Trojan.Siggen6.31836. Запустившись на атакуемом компьютере, это опасное приложение встраивает собственный код в процессы svchost.exe, csrss.exe, lsass.exe и explorer.exe, после чего, отправив на удаленный сервер соответствующий запрос, загружает и расшифровывает троянца BackDoor.Yebot, настраивает его в памяти компьютера и передает ему управление. Сам Trojan.Siggen6.31836 примечателен тем, что часть используемых им функций зашифрована (причем расшифровываются они только в момент выполнения, для чего троянец резервирует память, которая автоматически освобождается после исполнения кода функции). Также эта вредоносная программа обладает механизмами проверки наличия в атакуемой системе виртуальной машины и обхода системы контроля учетных записей пользователя (User Accounts Control, UAC).

Бэкдор BackDoor.Yebot обладает следующими функциональными возможностями:

• запуск на инфицированном компьютере FTP-сервера;
• запуск на инфицированном компьютере Socks5 прокси-сервера;
• модификация протокола RDP для обеспечения удаленного доступа к инфицированному компьютеру;
• фиксация нажатий пользователем клавиш (кейлоггинг);
• возможность установки обратной связи с инфицированным ПК для FTP, RDP и Socks5, если в сети используется NAT (бэкконнект);
• перехват данных по шаблонам PCRE (Perl Compatible Regular Expressions) — библиотеки, реализующей работу регулярных выражений в среде Perl, для чего троянец перехватывает все возможные функции, связанные с работой в Интернете;
• перехват токенов SCard;
• встраивание в просматриваемые пользователем веб-страницы постороннего содержимого (веб-инжекты);
• расстановка перехватов различных системных функций в зависимости от принятого конфигурационного файла;
• модификация кода запущенного процесса в зависимости от принятого конфигурационного файла;
• взаимодействие с различными функциональными модулями (плагинами);
• создание снимков экрана;
• поиск в инфицированной системе приватных ключей.

Для обмена данными с управляющим сервером BackDoor.Yebot использует как стандартный протокол HTTP, так и собственный бинарный протокол. При этом управляющий сервер троянца обладает параноидальными настройками: например, он может занести IP-адрес в черный список при поступлении с него некорректного запроса или при поступлении слишком большого количества запросов с одного IP-адреса.

Специалисты компании «Доктор Веб» предполагают, что BackDoor.Yebot может использоваться злоумышленниками в том числе в качестве банковского троянца: фактически он универсален в силу достаточно развитого ассортимента функциональных возможностей и способности взаимодействовать с различными дополнительными модулями. Сигнатуры BackDoor.Yebot и Trojan.Siggen6.31836 добавлены в вирусные базы, потому эти вредоносные программы не представляют опасности для пользователей антивирусных продуктов Dr.Web.

Подробности о троянце

http://feedproxy.google.com/~r/drweb/viruses/~3/pcKT4PG9R_Y/

20 марта 2015 года

Компания «Доктор Веб» предупреждает пользователей о распространении опасного троянца-шифровальщика Trojan.Encoder.514, которого злоумышленники массово рассылают по каналам электронной почты. В настоящий момент расшифровка файлов, пострадавших от действия троянца Trojan.Encoder.514, не представляется возможной.

На протяжении последних нескольких месяцев злоумышленники организовали множество спам-кампаний по распространению различных версий троянцев-шифровальщиков. Так, на текущей неделе участились случаи массовых рассылок по электронной почте посланий якобы от имени службы по передаче факсов через Интернет, имеющих заголовок «Incoming Fax Report». В приложении к письму под видом факсимильного сообщения содержится ZIP-архив, внутри которого располагается вредоносный SCR-файл, являющийся исполняемым в операционных системах семейства Microsoft Windows. Данные SCR-файлы детектируются антивирусным ПО Dr.Web как Trojan.DownLoader11.32458.

При попытке открытия вложения вредоносная программа Trojan.DownLoader11.32458 распаковывает и запускает на атакуемом компьютере троянца-энкодера Trojan.Encoder.514, шифрующего хранящиеся на диске пользовательские файлы и требующего выкуп за их расшифровку. Пострадавшие от действия Trojan.Encoder.514 файлы не получают отдельного расширения, но в начало их имени дописывается строка "!crypted!". Шифрование происходит с созданием промежуточных файлов, имеющих расширение *.cry, которые впоследствии удаляются.

В настоящий момент расшифровка файлов, зашифрованных вредоносной программой Trojan.Encoder.514, не представляется возможной. Специалисты компании «Доктор Веб» напоминают пользователям о необходимости своевременного резервного копирования наиболее ценных данных, а также рекомендуют проявлять бдительность и не открывать вложения в сообщениях электронной почты, полученных от незнакомых отправителей.

http://feedproxy.google.com/~r/drweb/viruses/~3/NQLjByY8Jwk/

18 марта 2015 года

Специалисты компании «Доктор Веб» исследовали нового многофункционального троянца, предназначенного для заражения мобильных Android-устройств. По команде злоумышленников это вредоносное приложение способно красть различные конфиденциальные данные, отправлять СМС-сообщения, совершать телефонные звонки, а также выполнять множество других опасных действий.

Новая вредоносная программа для ОС Android, получившая имя Android.Titan.1, предназначена для атаки на южнокорейских пользователей и распространяется киберпреступниками с применением рассылки нежелательных СМС-сообщений. В отправляемых злоумышленниками СМС говорится о якобы задерживающейся доставке некоего почтового отправления, а также указывается ссылка, переход по которой предполагает получение подробных сведений о возникшей «проблеме». В действительности же эта ссылка ведет на одну из страниц популярного облачного сервиса хранения данных, где вирусописатели разместили троянца Android.Titan.1. Если потенциальные жертвы попытаются посетить указанный веб-адрес, вместо ознакомления с ожидаемой информацией на их мобильные устройства будет автоматически загружен apk-файл вредоносного приложения. Однако для того, чтобы данный троянец заразил операционную систему, неосторожные пользователи должны самостоятельно выполнить его установку.

После успешной инсталляции Android.Titan.1 помещает на главный экран мобильного устройства свой ярлык и ждет, когда владелец зараженного Android-смартфона или планшета собственноручно запустит троянца. При первом успешном старте вредоносного приложения этот ярлык удаляется, а вредоносная программа продолжает свою работу в скрытом режиме. Одновременно с этим из памяти устройства стирается последний СМС-диалог жертвы, который в большинстве случаев будет представлен тем самым спам-сообщением, благодаря которому троянец и попал на целевое устройство. В дальнейшем Android.Titan.1 функционирует уже без участия пользователя и самостоятельно начинает свою активность, загружаясь вместе с операционной системой.

Android.Titan.1 осуществляет свою деятельность при помощи нескольких вредоносных системных сервисов, запускаемых троянцем в процессе его работы. В частности, один из них проверяет, является ли Android.Titan.1 менеджером сообщений по умолчанию, и, если это не так, пытается изменить соответствующие системные настройки.

Затем троянец ожидает появления доступа к сети Интернет, после чего соединяется с управляющим сервером и загружает на него подробные сведения о зараженном мобильном устройстве, включая название модели, информацию о версии установленной операционной системы, сетевом подключении, MAC-адресе устройства, IMEI- и IMSI-идентификаторах, а также номере телефона жертвы.

В ответ от сервера вредоносная программа может получить одну из следующих команд:

• запустить сервис, выполняющий поиск и завершение работы всех процессов, относящихся к приложению com.kakao.talk;
• запустить сервис, выполняющий подмену телефонных номеров в адресной книге мобильного устройства;
• изменить параметры вызовов устройства (беззвучный, вибровызов или обычный), а также задать уровень громкости сигнала вызова;
• запустить сервис, предназначенный для отправки СМС-сообщения с заданными в команде параметрами;
• запустить сервис, предназначенный для совершения телефонного звонка на заданный номер (при выполнении звонка экран устройства блокируется аналогично блокировке в режиме ожидания);
• отправить на сервер информацию о сохраненных в телефонной книге контактах (загружаются имена и соответствующие им номера телефонов);
• запустить сервис, предназначенный для демонстрации в панели уведомлений заданного сообщения и сопровождающего его изображения.

Благодаря наличию у Android.Titan.1 возможности выполнения скрытого звонка, а также периодическому отслеживанию активности экрана зараженного устройства, злоумышленники способны отдать троянцу команду на выполнение вызова, когда зараженный смартфон или планшет долгое время находится в режиме ожидания. При этом сразу после начала телефонного разговора экран вновь блокируется, в результате чего у пользователя не должно возникнуть никаких подозрений о совершаемом без его ведома нежелательном звонке.

Android.Titan.1 способен отслеживать все входящие СМС-сообщения и скрывать от пользователя те из них, которые удовлетворяют заданным вирусописателями критериям. При этом на управляющий сервер передаются подробные сведения обо всех принятых СМС, включая информацию об отправителе, дате и времени отправки, а также их содержимом. В случае если отправка этой информации невозможна, вредоносная программа помещает полученные данные в специальную базу, хранящуюся на устройстве локально, после чего ожидает подключения к сети, чтобы загрузить на сервер поставленную в очередь информацию.

Кроме этого, Android.Titan.1 обладает еще одной опасной функцией. Каждую минуту он проверяет, не совершается ли пользователем телефонный звонок, и, если это так, начинает скрытую запись разговора в amr-файл, сохраняя полученный результат в своем рабочем каталоге. В дальнейшем данный файл вместе с подробной информацией о звонках пользователя загружается на удаленный сервер, а в случае отсутствия интернет-соединения ставится в очередь, как в случае с перехваченными СМС-сообщениями. Также троянец может блокировать входящие или исходящие звонки с определенных номеров, отвечать на вызовы и удалять информацию о них из системного журнала.

Главная особенность данного троянца заключается в том, что его основной функционал реализован в виде отдельной Unix-библиотеки (детектируется как Android.Titan.2), в то время как у большинства известных вредоносных программ для ОС Android он обычно находится в стандартном исполняемом dex-файле. В случае с Android.Titan.1 dex-файл используется лишь в качестве вспомогательного компонента, в котором содержатся минимально необходимые функции для работы троянца. Подобный прием при создании вредоносных Android-приложений встречается достаточно редко, и благодаря нему многие антивирусные программы зачастую просто не в состоянии обнаружить опасное приложение.

По мнению вирусных аналитиков компании «Доктор Веб», Android.Titan.1 все еще находится в стадии разработки, поскольку он содержит ряд ошибок и часть его функционала остается незадействованной. В этой связи нельзя исключать появления еще более функциональной версии этого опасного вредоносного приложения в будущем.

Специалисты компании «Доктор Веб» оповестили службу поддержки облачного сервиса, на котором был размещен троянец, и в настоящий момент страница, с которой происходила его загрузка, уже недоступна. Тем не менее, ничто не мешает злоумышленникам повторно разместить троянца на этом или другом подобном ресурсе. Антивирус Dr.Web для Android и Антивирус Dr.Web для Android Light успешно детектируют и удаляют троянца Android.Titan.1, поэтому пользователи мобильных антивирусных решений компании «Доктор Веб» находятся под надежной защитой.

http://feedproxy.google.com/~r/drweb/viruses/~3/AzeSaTj3yDE/

10 марта 2015 года

Компания «Доктор Веб» продолжает обращать внимание пользователей на опасность, исходящую со стороны троянцев-шифровальщиков, вымогающих деньги за расшифровку файлов. Количество запросов со стороны пострадавших от действий энкодеров в службу технической поддержки «Доктор Веб» продолжает расти. Только за последний месяц число обращений увеличилось на 40,9% по сравнению с январем 2015 года. В связи с этим напоминаем, что на нашем сайте доступен информационный раздел, посвященный шифровальщикам, а использование продукта Dr.Web Security Space версии 10 позволяет свести к минимуму риск потерять как данные, так и деньги.

Из материалов раздела вы можете не только узнать о текущем положении дел на «энкодерном фронте» и о возможностях Dr.Web для противостояния шифровальщикам, но и ознакомиться с рекомендациями специалистов на случай заражения.

Обращаем внимание на то, что услуга по расшифровке файлов является бесплатной для владельцев коммерческих лицензий Dr.Web. А для того, чтобы дело не дошло до необходимости расшифровки, настоятельно рекомендуем воспользоваться функционалом «Защита от потери данных», доступным в рамках продукта комплексной защиты Dr.Web Security Space новой, десятой версии.

Будьте в курсе проблемы энкодеров и во всеоружии - сохраните ценные данные и не менее ценные нервы!

Подробнее о троянцах-шифровальщиках

http://feedproxy.google.com/~r/drweb/viruses/~3/JOCnEXckm9g/

4 марта 2015 года

Количество записей для вредоносных и нежелательных программ под ОС Android в вирусной базе Dr.Web

Январь 2015	Февраль 2015	Динамика
6087	6665	+9,5%

«Мобильная» угроза месяца

В начале февраля в каталоге цифрового контента Google Play был обнаружен ряд приложений, которые содержали новый агрессивный рекламный модуль Adware.MobiDash.1.origin. Некоторые из этих программ были загружены пользователями десятки миллионов раз. Adware.MobiDash.1.origin обладает следующими особенностями:

• Может входить в состав самых разнообразных игр и программ, размещенных как в Google Play – официальном каталоге приложений ОС Android, – так и на других популярных онлайн-площадках.
• При каждом выходе Android-устройства из режима ожидания (разблокировки экрана) загружает в веб-браузере интернет-страницы с разнообразной рекламой, а также сомнительными сообщениями, включающими предупреждения о якобы имеющих место неполадках, предложениями установить обновления или определенные программы и т. п.
• Способен отображать рекламу поверх интерфейса операционной системы и пользовательских программ, затрудняя работу с устройством, а также демонстрировать рекламные и иные сообщения в панели уведомлений.
• Прежде чем данный модуль начнет свою активность, должно пройти достаточно длительное время с момента установки и запуска содержащего его приложения. Из-за этого в дальнейшем снижается вероятность обнаружения пользователем источника навязчивой рекламы.

Агрессивные рекламные модули

В прошедшем месяце специалисты компании «Доктор Веб» отметили появление сразу нескольких новых рекламных систем, обладающих весьма агрессивным функционалом. Одной из них стала платформа Adware.MobiDash.1.origin, которая входила в состав ряда размещенных в каталоге Google Play программ.

Другие «неприятные» рекламные системы:

Adware.HiddenAds.1

• Может устанавливаться на мобильное устройство при помощи различных вредоносных приложений
• Не имеет ярлыка и графического интерфейса, работает в скрытом режиме
• Отображает в панели уведомлений различные рекламные сообщения

Adware.Adstoken.1.origin

• Внедряется третьими лицами в модифицированные и распространяемые ими популярные программы
• Отображает рекламный баннер на экране мобильных устройств
• Демонстрирует различные сообщения в панели уведомлений
• Открывает в веб-браузере сайты с рекламой

Троянцы-вымогатели

Число записей для троянцев-вымогателей семейства Android.Locker в вирусной базе Dr.Web:

Январь 2015	Февраль 2015	Динамика
159	174	+9,4%

В феврале была обнаружена новая модификация опасного троянца-блокировщика Android.Locker.71.origin, который шифрует файлы, блокирует зараженные мобильные устройства и требует у пострадавших пользователей выкуп в размере $200.

Шифрование файлов на каждом устройстве происходит с использованием уникального криптографического ключа, поэтому восстановление поврежденных троянцем Android.Locker.71.origin данных затруднено.

В настоящий момент расшифровка файлов, пострадавших от действия данной вредоносной программы, невозможна, однако наши пользователи надежно защищены от действий Android.Locker.71.origin, т. к. все известие модификации троянца успешно детектируются и удаляются с мобильных устройств антивирусными решениями Dr.Web для Android.

СМС-троянцы

В прошедшем месяце значительно возросло количество новых СМС-троянцев, отправляющих дорогостоящие короткие сообщения и подписывающие мобильные номера жертв на платные услуги. Число записей для троянцев семейства Android.SmsSend в вирусной базе Dr.Web:

Январь 2015	Февраль 2015	Динамика
2870	3264	+13,7%

Банковские троянцы

В феврале в очередной раз проявили активность всевозможные «мобильные» банковские троянцы. В частности, подобные вредоносные приложения распространялись среди южнокорейских пользователей, где злоумышленники вновь применяли СМС-рассылку сообщений, в которых содержалась ссылка на загрузку копии троянцев.

Выявлено более 80 подобных спам-кампаний, в которых было задействовано несколько вредоносных программ. Большинство из них – троянцы-дропперы.

Троянцы Android.MulDrop

Скрывают непосредственно внутри себя других троянцев, в данном случае – Android-банкеров – основной инструментарий южнокорейских вирусописателей.

Android.BackDoor.20

Вредоносная программа, позволяющая злоумышленникам выполнять на зараженных мобильных устройствах различные действия.

Примененные южнокорейскими киберпреступниками троянцы-банкеры:

• Android.BankBot.39.origin
• Android.BankBot.47.origin
• Android.BankBot.48.origin

Все они позволяют получить вирусописателям доступ к банковским счетам пользователей.

http://feedproxy.google.com/~r/drweb/viruses/~3/pHodv86QLaY/

4 марта 2015 года

Самый короткий месяц в году не обошелся без появления новых вредоносных программ. В начале февраля специалисты «Доктор Веб» завершили исследование сложного многофункционального троянца, угрожающего пользователям ОС Linux, а уже в конце месяца были опубликованы результаты изучения новой версии бэкдора для Mac OS X. Также в течение февраля 2015 года были по-прежнему активны вредоносные программы для мобильной платформы Google Android.

Угроза месяца

В конце февраля специалисты компании «Доктор Веб» завершили исследование троянца-бэкдора Mac.BackDoor.OpinionSpy.3, позволявшего злоумышленникам шпионить за пользователями Mac OS X. Троянец распространялся на сайтах, предлагавших загрузку бесплатного ПО вместе с вполне безобидными приложениями, в дистрибутив которых был встроен дополнительный исполняемый файл. Запустившись в процессе инсталляции с правами администратора, данная программа загружала, устанавливала и запускала на компьютере Apple вредоносное приложение.

Данная вредоносная программа успешно детектируется и удаляется Антивирусом Dr.Web для Mac OS X. Более подробная информация об этом бэкдоре опубликована в соответствующей информационной статье.

Троянцы-шифровальщики

Количество запросов на расшифровку, поступивших в службу технической поддержки «Доктор Веб»

Январь 2015	Февраль 2015	Динамика
1305	1840	+40,9%

Троянцы-энкодеры, шифрующие файлы на компьютерах пользователей и требующие денежный выкуп за их расшифровку, по-прежнему представляют серьезную опасность.

Наиболее распространенные шифровальщики в феврале 2015 года:

• Trojan.Encoder.567;
• Trojan.Encoder.398;
• Trojan.Encoder.741.

По данным статистики лечащей утилиты Dr.Web CureIt!

• Trojan.BPlug

  Это надстройки (плагины) для популярных браузеров, демонстрирующие назойливую рекламу при просмотре веб-страниц.

• Trojan.MulDrop5.10078

  Устанавливает на инфицированный компьютер различные нежелательные и рекламные приложения.

• Trojan.Yontoo

  Семейство надстроек для популярных браузеров, назначение которых заключается в демонстрации пользователю рекламы при просмотре веб-страниц.

• Trojan.Lyrics

  Семейство троянцев, способных демонстрировать на экране назойливую рекламу и открывать в окне браузера веб-сайты сомнительного содержания без ведома пользователя.

• Trojan.LoadMoney

  Семейство программ-загрузчиков, генерируемых серверами партнерской программы LoadMoney. Данные приложения загружают и устанавливают на компьютер жертвы различное нежелательное ПО.

• Trojan.Packed.24524

  Троянец-установщик рекламных и нежелательных приложений.

По данным серверов статистики «Доктор Веб»

• Trojan.DownLoader12.19543

  Троянец, предназначенный для подмены в окне браузера результатов выдачи поисковых систем, а также демонстрации поддельных всплывающих сообщений социальных сетей.

• Trojan.OutBrowse.54

  Один из представителей семейства рекламных троянцев, распространяющихся с использованием партнерских программ и предназначенных для монетизации файлового трафика.

• BackDoor.Andromeda.404

  Троянец-загрузчик, предназначенный для скачивания с удаленных серверов злоумышленников и запуска на инфицированном компьютере других вредоносных программ.

• BackDoor.IRC.NgrBot.42

  Довольно распространенный троянец, известный специалистам по информационной безопасности еще с 2011 года. Вредоносные программы этого семейства способны выполнять на инфицированном компьютере поступающие от злоумышленников команды, а управление ими киберпреступники осуществляют с использованием протокола обмена текстовыми сообщениями IRC (Internet Relay Chat).

• Trojan.LoadMoney

  Семейство программ-загрузчиков, генерируемых серверами партнерской программы LoadMoney. Данные приложения загружают и устанавливают на компьютер жертвы различное нежелательное ПО.

Статистика вредоносных программ в почтовом трафике

• BackDoor.Andromeda

  Семейство троянцев-загрузчиков, предназначенных для скачивания с удаленных серверов злоумышленников и запуска на инфицированном компьютере других вредоносных программ.

• BackDoor.Siggen.58526

  Троянец, без ведома пользователей загружающий и запускающий на инфицированном компьютере другие вредоносные программы, а также способный выполнять поступающие от злоумышленников команды.

• Trojan.Betabot.3

  Троянец, способный похищать вводимые в веб-формы данные (в том числе в системах «Банк-клиент»), выполнять поступающие с удаленного сервера команды, менять настройки DNS на инфицированном компьютере и проводить DDoS-атаки.

• BackDoor.Bebloh.47

  Один из представителей семейства вредоносных программ, относящихся к категории банковских троянцев. Данное приложение представляет угрозу для пользователей систем дистанционного банковского обслуживания (ДБО), поскольку позволяет злоумышленникам красть конфиденциальную информацию путем перехвата заполняемых в браузере форм и встраивания в страницы сайтов некоторых банков.

Ботнеты

Несмотря на то, что, по сообщениям многочисленных информационных агентств, 24 февраля 2015 года общими усилиями ряда организаций были отключены командные серверы бот-сети Rmnet, специалисты компании «Доктор Веб» в целом не наблюдают существенного снижения активности данного ботнета. Так, активность отслеживаемых компанией «Доктор Веб» подсетей ботнета, созданного злоумышленниками и использованием файлового вируса Win32.Rmnet.12, представлена на следующих графиках:

Более подробную информацию о деятельности ботнета Rmnet можно узнать из опубликованного на нашем сайте информационного материала.

Продолжает действовать ботнет, созданный злоумышленниками с использованием файлового вируса Win32.Sector:

Файловый вирус Win32.Sector реализует следующие функции:

• загрузка из P2P-сети и запуск на зараженной машине различных исполняемых файлов;
• встраивание в запущенные на инфицированном компьютере процессы;
• возможность останавливать работу некоторых антивирусных программ и блокировать доступ к сайтам их разработчиков;
• инфицирование файловых объектов на локальных дисках и сменных носителях (где в процессе заражения создает файл автозапуска autorun.inf), а также файлов, хранящиеся в общедоступных сетевых папках.

• BackDoor.Flashback.39

  Троянская программа для Mac OS X, получившая массовое распространение в апреле 2012 года. Заражение осуществлялось с использованием уязвимостей Java. Предназначение троянца — загрузка и запуск на инфицированной машине полезной нагрузки, в качестве которой может выступать любой исполняемый файл, указанный в полученной троянцем от злоумышленников директиве.

Угрозы для Linux

Не снижается интерес злоумышленников и к операционным системам семейства Linux. Так, в начале февраля специалисты компании «Доктор Веб» исследовали сложного многофункционального троянца для ОС Linux, получившего наименование Linux.BackDoor.Xnote.1. Эта вредоносная программа умеет выполнять следующие команды для работы с файловой системой, поступающие от злоумышленников:

• перечислить файлы и каталоги внутри указанного каталога;
• отослать на сервер сведения о размере файла;
• создать файл, в который можно будет сохранить принимаемые данные;
• принять файл;
• отправить файл на управляющий сервер;
• удалить файл;
• удалить каталог;
• отправить управляющему серверу сигнал о готовности принять файл;
• создать каталог;
• переименовать файл;
• запустить файл.

Кроме того, троянец может запустить командную оболочку (shell) с заданными переменными окружения и предоставить управляющему серверу доступ к ней, запустить на зараженном компьютере SOCKS proxy или собственную реализацию сервера portmap, а также осуществлять DDoS-атаки.

Более подробную информацию о способах распространения и принципах работы Linux.BackDoor.Xnote.1 можно почерпнуть, ознакомившись с опубликованным компанией «Доктор Веб» информационным материалом.

Все так же проявляет активность Linux-троянец Linux.BackDoor.Gates.5, продолжающий осуществлять DDoS-атаки на различные сайты в сети Интернет. В феврале 2015 года было выявлено 1129 уникальных IP-адресов, на которые осуществлялись атаки, что на 3880 меньше, чем в прошлом месяце. Как и прежде, большинство из них расположено на территории Китая:

Мошеннические и нерекомендуемые сайты

В течение февраля 2015 года в базу нерекомендуемых и вредоносных сайтов Dr.Web было добавлено 22 033 интернет-адреса.

Январь 2015	Февраль 2015	Динамика
10 431	22 033	+111,2%

Для защиты пользователей от различных способов мошенничества в Интернете служит компонент Родительский контроль, входящий в комплект поставки Dr.Web Security Space 10.0. Родительский контроль позволяет ограничивать доступ к интернет-сайтам определенной тематики, осуществляет фильтрацию подозрительного контента, а также, используя базы нерекомендуемых ссылок, защищает пользователя от мошеннических, потенциально опасных сайтов, шокирующего контента и ресурсов, замеченных в распространении вредоносного ПО.

Узнайте больше о нерекомендуемых Dr.Web сайтах

Вредоносное и нежелательное ПО для Android

В феврале было выявлено большое число разнообразных вредоносных и потенциально опасных программ для мобильной платформы Google Android, таких как:

• Агрессивные рекламные модули
• Троянцы-вымогатели
• СМС-троянцы
• Троянцы-банкеры

• Рекламные модули

  В прошедшем месяце вновь актуальной стала проблема активного применения разработчиками Android-приложений различных агрессивных рекламных систем. В очередной раз подобные программы были выявлены в каталоге Google Play, откуда их скачало несколько десятков миллионов пользователей.

• Троянцы-вымогатели

  Среди обнаруженных в феврале вредоносных приложений оказалось немало новых троянцев-вымогателей, в том числе и чрезвычайно опасные вымогатели-энкодеры, шифрующие пользовательские файлы.

• СМС-троянцы

  В феврале вирусная база Dr.Web пополнилась большим количеством новых записей для СМС-троянцев, без ведома пользователей отправляющих дорогостоящие сообщения на платные номера.

• Троянцы-банкеры

  Распространение банковских вредоносных приложений по-прежнему остается актуальной угрозой для пользователей ОС Android. В частности, под ударом киберпреступников вновь оказались южнокорейские владельцы Android-устройств: для заражения их смартфонов и планшетов злоумышленники организовали более 80 спам-кампаний, рассылая СМС-сообщения со ссылкой на загрузку Android-троянцев.

Узнайте больше с Dr.Web

Вирусная статистика Библиотека описаний Все обзоры о вирусах Лаборатория-live

http://feedproxy.google.com/~r/drweb/viruses/~3/9QguwAux5vE/

27 февраля 2015 года

Несмотря на многочисленные сообщения новостных агентств о том, что Европолом была проведена масштабная операция с целью прекращения деятельности ботнета Rmnet, специалисты компании «Доктор Веб» продолжают наблюдать активность со стороны этой бот-сети. Согласно представленным средствами массовой информации данным, сотрудники отдела по борьбе с киберпреступностью полиции Великобритании совместно со специалистами из Германии, Италии и Нидерландов пресекли деятельность нескольких крупных управляющих серверов Rmnet.

По сообщениям информационных агентств, 24 февраля 2015 года общими усилиями ряда организаций были отключены командные серверы бот-сети Rmnet. В операции принимал участие Европейский центр борьбы с киберпреступлениями Европола (Europol's European Cybercrime Centre), CERT-EU (Computer Emergency Response Team), компании Symantec, Microsoft, AnubisNetworks и другие организации из стран Европы. Так, на веб-странице Европола сообщается, что специалистам по информационной безопасности удалось перехватить порядка 300 доменов управляющих серверов, сгенерированных вредоносной программой, а агентство «Рейтерс» упоминает о том, что в ходе операции было заблокировано 7 действующих управляющих серверов. По информации компании Symantec, в результате этой операции прекращена деятельность ботнета, состоящего из 350 000 инфицированных устройств, а по данным Microsoft их общее количество может достигать 500 000.

Специалисты компании «Доктор Веб» отслеживают несколько подсетей ботнетов, созданных злоумышленниками с использованием различных версий файлового вируса Rmnet. Так, модификация, получившая наименование Win32.Rmnet.12, известна еще с сентября 2011 года. Win32.Rmnet.12 — сложный многокомпонентный файловый вирус, состоящий из нескольких модулей и обладающий способностью к саморазмножению. Он в состоянии выполнять поступающие от злоумышленников команды, встраивать в просматриваемые пользователем веб-страницы постороннее содержимое (это теоретически позволяет киберпреступникам получать доступ к банковской информации жертвы), а также красть файлы cookies и пароли от наиболее популярных FTP-клиентов, таких как Ghisler, WS FTP, CuteFTP, FlashFXP, FileZilla, Bullet Proof FTP и некоторых других.

Более поздняя модификация вируса, Win32.Rmnet.16, отличается от своей предшественницы рядом архитектурных особенностей, например, использованием цифровой подписи при выборе управляющего сервера. Вирус также способен выполнять команды на скачивание и запуск произвольного файла, обновление вируса, создание и отправку злоумышленникам снимка экрана и даже команду уничтожения операционной системы. Кроме того, модуль бэкдора обладает функционалом, позволяющим «убивать» процессы большинства наиболее распространенных антивирусных программ. Как и предыдущая версия вируса, Win32.Rmnet.16 умеет выполнять запись в загрузочную область диска (MBR), а также сохранять свои файлы в конце диска в зашифрованном виде.

Несмотря на то, что многочисленные информационные агентства рапортуют об успехе операции по блокированию деятельности ботнета Rmnet, специалисты компании «Доктор Веб» не отмечают снижения активности бот-сетей, за поведением которых вирусная лаборатория ведет непрерывное наблюдение. Всего на сегодняшний день специалистам «Доктор Веб» известно как минимум 12 подсетей Rmnet, использующих алгоритм генерации доменов управляющих серверов, и как минимум две подсети Win32.Rmnet.12, не использующие автоматическую генерацию доменов (из первой категории специалистами Symantec заблокирована только одна подсеть с seed 79159c10).

Так, в двух подсетях ботнета Win32.Rmnet.12 среднесуточная активность по-прежнему составляет порядка 250 000 – 270 000 инфицированных узлов, что наглядно показано на приведенных ниже графиках:

Среднесуточная активность ботнета Win32.Rmnet.12, 1-я подсеть

Среднесуточная активность ботнета Win32.Rmnet.12, 2-я подсеть

В отслеживаемой специалистами «Доктор Веб» подсети Win32.Rmnet.16 наблюдается значительно меньшая ежесуточная активность, но и здесь не отмечается каких-либо «провалов», связанных с возможной блокировкой управляющих серверов:

Среднесуточная активность ботнета Win32.Rmnet.16

Схожая ситуация наблюдается и при отслеживании активности компьютеров, на которых действуют вредоносные модули, получившие общее обозначение Trojan.Rmnet.19:

Среднесуточная активность ботнета Trojan.Rmnet.19

Приведенная статистика свидетельствует о том, что организаторы мероприятия по уничтожению бот-сети Rmnet, по всей видимости, сумели ликвидировать далеко не все управляющие серверы данного ботнета. По крайней мере, как минимум 500 000 инфицированных различными модификациями данного вируса ПК все еще продолжают активно действовать, обращаясь к уцелевшим командным серверам. Компания «Доктор Веб» будет следить за дальнейшим развитием ситуации.

http://feedproxy.google.com/~r/drweb/viruses/~3/Y-oI7ogMuyQ/

27 февраля 2015 года

Специалисты компании «Доктор Веб» провели исследование новой версии троянца-бэкдора для операционной системы Mac OS X, получившего наименование Mac.BackDoor.OpinionSpy.3. Данная вредоносная программа предназначена для шпионажа за пользователями «маков»: она может собирать и передавать злоумышленникам сведения об открываемых в окне браузера веб-страницах, анализировать трафик, проходящий через сетевую карту компьютера, перехватывать сетевые пакеты, отправляемые программами для мгновенного обмена сообщениями, и выполнять некоторые другие опасные функции.

Семейство троянцев Mac.BackDoor.OpinionSpy известно специалистам по информационной безопасности еще с 2010 года, однако недавно в вирусную лабораторию компании «Доктор Веб» попал новый экземпляр данной вредоносной программы. Эта версия бэкдора получила наименование Mac.BackDoor.OpinionSpy.3.

Для своего распространения Mac.BackDoor.OpinionSpy.3 использует трехступенчатую схему. На различных сайтах, предлагающих всевозможное ПО для Mac OS X, появляются с виду безобидные программы, в составе дистрибутивов которых, тем не менее, присутствует файл poinstall, запускаемый инсталлятором в процессе установки. Если во время инсталляции загруженного с такого сайта приложения пользователь соглашается предоставить ему права администратора, poinstall отправляет на сервер злоумышленников серию POST-запросов, а в ответ получает ссылку для скачивания пакета с расширением .osa, внутри которого располагается ZIP-архив. Рoinstall распаковывает этот архив, извлекая исполняемый файл с именем PremierOpinion и XML-файл с необходимыми для его работы конфигурационными данными, после чего запускает эту программу.

Запустившись на атакуемом «маке», PremierOpinion также связывается с управляющим сервером и получает от него ссылку на скачивание еще одного .osa-пакета, из которого извлекается и устанавливается полноценное приложение с таким же названием — PremierOpinion. Это приложение содержит несколько исполняемых файлов: собственно программу PremierOpinion, в которой отсутствует какой-либо вредоносный функционал, и бэкдор PremierOpinionD, реализующий опасные для пользователя Mаc OS Х возможности.

Троянец получает администраторские права в процессе установки и работает в системе с привилегиями администратора. Если на начальном этапе инсталляции выбрать в окне программы установки вариант «I Disagree», на компьютер будет помещена только программа, которую пользователь скачивал из Интернета без каких-либо дополнительных шпионских компонентов.

Если пользователь выберет вариант «I Agree», помимо скачанного им приложения на компьютер будет установлена программа PremierOpinion, значок которой появится в командной панели и списке установленных приложений.

Интерфейс программы PremierOpinion достаточно лаконичен.

По щелчку мышью на значке приложения в командной панели запускается браузер, в окне которого открывается веб-страница с описанием приложения PremierOpinion, позиционируемого как утилита для проведения маркетинговых исследований. Однако на сайте разработчика не сообщается, что она собирает и передает на удаленный сервер информацию о компьютере Apple, на котором работает это приложение.

Разработчики утверждают, что программа PremierOpinion будет следить за историей покупок пользователя и время от времени станет предлагать ему принять участие в маркетинговом исследовании, для чего необходимо будет ответить на ряд вопросов специальной анкеты. Фактически же функциональные возможности Mac.BackDoor.OpinionSpy.3 намного шире заявленных и определяются получаемыми с управляющего сервера конфигурационными файлами. Троянец устанавливается в папку /Library/LaunchDaemons/, благодаря чему обеспечивается его автоматический запуск при отказе программы или перезагрузке системы. Затем Mac.BackDoor.OpinionSpy.3 устанавливает в браузеры Google Chrome и Mozilla Firefox специальное расширение, отслеживающее активность пользователя, и передает на управляющий сервер сведения о посещенных им сайтах (данные собираются по определенному набору правил), открываемых вкладках и ссылках, по которым осуществлялся переход. Помимо этого Mac.BackDoor.OpinionSpy.3 встраивает собственную библиотеку в процессы браузеров и приложение iChat с целью перехвата некоторых функций работы с сетью, а также осуществляет мониторинг трафика, передаваемого через сетевую карту компьютера Apple. На всех доступных Ethernet-интерфейсах отслеживаются HTTP-пакеты, трафик клиентов для обмена мгновенными сообщениями (Microsoft Messenger, Yahoo! Messenger, AIM, iChat), RTMP-трафик. Отдельный модуль троянца позволяет осуществлять сканирование жесткого диска и всех смонтированных в системе носителей, выполнять поиск файлов, соответствующих заданному вирусописателями правилу, и отправлять информацию об этих файлах на удаленный сервер. Также троянская программа отсылает злоумышленникам сведения об инфицированном компьютере, включая данные об аппаратной конфигурации, список запущенных процессов и т. д. Троянец способен устанавливать собственные обновления незаметно для пользователя, скачивая их с управляющего сервера. Следует отметить, что в браузере Safari Mac.BackDoor.OpinionSpy.3 нарушает работу модуля его локализации.

При обмене информацией с управляющим сервером часть данных троянец шифрует, часть — передает в открытом виде. Помимо прочего, Mac.BackDoor.OpinionSpy.3 может собирать и передавать злоумышленникам сведения о видеофайлах, просмотренных пользователем.

Сигнатура данной вредоносной программы добавлена в вирусную базу Dr.Web. Пользователям компьютеров, работающих под управлением Mac OS X, рекомендуется с осторожностью относиться к приложениям, загруженным из Интернета.

Подробнее о троянце

http://feedproxy.google.com/~r/drweb/viruses/~3/2P5ZGU1e85U/

5 февраля 2015 года

Специалисты компании «Доктор Веб» исследовали сложного многофункционального троянца, предназначенного для заражения ОС Linux. Данная вредоносная программа обладает возможностью выполнять различные команды, поступающие от злоумышленников, в том числе организовывать DDoS-атаки, а также реализует широкий спектр других функциональных возможностей.

Новая вредоносная программа для Linux, получившая наименование Linux.BackDoor.Xnote.1, распространяется аналогично некоторым другим троянцам для данной ОС: подбирая необходимый пароль, злоумышленники взламывают учетные записи для доступа к атакуемой системе по протоколу SSH. У вирусных аналитиков компании «Доктор Веб» имеются основания полагать, что к созданию бэкдора приложили руку китайские злоумышленники из хакерской группы ChinaZ.

В первую очередь Linux.BackDoor.Xnote.1 проверяет, запущена ли в инфицированной системе другая копия троянца, и, если таковая обнаруживается, завершает свою работу. Установка вредоносной программы в систему осуществляется только в том случае, если она запущена с правами суперпользователя (root): в процессе инсталляции троянец создает свою копию в папке /bin/ в виде файла с именем iptable6 и удаляет исходный файл, из которого он был запущен. Также Linux.BackDoor.Xnote.1 ищет в папке /etc/init.d/ сценарии, начинающиеся со строки "!#/bin/bash", и добавляет после этой строки еще одну строку, обеспечивающую запуск бэкдора.

Для обмена данными с принадлежащим киберпреступникам управляющим сервером троянец использует следующий алгоритм. Для получения конфигурационных данных бэкдор ищет в своем теле специальную строку, указывающую на начало зашифрованного конфигурационного блока, затем расшифровывает его и начинает последовательный опрос управляющих серверов по списку, продолжающийся до тех пор, пока не будет обнаружен действующий или пока не закончится список. Перед передачей пакетов данный троянец и управляющий сервер сжимают их с использованием библиотеки zlib.

Сначала Linux.BackDoor.Xnote.1 отправляет на сервер злоумышленников информацию об инфицированной системе, затем троянец переходит в режим ожидания команд от удаленного сервера. Если команда подразумевает выполнение какого-либо задания, для его реализации создается отдельный процесс, устанавливающий собственное соединение с управляющим сервером, с использованием которого он получает все необходимые конфигурационные данные и отправляет результаты выполнения задачи.

Так, по команде злоумышленников Linux.BackDoor.Xnote.1 может назначить зараженной машине уникальный идентификатор, начать DDoS-атаку на удаленный узел с заданным адресом (среди возможных типов атак — SYN Flood, UDP Flood, HTTP Flood и NTP Amplification), прекратить начатую ранее атаку, обновить исполняемый файл бэкдора, записать информацию в файл или удалить себя. Отдельный блок заданий троянец может выполнять с различными файловыми объектами. Получив соответствующую команду, Linux.BackDoor.Xnote.1 отсылает злоумышленникам информацию о файловой системе инфицированного компьютера (общее количество блоков данных в файловой системе, количество свободных блоков), после чего может выполнить следующие команды:

• перечислить файлы и каталоги внутри указанного каталога;
• отослать на сервер сведения о размере файла;
• создать файл, в который можно будет сохранить принимаемые данные;
• принять файл;
• отправить файл на управляющий сервер;
• удалить файл;
• удалить каталог;
• отправить управляющему серверу сигнал о готовности принять файл;
• создать каталог;
• переименовать файл;
• запустить файл.

Кроме того, троянец может запустить командную оболочку (shell) с заданными переменными окружения и предоставить управляющему серверу доступ к ней, запустить на зараженном компьютере SOCKS proxy или запустить собственную реализацию сервера portmap.

Сигнатура данной вредоносной программы добавлена в вирусную базу Dr.Web, и потому пользователи Антивируса Dr.Web для Linux защищены от действия этого троянца.

Подробнее о троянце

http://feedproxy.google.com/~r/drweb/viruses/~3/C4Jlv1lOz1o/

Компания «Доктор Веб» опубликовала обзор вирусной активности для мобильных устройств за январь 2015 г.

3 февраля 2015 года

Новые записи в вирусной базе Dr.Web для ОС Android

	Вредоносное ПО	Программы-шпионы	Рекламные модули
Январь 2015	351	11	13

«Мобильная» угроза месяца

Троянец Android.CaPson.1

• Может распространяться внутри модифицированной злоумышленниками Android-прошивки.
• Представляет собой исполняемый Linux-файл, который при запуске извлекает из себя несколько рабочих модулей, часть из которых зашифрована. После того как эти компоненты будут расшифрованы и загружены в оперативную память, троянская программа удаляет исходные файлы и приступает к вредоносной деятельности.
• Способен незаметно отправлять и перехватывать СМС-сообщения, открывать интернет-страницы, передавать на удаленный сервер информацию о зараженном мобильном устройстве, а также загружать другие приложения.

Банковские Android-троянцы

В прошедшем месяце специалисты компании «Доктор Веб» отметили появление очередных банковских троянцев, атакующих пользователей мобильных Android-устройств. Немалую активность подобные вредоносные приложения вновь проявили в Южной Корее, где для распространения Android-троянцев злоумышленники активно используют содержащие ссылку на их загрузку СМС-сообщения.

Выявлено более 40 подобных спам-кампаний, в которых было задействовано несколько вредоносных программ.

Троянцы Android.MulDrop

Вредоносные программы, предназначенные для распространения и установки на мобильные устройства других Android-троянцев. Южнокорейскими вирусописателями данные вредоносные приложения используются для распространения разнообразных троянцев-банкеров.

Android.BankBot.29.origin

Банковский троянец, крадущий аутентификационные данные у клиентов ряда южнокорейских кредитных организаций. При запуске оригинальных программ интернет-банкинга троянец подменяет их интерфейс своей поддельной копией, в которой запрашиваются все конфиденциальные сведения, необходимые для доступа к управлению банковским счетом. Введенная пользователем информация в дальнейшем передается злоумышленникам. Под видом подписки на некую банковскую услугу пытается установить вредоносную программу Android.Banker.32.origin.

Android.Banker.50.origin

Представитель семейства банковских троянцев, предназначенных для кражи денежных средств со счетов пользователей ОС Android.

ПО для кибершпионажа

Проблема кибершпионажа остается весьма актуальной для пользователей мобильных устройств. В январе вирусная база Dr.Web пополнилась большим числом записей для разнообразных коммерческих шпионских приложений, предназначенных для установки на Android-смартфоны и планшеты и осуществления слежки за их владельцами. Наряду с обнаружением новых представителей известных семейств «мобильных» программ-шпионов, таких как Program.MobileSpy, Program.Tracer, Program.Highster, Program.OwnSpy, Program.MSpy и ряда других, специалисты компании «Доктор Веб» проанализировали и новые программы подобного класса, например, Program.ZealSpy.1.origin, Program.LetMeSpy.1.origin и Program.CellSpy.1.origin.

• Program.ZealSpy.1.origin
  • Перехватывает СМС- и email-сообщения
  • Получает информацию о телефонных звонках и контактах пользователей
  • Отслеживает GPS-координаты
  • Считывает переписку в популярных программах обмена сообщениями и т. п.
• Program.LetMeSpy.1.origin

  Эта вредоносная программа способна отслеживать:

  • СМС-сообщения
  • телефонные звонки
  • GPS-координаты Android-устройств
• Program.CellSpy.1.origin
  • Перехватывает СМС-сообщения и телефонные звонки
  • Получает GPS-координаты устройства
  • Ведет скрытую аудиозапись окружения
  • Просматривает историю посещений веб-браузера

Угрозы в каталоге Google Play

Зачастую размещенные в каталоге Google Play приложения содержат потенциально опасные или нежелательные модули монетизации, которые работают весьма агрессивно, демонстрируя пользователям навязчивую рекламу. В январе был обнаружен очередной такой модуль, который был применен разработчиками ряда бесплатных программ и внесен в вирусную базу Dr.Web под именем Adware.HideIcon.1.origin.

Adware.HideIcon.1.origin

Рекламный плагин для монетизации бесплатных Android-приложений. Обладает весьма неприятным функционалом.

• Может имитировать процесс загрузки важных файлов, обманом заставляя владельца смартфона или планшета перейти на «проплаченный» веб-сайт.
• С определенной периодичностью предлагает пользователям установить некие «обновления», которые в действительности являются очередными рекламными предложениями.
• Отображает на экране назойливую рекламу при запуске ряда установленных на мобильном устройстве приложений.
• Удаляет оригинальные ярлыки содержащих его программ, в результате чего для неопытных пользователей становится значительно сложнее определить источник столь навязчивых коммерческих предложений. При этом вместо исходных «значков» на главном экране операционной системы создаются новые ярлыки, которые также ведут на различные рекламные предложения в сети Интернет.

http://feedproxy.google.com/~r/drweb/viruses/~3/xKxRY7CipP8/

Компания «Доктор Веб» опубликовала обзор вирусной активности за январь 2015 г.

3 февраля 2015 года

По данным специалистов компании «Доктор Веб», в первом месяце 2015 года злоумышленники организовали несколько массовых рассылок вредоносных программ, предназначенных для установки на инфицированные компьютеры других опасных приложений. Многие пользователи ОС Microsoft Windows пострадали в январе от действия шифровальщиков. Также по-прежнему велико количество троянцев и других опасных программ, угрожающих пользователям мобильной платформы Google Android.

Угроза месяца

В середине января злоумышленники осуществили массовую почтовую рассылку троянца-загрузчика Trojan.DownLoad3.35539.

• Распространяется в виде вложенного в сообщения электронной почты ZIP-архива.
• Основное назначение данной вредоносной программы — скачивание и запуск на инфицированном компьютере троянца-шифровальщика Trojan.Encoder.686, также известного как CTBLocker.

Расшифровка пострадавших от действия данного энкодера файлов в настоящий момент не представляется возможной.

Тем не менее, данная вредоносная программа успешно детектируется Антивирусом Dr.Web и потому пользователи защищены от действия этого троянца.

Подробнее об этом инциденте можно узнать в опубликованной компанией «Доктор Веб» информационной статье.

Троянцы-шифровальщики

Количество запросов на расшифровку, поступивших в службу технической поддержки

Декабрь 2014	Январь 2015	Динамика
1096	1305	+16,1%

В январе увеличилось число пострадавших от действия троянца Trojan.Encoder.686 — в вирусной лаборатории зафиксировано 51 обращение. Этот шифровальщик собран с использованием библиотек TOR и OpenSSL, криптографию которых он активно использует. В процессе шифрования пользовательских файлов энкодер активно эксплуатирует возможности CryptoAPI с целью получения случайных данных и эллиптическую криптографию.

Вирусописатели отводят своим жертвам лишь 96 часов на оплату расшифровки файлов, угрожая при этом, что в случае отказа от сотрудничества все зашифрованные файлы будут потеряны навсегда, а за подробной информацией об условиях и сумме выкупа предлагают обратиться на сайт, расположенный в анонимной сети TOR.

К сожалению, в настоящий момент расшифровка файлов, пострадавших от действия Trojan.Encoder.686, не представляется возможной. Однако данная вредоносная программа успешно детектируется Dr.Web, и пользователи наших продуктов защищены от ее действий.

Другие наиболее распространенные шифровальщики:

• Encoder.556
• Encoder.858
• Encoder.567
• Encoder.398.

Защитить владельцев персональных компьютеров от действия троянцев-шифровальщиков может своевременное резервное копирование данных, разумное разделение прав пользователей операционной системы, и, безусловно, современная антивирусная система защиты. Эффективными инструментами противодействия шифровальщикам обладает Dr.Web Security Space версии 10.0, который включает специальные компоненты превентивной защиты данных от действия троянцев-вымогателей.

По данным статистики лечащей утилиты Dr.Web CureIt!

• Trojan.MulDrop5.10078

  Устанавливает на инфицированный компьютер различные нежелательные и рекламные приложения.

• Trojan.BPlug

  Это надстройки (плагины) для популярных браузеров, демонстрирующие назойливую рекламу при просмотре веб-страниц.

• Trojan.Zadved

  Надстройки, предназначенные для подмены в окне браузера результатов выдачи поисковых систем, а также демонстрации поддельных всплывающих сообщений социальных сетей. Кроме того, в их троянский функционал входит замена рекламных сообщений, демонстрируемых на различных сайтах.

• Trojan.LoadMoney

  Семейство программ-загрузчиков, генерируемых серверами партнерской программы LoadMoney. Данные приложения загружают и устанавливают на компьютер жертвы различное нежелательное ПО.

• Trojan.Click

  Семейство вредоносных программ, предназначенных для накрутки посещаемости различных интернет-ресурсов путем перенаправления запросов жертвы на определенные сайты с помощью управления поведением браузера.

• Trojan.Yontoo

  Семейство надстроек для популярных браузеров, назначение которых заключается в демонстрации пользователю рекламы при просмотре веб-страниц.

По данным серверов статистики «Доктор Веб»

• Trojan.InstallCore.16

  Троянец-установщик рекламных и сомнительных приложений, также известный под именем Trojan.Packed.24524.

• Trojan.DownLoad3.35539

  Троянец-загрузчик, преимущественно распространяющийся по электронной почте в виде ZIP-архива, содержащего .SCR-файл. При попытке открытия файла троянец сохраняет на диске инфицированного компьютера и демонстрирует на экране RTF-документ. Одновременно с этим вредоносная программа загружает с принадлежащих злоумышленникам удаленных серверов и запускает на атакуемом ПК полезную нагрузку, в роли которой был выявлен, в частности, троянец-шифровальщик Trojan.Encoder.686, также известный под названием CTB-Locker.

• Trojan.LoadMoney.336

  Один из представителей семейства программ-загрузчиков, генерируемых серверами партнерской программы LoadMoney. Данные приложения загружают и устанавливают на компьютер жертвы различное нежелательное ПО.

• BackDoor.IRC.NgrBot.42

  Довольно распространенный троянец, известный специалистам по информационной безопасности еще с 2011 года. Вредоносные программы этого семейства способны выполнять на инфицированном компьютере поступающие от злоумышленников команды, а управление ими киберпреступники осуществляют с использованием протокола обмена текстовыми сообщениями IRC (Internet Relay Chat).

• Trojan.OutBrowse.54

  Один из представителей семейства рекламных троянцев, распространяющихся с использованием партнерских программ и предназначенных для монетизации файлового трафика.

Статистика вредоносных программ в почтовом трафике

• BackDoor.Andromeda.404

  Троянец-загрузчик, предназначенный для скачивания с удаленных серверов злоумышленников и запуска на инфицированном компьютере других вредоносных программ.

• Trojan.DownLoad3.35539

  Троянец-загрузчик, преимущественно распространяющийся по электронной почте в виде ZIP-архива, содержащего .SCR-файл. При попытке открытия файла троянец сохраняет на диске инфицированного компьютера и демонстрирует на экране RTF-документ. Одновременно с этим вредоносная программа загружает с принадлежащих злоумышленникам удаленных серверов и запускает на атакуемом ПК полезную нагрузку, в роли которой был выявлен, в частности, троянец-шифровальщик Trojan.Encoder.686, также известный под названием CTB-Locker.

• Trojan.Proxy.23968

  Троянец, предназначенный для установки в инфицированной системе прокси-сервера с целью перехвата конфиденциальной информации при работе с системами дистанционного банковского обслуживания нескольких российских банков. Запустившись на компьютере жертвы, изменяет параметры сетевого соединения, прописывая в них ссылку на сценарий автоматической настройки. Трафик пользователя перенаправляется через прокси-сервер злоумышленников, который способен подменять веб-страницу системы «банк-клиент». Для организации HTTPS-соединения устанавливает в систему поддельный цифровой сертификат.

• Trojan.PWS.Stealer.13025

  Один из представителей семейства вредоносных программ, предназначенных для хищения на инфицированном компьютере конфиденциальной информации, в том числе паролей из почтовых программ, ftp-клиентов, браузеров, мессенджеров.

• W97M.DownLoader.185

  Представитель семейства вредоносных программ, распространяющихся преимущественно по электронной почте в документах Microsoft Word. Предназначен для загрузки на атакуемый компьютер других вредоносных приложений.

Ботнеты

Вредоносная программа Win32.Sector известна с 2008 года и представляет собой сложный полиморфный вирус, способный распространяться самостоятельно (без участия пользователей) и заражать файловые объекты.

Его основные функции:

• загрузка из P2P-сети и запуск на зараженной машине различных исполняемых файлов;
• встраивание в запущенные на инфицированном компьютере процессы;
• возможность останавливать работу некоторых антивирусных программ и блокировать доступ к сайтам их разработчиков;
• инфицирование файловых объектов на локальных дисках и сменных носителях (где в процессе заражения создает файл автозапуска autorun.inf), а также файлов, хранящиеся в общедоступных сетевых папках.

• BackDoor.Flashback.39

  Троянская программа для Mac OS X, получившая распространение в апреле 2012 года. Заражение осуществлялось с использованием уязвимостей Java. Предназначение троянца — загрузка и запуск на инфицированной машине полезной нагрузки, в качестве которой может выступать любой исполняемый файл, указанный в полученной троянцем от злоумышленников директиве.

Угрозы для Linux

В январе 2015 года было выявлено несколько новых образцов вредоносных программ для операционных систем семейства Linux, наиболее интересным из которых является файловый вирус Linux.EbolaChan.

• Основное назначение нового файлового вируса Linux.EbolaChan — запуск по расписанию специального скрипта, который загружает с сайта злоумышленников и выполняет на инфицированном компьютере другие sh-сценарии.

По-прежнему активен Linux-троянец Linux.BackDoor.Gates.5, продолжающий осуществлять DDoS-атаки на различные интернет-ресурсы. В январе 2015 года специалистами «Доктор Веб» было зафиксировано 5009 уникальных IP-адресов, на которые осуществлялись атаки, большинство из них, как и прежде, расположено на территории Китая:

Мошеннические и нерекомендуемые сайты

В течение января 2015 года в базу нерекомендуемых сайтов Dr.Web был добавлен 10 431 интернет-адрес.

Декабрь 2014	Январь 2015	Динамика
10 462	10 431	+0,3%

Для защиты пользователей от различных способов мошенничества в Интернете служит компонент Родительский контроль, входящий в комплект поставки Dr.Web Security Space 10.0. Родительский контроль позволяет ограничивать доступ к интернет-сайтам определенной тематики, осуществляет фильтрацию подозрительного контента, а также, используя базы нерекомендуемых ссылок, защищает пользователя от мошеннических, потенциально опасных сайтов, шокирующего контента и ресурсов, замеченных в распространении вредоносного ПО.

Узнайте больше о нерекомендуемых Dr.Web сайтах

Вредоносное и нежелательное ПО для Android

В январе 2015 года было выявлено большое число новых вредоносных, а также других опасных Android-программ. Среди них наиболее актуальны следующие:

• Троянцы, распространяющиеся внутри модифицированных злоумышленниками Android-прошивок;
• Банковские Android-троянцы

Немалую активность подобные вредоносные приложения вновь проявили в Южной Корее, где для распространения Android-троянцев злоумышленники активно используют содержащие ссылку на их загрузку СМС-сообщения.

Выявлено более 40 подобных спам-кампаний, в которых было задействовано несколько вредоносных программ.

• Коммерческое шпионское ПО

  В январе вирусная база компании «Доктор Веб» пополнилась большим числом записей для разнообразных коммерческих шпионских приложений, предназначенных для установки на мобильные Android-устройства и осуществления слежки за их владельцами.

• Угрозы в каталоге Google Play

  Агрессивные и потенциально опасные рекламные платформы для мобильных устройств остаются актуальной проблемой. Одна из таких систем была внедрена в ряде бесплатных программ, размещенных в каталоге Google Play.

Узнайте более подробную информацию о вредоносных программах для мобильной платформы Google Android, ознакомившись с нашим специальным обзором.

Узнайте больше с Dr.Web

Вирусная статистика Библиотека описаний Все обзоры о вирусах Лаборатория-live

http://feedproxy.google.com/~r/drweb/viruses/~3/SriiUjfqeFQ/

21 января 2015 года

Компания «Доктор Веб» предупреждает пользователей о начавшейся на этой неделе массовой почтовой рассылке, с использованием которой злоумышленники распространяют опасную вредоносную программу-загрузчик. Основное предназначение этого приложения — скачивание и запуск на инфицированном компьютере троянца-шифровальщика Trojan.Encoder.686, представляющего для пользователей серьезную угрозу, поскольку пострадавшие от его действия файлы в настоящее время не поддаются расшифровке.

Троянец-загрузчик, добавленный в вирусную базу Dr.Web под наименованием Trojan.DownLoad3.35539, распространяется злоумышленниками при помощи массовой спам-рассылки в виде вложенного в сообщения электронной почты ZIP-архива. Специалисты «Доктор Веб» зафиксировали случаи распространения сообщений, содержащих опасное вложение, на разных языках, в том числе английском, немецком и даже грузинском.

Архив содержит .SCR-файл — к данному типу файлов по умолчанию относятся скринсейверы (заставки) Windows. Подобные файлы являются исполняемыми. При попытке запуска файла из архива Trojan.DownLoad3.35539 извлекает из своего тела, сохраняет на диск и открывает на экране атакуемого компьютера текстовый RTF-документ.

Одновременно с этим Trojan.DownLoad3.35539 устанавливает соединение с одним из принадлежащих злоумышленникам удаленных серверов, загружает оттуда архив, содержащий троянца-шифровальщика Trojan.Encoder.686, который также известен под названием CTB-Locker, после чего распаковывает и запускает его. Успешно инициализировавшись на зараженном компьютере, Trojan.Encoder.686 выполняет шифрование пользовательских файлов, после чего демонстрирует на экране заранее сформированное злоумышленниками сообщение.

Примечательно, что вирусописатели отводят своим жертвам лишь 96 часов на оплату расшифровки файлов, угрожая при этом, что в случае отказа от сотрудничества все зашифрованные файлы будут потеряны навсегда. При этом за подробной информацией об условиях и сумме выкупа киберпреступники предлагают пострадавшим пользователям обратиться на сайт, расположенный в анонимной сети TOR.

Троянец-шифровальщик Trojan.Encoder.686 собран с использованием библиотек TOR и OpenSSL, криптографию которых активно использует. В процессе шифрования пользовательских файлов энкодер активно эксплуатирует возможности CryptoAPI с целью получения случайных данных и эллиптическую криптографию, в связи с чем расшифровка пострадавших от его действия файлов в настоящий момент не представляется возможной.

Компания «Доктор Веб» предупреждает пользователей о необходимости проявлять бдительность и не запускать присланные по e-mail исполняемые файлы, не открывать вложения в сообщениях электронной почты, полученных из сомнительных источников, а также напоминает о целесообразности своевременного резервного копирования всех представляющих ценность данных.

Также напоминаем, что в составе Dr.Web Security Space версии 9 и 10 имеется несколько компонентов, позволяющих настроить своевременное автоматическое резервное копирование наиболее ценной информации и обезопасить компьютер от действия троянцев-энкодеров, а также других вредоносных программ.

Чтобы избежать потери ценных файлов, воспользуйтесь следующими советами:

1. Убедитесь, что в настройках Dr.Web Security Space (версии 9 и 10) включена «Превентивная защита», которая бережет ваш ПК от угроз, еще не известных вирусной базе Dr.Web.

   

2. После этого включите «Защиту от потери данных» в разделе «Инструменты» и настройте параметры хранилища резервной копии важных для вас файлов.

   

3. Создайте резервную копию ценных данных и настройте их автоматическое сохранение по удобному для вас графику, выбрав подходящий временной интервал.

   

Эти действия в сочетании с определенной осмотрительностью при работе с электронной почтой позволят вам защитить вашу операционную систему от большинства современных угроз, включая троянцев-шифровальщиков.

http://feedproxy.google.com/~r/drweb/viruses/~3/20KKUENq8kk/

31 декабря 2014 года

Компания «Доктор Веб» представляет обзор вирусной активности за минувший год, выдавшийся весьма богатым на события, связанные с распространением угроз информационной безопасности. Наиболее яркой тенденцией 2014 года можно считать появление троянцев-блокировщиков и даже первых шифровальщиков для мобильной платформы Google Android, также возросло количество вновь обнаруженных банковских троянцев и троянцев-шпионов для этой операционной системы. Значительно выросло число обнаруженных вредоносных программ для операционных систем семейства Linux. По-прежнему часты случаи заражения компьютеров под управлением Microsoft Windows различными вариантами троянцев-энкодеров. И, конечно же, вирусописатели не обошли своим вниманием пользователей операционной системы Mac OS X, для которой в течение минувшего года также были обнаружены новые вредоносные приложения.

Вирусная обстановка

Согласно статистическим данным, собранным в течение 2014 года с использованием лечащей утилиты Dr.Web CureIt!, за истекшие двенадцать месяцев абсолютным лидером по числу обнаружений на компьютерах пользователей стал установщик нежелательных приложений, внесенный в вирусные базы под именем Trojan.Packed.24524. На втором и третьем местах по итогам года расположились рекламные надстройки для браузеров Trojan.BPlug.123 и Trojan.BPlug.100. Подобные плагины, детектируемые антивирусным ПО Dr.Web как вредоносные программы семейства Trojan.BPlug, могут быть установлены на компьютер без ведома пользователя различными способами (например, в процессе инсталляции других бесплатных приложений) и способны встраивать в просматриваемые веб-страницы рекламу, «продвигающую» различные мошеннические ресурсы.

Десять вредоносных программ, обнаруживаемых лечащей утилитой Dr.Web CureIt! на компьютерах пользователей в 2014 году наиболее часто, показаны в приведенной ниже таблице:

Название	%
Trojan.Packed.24524	1.60
Trojan.BPlug.123	0.80
Trojan.BPlug.100	0.71
Trojan.MulDrop5.10078	0.55
Trojan.BPlug.218	0.54
Trojan.BPlug.48	0.53
Trojan.BPlug.28	0.46
Trojan.Admess.4	0.44
Trojan.DownLoader11.3101	0.38
Trojan.Click3.8536	0.36

Данная статистика наглядно демонстрирует, что среди общего числа вредоносных файлов, выявленных при помощи лечащей утилиты Dr.Web CureIt!, преобладают установщики нежелательных приложений, а также рекламные надстройки к браузерам и троянцы, предназначенные для демонстрации назойливой рекламы при просмотре веб-страниц. В течение года активность различных партнерских программ, распространяющих подобный «рекламный мусор», заметно возросла. Судя по всему, обусловлено это тем, что такие рекламные троянцы приносят своим создателям и распространителям довольно неплохой доход, и в будущем киберпреступники вряд ли откажутся упускать из своих рук легкую прибыль. Следовательно, тенденция к распространению рекламных троянцев должна сохраниться и в новом году.

Надежной защитой от подобных вредоносных программ является компонент SpIDer Gate, входящий в Dr.Web Security Space 10.0. Он предотвращает доступ пользователя к подозрительным сайтам и интернет-ресурсам, замеченным в распространении вредоносного ПО, что значительно снижает вероятность заражения.

Согласно данным, собранным серверами статистики Dr.Web, в 2014 году на компьютерах пользователей по числу обнаружений также лидировал установщик нежелательных программ Trojan.Packed.24524, на втором месте расположился рекламный троянец Trojan.InstallMonster.51 — один из представителей семейства вредоносных приложений, распространяемых в рамках партнерской программы Installmonster (также известной как Zipmonster). Эти опасные утилиты способны устанавливать на компьютеры пользователей другие нежелательные приложения. Так, в 2014 году партнерская программа Installmonster была замечена в распространении троянцев Trojan.Click3.9243, который предназначен для «накручивания» числа переходов по рекламным ссылкам, и Trojan.Admess.1, способного подменять рекламные блоки при просмотре пользователем различных веб-страниц, а также некоторых других. Двадцатка наиболее «популярных» согласно данным серверов статистики Dr.Web вредоносных приложений в 2014 году приведена в следующей таблице:

1	Trojan.Packed.24524	0.30%
2	Trojan.InstallMonster.51	0.21%
3	Trojan.MulDrop5.10078	0.20%
4	BackDoor.IRC.NgrBot.42	0.18%
5	Trojan.LoadMoney.15	0.17%
6	BackDoor.PHP.Shell.6	0.16%
7	Trojan.LoadMoney.1	0.14%
8	Trojan.Fraudster.524	0.14%
9	Trojan.LoadMoney.262	0.13%
10	Trojan.InstallMonster.242	0.12%
11	Win32.HLLW.Shadow	0.12%
12	Trojan.MulDrop4.25343	0.12%
13	Trojan.InstallMonster.209	0.11%
14	Win32.HLLW.Autoruner.59834	0.11%
15	Trojan.LoadMoney.263	0.11%
16	Trojan.Triosir.1	0.10%
17	BackDoor.Infector.133	0.10%
18	BackDoor.Andromeda.404	0.09%
19	Win32.HLLW.Gavir.ini	0.09%
20	Trojan.LoadMoney.336	0.09%

В минувшем году в почтовом трафике антивирусное ПО Dr.Web наиболее часто обнаруживало троянца-загрузчика BackDoor.Andromeda.404. Этот троянец предназначен для скачивания и установки на компьютер жертвы других опасных приложений, и в течение года злоумышленники массово распространяли его в виде вложений в сообщения электронной почты:

На втором месте в почтовом трафике числится троянец Trojan.Redirect.197, добавленный в вирусные базы в июле 2014 года — это массово распространявшийся по электронной почте небольшой файл, при открытии письма перенаправлявший потенциальную жертву на вредоносный сайт, с которого на компьютер загружались другие троянские приложения, в частности, предназначенный для кражи конфиденциальной информации троянец Trojan.PWS.Papras.334.

На третьем месте расположилась вредоносная программа BackDoor.Tishop.122 — это троянец-загрузчик, который сами вирусописатели называют Smoke Loader, распространяющийся в том числе путем массовых почтовых рассылок. Назначение данного троянца заключается в загрузке на инфицированный компьютер и запуске других вредоносных приложений. В 2014 году злоумышленники часто рассылали BackDoor.Tishop.122 под видом писем от различных популярных интернет-ресурсов. Так, в июне он массово распространялся якобы от имени интернет-портала Amazon c информацией о поступившем заказе.

После своего запуска BackDoor.Tishop.122 выполняет проверку окружения на наличие «песочницы» или виртуальной машины, создает свою копию в одной из папок на диске компьютера, регистрирует себя в отвечающей за автозагрузку ветви реестра Windows и встраивается в ряд системных процессов. При наличии подключения к Интернету троянец пытается загрузить на инфицированную машину другие вредоносные программы, после чего запускает их.

Также в числе наиболее «популярных» среди спамеров опасных приложений неизменно присутствуют представители семейства банковских троянцев Trojan.PWS.Panda. Эти вредоносные программы обладают широчайшим набором функциональных возможностей — они «умеют» фиксировать нажатия клавиш на инфицированном ПК, выполнять поступающие от злоумышленников команды, создавать снимки экрана, но основное их предназначение — кража средств со счетов пользователей систем дистанционного банковского обслуживания и похищение иной конфиденциальной информации. Двадцатка вредоносных программ, обнаруживаемых антивирусным ПО Dr.Web в течение 2014 года в почтовом трафике наиболее часто, представлена в следующей таблице:

1	BackDoor.Andromeda.404	0.55%
2	Trojan.Redirect.197	0.40%
3	BackDoor.Tishop.122	0.35%
4	Trojan.PWS.Panda.655	0.34%
5	Trojan.Fraudster.778	0.33%
6	Trojan.Redirect.195	0.32%
7	Trojan.DownLoad3.32784	0.29%
8	Trojan.PWS.Panda.5676	0.29%
9	Trojan.DownLoad3.28161	0.26%
10	BackDoor.Andromeda.559	0.25%
11	Trojan.PWS.Panda.4795	0.24%
12	Trojan.DownLoad3.33795	0.23%
13	Win32.HLLM.MyDoom.54464	0.23%
14	Trojan.Hottrend	0.21%
15	Trojan.Oficla.zip	0.21%
16	Trojan.PWS.Stealer.4118	0.21%
17	Trojan.PWS.Panda.2401	0.20%
18	Trojan.Fraudster.517	0.19%
19	BackDoor.Comet.884	0.18%
20	Trojan.PWS.Multi.911	0.18%

Троянцы-загрузчики, рассылаемые злоумышленниками по электронной почте, могут превратить незащищенный компьютер в настоящий заповедник для различных вредоносных программ, а бэкдоры и троянцы, предназначенные для хищения конфиденциальной информации, например, часто встречающиеся в приведенной выше статистической таблице банковские троянцы семейства Trojan.PWS.Panda, способны похищать не только пароли и сведения из заполняемых пользователем веб-форм, но и денежные средства при атаках на системы дистанционного банковского обслуживания.

Полноценной защитой от вредоносных программ, распространяемых злоумышленниками по каналам электронной почты, является компонент SpIDer Mail, входящий в комплект поставки Dr.Web Security Space и Антивируса Dr.Web 10.0. Данный компонент позволяет оперативно выявлять и удалять не только опасные программы, прикрепленные к электронным сообщениями в качестве вложения, но также блокировать письма, содержащие подозрительные ссылки или опасные скрипты.

Троянцы-энкодеры

В 2014 году троянцы-энкодеры, шифрующие данные на компьютерах своих жертв и требующие выкуп за их расшифровку, представляли одну из наиболее распространенных и опасных угроз. За истекшие 12 месяцев в службу технической поддержки компании «Доктор Веб» обратилось более 10 000 пользователей, пострадавших от действий троянцев-энкодеров. При этом начиная с июля ежемесячное число обращений постепенно росло и в августе увеличилось практически в два раза по сравнению с январскими показателями. Это хорошо видно на представленной ниже диаграмме, помесячно демонстрирующей количество обратившихся за помощью в компанию «Доктор Веб» пользователей в 2014 году: наименьшее число обращений — 507 — зафиксировано в апреле, наибольшее — 1609 — в октябре:

Наиболее распространенными версиями троянцев-шифровальщиков в 2014 году стали представители семейства BAT.Encoder, а также троянцы Trojan.Encoder.94, Trojan.Encoder.102, Trojan.Encoder.293, Trojan.Encoder.398, Trojan.Encoder.741 и Trojan.Encoder.567.

Следует отметить, что 2014 год принес значительные успехи в борьбе с распространяющими энкодеры злоумышленниками: специалисты компании «Доктор Веб» разработали уникальные методы расшифровки файлов, пострадавших от некоторых представителей этого семейства вредоносных программ. Так, в июле появилась возможность расшифровки файлов, зашифрованных троянцем Trojan.Encoder.293, известным еще с сентября 2013 года и являющимся более поздней модификацией семейства Trojan.Encoder.102. Данные троянцы выполняют шифрование файлов в два приема: сначала с использованием алгоритма XOR, затем — алгоритма RSA. Зашифровав хранящиеся на дисках компьютера пользовательские файлы, вредоносная программа демонстрирует сообщение с требованием оплаты их расшифровки, при этом для связи злоумышленники используют различные адреса электронной почты.

Позже, в ноябре 2014 года, появилась возможность восстановления файлов, пострадавших от действия троянской программы Trojan.Encoder.398, расшифровка которых ранее считалась невозможной. Троянец-шифровальщик Trojan.Encoder.398 написан на языке Delphi и по ряду признаков представляет собой усовершенствованную версию вредоносной программы Trojan.Encoder.225. Ключи для шифрования файлов пользователя Trojan.Encoder.398 получает с сервера злоумышленников. Для связи киберпреступники обычно используют следующие адреса электронной почты: mrcrtools@aol.com, back_files@aol.com, backyourfile@aol.com, vernut2014@qq.com, yourfiles2014@yahoo.com, restorefiles2014@yahoo.fr, filescrypt2014@foxmail.com и некоторые другие.

Возможность восстановления поврежденных данным троянцем файлов стала результатом проведенной специалистами компании «Доктор Веб» исследовательской работы по созданию эффективных алгоритмов расшифровки. Эти усилия принесли свои плоды: на момент разработки данного метода «Доктор Веб» являлась единственной компанией, специалисты которой с вероятностью в 90% были способны восстановить файлы, зашифрованные злоумышленниками с использованием вредоносной программы Trojan.Encoder.398. В настоящий момент злоумышленники изменили алгоритм шифрования, и эти показатели несколько снизились. Вместе с тем, компания «Доктор Веб» продолжает исследования, направленные на борьбу с троянцами-шифровальщиками.

Из представленной выше информации становится очевидно, что троянцы-шифровальщики представляют очень серьезную угрозу для пользователей, и количество заражений этими вредоносными программами постепенно возрастает. Можно предположить, что данная тенденция сохранится и в следующем году.

Если вы стали жертвой этой вредоносной программы, воспользуйтесь следующими рекомендациями:

• обратитесь с соответствующим заявлением в полицию;
• ни в коем случае не пытайтесь переустановить операционную систему;
• не удаляйте никакие файлы на вашем компьютере;
• не пытайтесь восстановить зашифрованные файлы самостоятельно;
• обратитесь в службу технической поддержки компании «Доктор Веб», воспользовавшись формой по адресу https://support.drweb.ru/new/free_unlocker/?keyno=&for_decode=1 (услуга предоставляется лицензионным пользователям);
• к тикету приложите зашифрованный троянцем .DOC-файл;
• дождитесь ответа вирусного аналитика. В связи с большим количеством запросов это может занять некоторое время.

Защитить владельцев персональных компьютеров от действия троянцев-шифровальщиков может своевременное резервное копирование данных, разумное разделение прав пользователей операционной системы, и, безусловно, современный антивирус, обладающий эффективными средствами противодействия подобным типам угроз. Именно таким антивирусным решением является Dr.Web Security Space версии 10.0, который включает специальные компоненты превентивной защиты данных от действия троянцев-вымогателей. Чтобы обезопасить себя от потери ценных файлов, воспользуйтесь следующими советами:

1. Убедитесь, что в настройках Антивируса включена «Превентивная защита», которая бережет ваш ПК от угроз, еще не известных вирусной базе Dr.Web.

2. После этого включите «Защиту от потери данных» в разделе «Инструменты» и настройте параметры хранилища резервной копии важных для вас файлов.

3. Создайте резервную копию ценных данных и настройте их автоматическое сохранение по удобному для вас графику, выбрав подходящий временной интервал.

Ботнеты

В течение минувшего года вирусные аналитики компании «Доктор Веб» внимательно следили за функционированием нескольких бот-сетей, созданных киберпреступниками с использованием различного вредоносного ПО. Так, ежемесячная активность состоящего из двух подсетей ботнета, образованного персональными компьютерами, инфицированными файловым вирусом Win32.Rmnet.12, постепенно менялась, причем к концу года активность бот-сети значительно возросла. Вирус состоит из нескольких модулей, его основной вредоносный функционал позволяет встраивать в просматриваемые веб-страницы посторонний контент, перенаправлять пользователя на указанные злоумышленниками сайты, а также передавать на удаленные узлы содержимое заполняемых жертвой форм. Также вирус «умеет» красть пароли от популярных FTP-клиентов, таких как Ghisler, WS FTP, CuteFTP, FlashFXP, FileZilla и Bullet Proof FTP. Помимо этого, вредоносная программа запускает на инфицированной машине локальный FTP-сервер. Еще один компонент Win32.Rmnet.12 способен выполнять поступающие от удаленных центров команды и передавать на сайты злоумышленников похищенную с инфицированного компьютера информацию. Вирус обладает способностью к самокопированию, заражая исполняемые файлы, сменные носители информации, а также способен распространяться с помощью встраиваемых в веб-страницы сценариев, написанных на языке VBScript.

Проследить активность ботнета Win32.Rmnet.12 можно с помощью представленных ниже графиков:

Показатели среднестатистической активности инфицированных узлов в ботнете Win32.Rmnet.12 в 2014 году
(1-я подсеть)

Показатели среднестатистической активности инфицированных узлов в ботнете Win32.Rmnet.12 в 2014 году
(2-я подсеть)

Еще одна бот-сеть, за поведением которой с мая 2014 года стали пристально следить специалисты «Доктор Веб», создана злоумышленниками с использованием полиморфного файлового вируса Win32.Sector, известного с 2008 года. Вирус способен распространяться самостоятельно (без участия пользователей) и заражать файловые объекты. Его основная функция — загрузка из P2P-сети и запуск на зараженной машине различных исполняемых файлов. Эта вредоносная программа «умеет» встраиваться в запущенные на инфицированном компьютере процессы, а также обладает возможностью останавливать работу некоторых антивирусных программ и блокировать доступ к сайтам их разработчиков. Вирусные аналитики компании «Доктор Веб» получили возможность подсчитать среднестатистическую активность узлов ботнета и оценить масштабы распространения вируса — до конца июня активность ботнета неуклонно росла, а позже стала понемногу снижаться. Эта тенденция продемонстрирована на представленной ниже диаграмме:

Показатели среднестатистической активности инфицированных узлов в ботнете Win32.Sector в 2014 году

Понемногу снижается и численность ботнета, состоящего из инфицированных троянцем BackDoor.Flashback.39 Apple-совместимых компьютеров, работающих под управлением операционной системы Mac OS X. Если в начале года в данной бот-сети проявляло активность порядка 39 304 ботов, то к декабрю их среднестатистическое количество снизилось до 22 686. Общая численность бот-сети BackDoor.Flashback.39 сократилась за минувший год на 42%.

Показатели среднестатистической активности инфицированных узлов в ботнете BackDoor.Flashback.39 в 2014 году

Угрозы для Linux

2014 год оказался чрезвычайно урожайным на новые вредоносные программы, угрожающие операционным системам семейства Linux. Особенно высокую активность проявляли китайские вирусописатели, создавшие значительное число новых Linux-троянцев, предназначенных для осуществления DDoS-атак.

Так, рекордное по сравнению с предыдущими месяцами количество троянцев для ОС Linux было исследовано специалистами компании «Доктор Веб» в апреле-мае 2014 года: среди них — Linux.DDoS.3, который позволяет осуществлять DDoS-атаки на заданный сервер с использованием протоколов TCP/IP (TCP flood), UDP (UDP flood), а также отправлять запросы на серверы DNS для усиления эффективности атак (DNS Amplification). Еще одна модификация данной угрозы, получившая наименование Linux.DDoS.22, ориентирована на работу с дистрибутивами Linux для процессоров ARM, а Linux.DDoS.24 способен инфицировать серверы и рабочие станции, на которых используются 32-разрядные версии Ubuntu и CentOS. Семейство Linux.DnsAmp включает сразу нескольких представителей: некоторые вредоносные программы этого семейства используют сразу два управляющих сервера и способны инфицировать как 32-разрядные (Linux.DnsAmp.1, Linux.DnsAmp.3, Linux.DnsAmp.5), так и 64-разрядные (Linux.DnsAmp.2, Linux.DnsAmp.4) версии Linux. Данные вредоносные приложения обладают достаточно широким функционалом по организации DDoS-атак различных типов по команде, поступающей от удаленного сервера.

Троянцы Linux.DnsAmp.3 (для 32-разрядных версий Linux) и Linux.DnsAmp.4 (для 64-разрядных Linux-дистрибутивов) представляют собой модификации первой версии Linux.DnsAmp с предельно упрощенной системой команд. Также следует упомянуть о вредоносной программе для ARM-совместимых дистрибутивов Linux, получившей наименование Linux.Mrblack. Этот троянец также предназначен для выполнения DDoS-атак с использованием протоколов TCP/IP и HTTP.

Вредоносные программы другого семейства, получившего наименование Linux.BackDoor.Gates, сочетают в себе функциональные возможности классического бэкдора и троянца для организации DDoS-атак. Угроза ориентирована на 32-разрядные дистрибутивы Linux, и по ряду признаков можно сделать вывод о том, что ее авторами являются те же вирусописатели, которые разработали троянцев семейств Linux.DnsAmp и Linux.DDoS.

Еще один DDoS-троянец, которому было присвоено наименование Linux.BackDoor.Fgt.1, был исследован специалистами компании «Доктор Веб» в ноябре 2014 года. Это приложение реализует любопытный алгоритм самораспространения: троянец обладает специальной функцией, с использованием которой он в течение одного цикла осуществляет сканирование 256 удаленных IP-адресов, выбранных случайным образом, при этом цикл запускается по команде злоумышленников. В процессе генерации IP-адресов Linux.BackDoor.Fgt.1 проверяет, не попадают ли они в диапазоны, которые используются для адресации внутри локальных сетей, — такие адреса игнорируются. Если же связь установлена, вредоносная программа пытается соединиться с портом удаленного узла, используемым службой Telnet, и получить от атакуемой машины запрос логина. Отправив на удаленный узел логин из заранее сформированного списка, Linux.BackDoor.Fgt.1 выполняет анализ поступающих от него откликов. Если среди них встречается запрос для ввода пароля, троянец пытается выполнить авторизацию методом перебора паролей по списку. В случае успеха на атакуемый узел направляется команда загрузки специального скрипта. Тот, в свою очередь, скачивает из Интернета и запускает во взломанной системе исполняемый файл самого троянца Linux.BackDoor.Fgt.1. Примечательно, что на принадлежащем вирусописателям сервере имеется значительное количество исполняемых файлов Linux.BackDoor.Fgt.1, скомпилированных для разных версий и дистрибутивов Linux, в том числе для встраиваемых систем с архитектурой MIPS и SPARC-серверов. Таким образом, троянец может инфицировать не только подключенные к Интернету серверы и рабочие станции под управлением Linux, но и другие устройства, например, маршрутизаторы.

Иными словами, в течение года в вирусные базы Dr.Web было добавлено значительное число новых семейств Linux-троянцев, которое можно с полным основанием назвать рекордным. Среди них — семейства троянцев, предназначенных для организации массовых DDoS-атак: Linux.DnsAmp, Linux.BackDoor.Gates, Linux.Mrblack (для архитектуры ARM), Linux.Myk, Linux.DDoS. Новые троянцы-бэкдоры для Linux объединены следующими семействами: Linux.BackDoor.CNGame, Linux.BackDoor.BossaBot, Linux.BackDoor.Fgt, Linux.BackDoor.WopBot, а также к упомянутой категории относится использовавшийся для компрометации веб-серверов бэкдор Linux.Roopre. Был выявлен червь для Linux, относящийся к семейству Linux.Themoon. В 2014 году в вирусные базы Dr.Web были добавлены записи для руткита, инфицирующего ОС Linux — этот троянец получил наименование Linux.Azazel. Кроме того, злоумышленниками было создано несколько Linux-троянцев, предназначенных для майнинга (добычи) криптовалют — это Linux.BtcMine и Linux.CpuMiner. Наконец, в течение минувшего года было выявлено и добавлено в базы несколько сложных троянцев для Linux, таких как Linux.BackDoor.Fysbis (Sednit), Linux.BackDoor.Turla и Linux.BackDoor.Finfisher.

Число образцов вредоносных программ для ОС Linux, поступивших в вирусную лабораторию компании Dr.Web в 2014 году

Значительный рост количества вредоносных программ для Linux — одна из наиболее явных тенденций 2014 года. Основная цель, преследуемая злоумышленниками, — организация массированных DDoS-атак с использованием инфицированных устройств. Защитить пользователей от данной категории вредоносного ПО призван Антивирус Dr.Web для Linux — единственный надежный и проверенный способ защиты ОС Linux от современного вредоносного ПО.

Угрозы для Mac OS X

В минувшем году вирусописатели не обошли своим вниманием и пользователей операционной системы Mac OS X. Так, еще в феврале 2014 года специалистами «Доктор Веб» был обнаружен троянец Trojan.CoinThief, предназначенный для хищения криптовалюты Bitcoin на «персоналках» производства компании Apple. Trojan.CoinThief заражает компьютеры, работающие под управлением Mac OS X, при этом первые образцы этого троянца получили распространение еще осенью 2013 года, в период бурного роста курса электронной криптовалюты Bitcoin. Программа маскируется под легитимные утилиты для добычи (майнинга) этой криптовалюты, такие как, в частности, BitVanity, StealthBit, Bitcoin Ticker TTM, Litecoin Ticker.

С помощью другой вредоносной программы для Apple, получившей наименование Mac.BackDoor.iWorm, злоумышленники создали полноценный ботнет, насчитывавший в сентябре 2014 года 18 519 уникальных IP-адресов инфицированных компьютеров. Данная программа открывает перед злоумышленниками возможность выполнять на инфицированном «маке» широкий набор команд, которые можно разделить на два типа: различные директивы в зависимости от поступивших бинарных данных или Lua-скрипты. Собранная специалистами компании «Доктор Веб» статистика показывает, наибольшее количество IP-адресов инфицированных «маков» (26.1% от общего числа) приходилось на долю США, на втором месте — Канада с показателем 7%, третье место занимала Великобритания: здесь выявлено 6,9% IP-адресов инфицированных компьютеров от их общего числа.

Помимо прочего, в 2014 году были обнаружены новые бэкдоры для Mac OS X, среди которых следует отметить Mac.BackDoor.WireLurker, Mac.BackDoor.XSLCmd, Mac.BackDoor.Ventir, BackDoor.LaoShu и BackDoor.DaVinci (этот троянец известен с 2013 года, однако в 2014 появились его новые образцы). Также в вирусные базы были добавлены рекламные троянцы для Mac OS X Trojan.Genieo, Trojan.Vsearch и Trojan.Conduit.

Количество образцов вредоносных программ для Mac OS X, поступивших в вирусную лабораторию «Доктор Веб» в 2014 году, показано на следующей иллюстрации:

Число образцов вредоносных программ для Mac OS X, поступивших в вирусную лабораторию компании "Доктор Веб" в 2014 году

Защитить пользователей Apple-совместимых компьютеров от различных угроз призван Антивирус Dr.Web для Mac OS X 10.0. В продукт включен новый компонент — веб-антивирус SpIDer Gate, — предназначенный для проверки HTTP-трафика и контроля доступа к интернет-ресурсам. С появлением в Dr.Web для Mac OS X веб-антивируса SpIDer Gate в режиме реального времени производится проверка любого трафика по всем портам, перехватываются все HTTP-соединения и обеспечивается безопасность от фишинговых и других опасных интернет-ресурсов. Это позволяет получить дополнительную защиту и в тех случаях, когда пользователь самостоятельно рискует загрузить на свой «мак» вредоносное приложение. Кроме того, SpIDer Gate дает возможность ограничить доступ к Интернету по «черным» спискам нерекомендуемых сайтов.

Сетевые мошенничества

В течение 2014 года сетевые жулики продолжали изыскивать все новые и новые способы обмана доверчивых пользователей Интернета. Для борьбы с этим явлением служат компоненты Dr.Web Security Space SpIDer Gate и Родительский контроль, в базы которого еженедельно в среднем добавляется от 2000 до 6000 ссылок на мошеннические, подозрительные и нерекомендуемые сайты.

Так, нередко злоумышленники наживаются на людях, желающих поправить свое финансовое положение, не прилагая к этому каких-либо усилий, — в минувшем году значительную популярность в Интернете набрали так называемые «бинарные опционы». Сетевые мошенники рекламируют подобные интернет-ресурсы преимущественно при помощи спам-рассылок, содержащих обращение к пользователю якобы от имени успешного коммерсанта, заработавшего в Интернете миллионы за считанные дни, либо от лица блогера, попробовавшего новый способ заработка и достигшего на этом поприще заметных результатов.

На подобных страничках пространно рассказывается об «уникальном» способе биржевой торговли, называемом «бинарными опционами». Согласно представленным на мошеннических сайтах сведениям, «бинарные опционы» представляют собой ставку на то, будет ли какой-либо актив (валюта, драгоценные металлы, пакет акций, и т. д.) расти в цене или дешеветь. Если пользователь угадал, его первоначальная ставка увеличивается на определенный процент, если нет — ставка сгорает.

Для организации торгового процесса мошенниками были разработаны специальные сайты, на которых якобы действуют программы-роботы, принимающие ставки, однако никакой связи с международными валютными рынками или фондовыми биржами подобные интернет-ресурсы не имеют: пользователь «играет» с локально работающей на сервере программой-роботом. При этом, если жертва мошенников пожелает вывести заработанные деньги из игровой системы, она, как правило, сталкивается с различными непредвиденными трудностями, которые делают эту операцию неосуществимой.

Другой популярный вид мошенничества в 2014 году получил широкое распространение в период проведения зимних Олимпийских игр в Сочи, хотя был известен и ранее. Как и в большинстве случаев сетевого жульничества, преступники пытаются сыграть на стремлении некоторых граждан обогатиться без усилий. Специально для подобной категории пользователей предприимчивые интернет-коммерсанты и разработали сайты, на которых предлагается приобрести «надежную и проверенную информацию» о договорных спортивных состязаниях, исход которых, якобы, заранее известен. С помощью этих сведений, по утверждениям сетевых жуликов, можно с уверенностью делать ставки в букмекерских конторах и в кратчайшие сроки заработать себе скромный многомиллионный капитал.

Потенциальной жертве «торговцы счастьем» предлагают приобрести сведения об исходе какого-либо спортивного состязания, либо оплатить подписку, по условиям которой подобные данные будут предоставляться на регулярной основе. Стоимость этой услуги редко превышает 150 долларов. Для усыпления бдительности потенциальных покупателей на подобных сайтах зачастую публикуются снимки экрана, демонстрирующие якобы выигравшие букмекерские ставки, а также восторженные отзывы внезапно озолотившихся «клиентов» — разумеется, поддельные.

На практике в лучшем случае жертва получает обычный прогноз об исходе того или иного матча, зачастую составленный профессиональными спортивными аналитиками и опубликованный ранее в свободном доступе. Иными словами, мошенники выдают за предрешенный результат обычный спортивный прогноз, который, разумеется, не может служить стопроцентной гарантией выигрыша. Иногда сетевые жулики предлагают своим клиентам «гарантии» в виде возврата вложенных ими средств, если предоставленная им информация окажется неверной, однако они все равно останутся с прибылью, поскольку части покупателей обычно предоставляется прогноз с одним исходом матча, а другой части — прямо противоположный. При этом даже в случае проигрыша вернуть деньги порой становится нетривиальной задачей: разгневанному покупателю вместо возврата средств обычно предлагается «еще один бесплатный прогноз».

Зачастую жертвами сетевых мошенников становятся поклонники многопользовательских игр, многие из которых представляют собой целые виртуальные миры со своими традициями, историей, культурой и даже своеобразной экономической моделью, позволяющей покупать и продавать как отдельные виртуальные предметы, так и целых персонажей, «прокачанных» игроком до определенного уровня.

Приобретая аккаунт на игровом сервере, покупатель стремится получить не просто персонажа с максимальным количеством различных «навыков» и баллов опыта, но также игровую амуницию, доспехи, ездовых животных (иногда довольно редких), набор умений и профессий, доступных для данного героя, иные игровые артефакты и возможности. Основным фактором риска для покупателя персонажей является то, что выставленный на продажу мошенниками игровой аккаунт может быть возвращен им по первому обращению в службу технической поддержки. Если же выяснится, что учетная запись в нарушение правил была продана, ее просто заблокируют.

Помимо прочего, у потенциального покупателя имеется ненулевой шанс стать обладателем ворованного игрового аккаунта, ранее «угнанного» у другого пользователя. Также злоумышленники с помощью системы личных сообщений могут рассылать от имени игрока фишинговые ссылки — например, публикуя информацию об «акции от разработчика игры», требующей зарегистрироваться на стороннем сайте со своим логином и паролем, или рекламируя программы для накрутки игровых характеристик персонажа, под видом которых распространяются вирусы и троянцы.

Для защиты от различных способов мошенничества в Интернете служит компонент Родительский контроль, входящий в комплект поставки Dr.Web Security Space 10.0. Родительский контроль позволяет ограничивать доступ к интернет-сайтам определенной тематики, осуществляет фильтрацию подозрительного контента, а также, используя базы нерекомендуемых ссылок, защищает пользователя от мошеннических, потенциально опасных сайтов, шокирующего контента, а также ресурсов, замеченных в распространении вредоносного ПО.

Атаки на мобильные устройства

2014 год запомнился и большим числом всевозможных атак на пользователей мобильных устройств. Как и раньше, основной целью для «мобильных» злоумышленников стали смартфоны и планшеты под управлением ОС Android. За последние 12 месяцев вирусная база Dr.Web пополнилась большим числом записей для разнообразных вредоносных и нежелательных Android-программ, и на конец минувшего года ее объем составил 5 681 запись, показав рост на 102% по сравнению с тем же показателем 2013 года.

Динамика пополнения вирусной базы Dr.Web записями для вредоносных, нежелательных и потенциально опасных Android-программ в период с 2010 по 2014 год

Главной целью вирусописателей, создававших вредоносное ПО для Android-устройств, в очередной раз стало стремление извлечь как можно большую финансовую выгоду. В частности, для своего незаконного обогащения кибержулики вновь активно использовали проверенный временем мошеннический механизм с отправкой дорогостоящих СМС-сообщений и подпиской абонентских номеров на платные контент-услуги. В этом им активно помогали разнообразные СМС-троянцы семейства Android.SmsSend, которые исторически являются самыми старыми и наиболее многочисленными среди всех известных вредоносных Android-программ. По итогам года вирусная база Dr.Web содержала 2689 записей для данных троянцев, в то время как в 2013 году это число было почти в 2 раза меньше и равнялось 1377 записям.

Число вирусных записей для СМС-троянцев Android.SmsSend в вирусной базе Dr.Web

Однако «классические» СМС-троянцы – уже далеко не единственный инструмент для обогащения вирусописателей. В 2014 году ассортимент вредоносных приложений, предназначенных для извлечения прибыли за счет отправки дорогостоящих СМС-сообщений, значительно вырос. Например, существенно увеличилась численность троянцев семейства Android.SmsBot, способных не только подписывать телефоны пользователей на платные услуги, но и выполнять по команде злоумышленников множество других нежелательных действий на зараженных мобильных устройствах. Кроме того, вирусописатели обзавелись и еще одним «помощником» в лице троянцев семейства Android.Bodkel. Данные вредоносные программы также активно рассылают дорогостоящие СМС-сообщения, однако больше всего они интересны тем, что при попытке владельца инфицированного Android-смартфона или планшета выполнить их удаление стараются напугать свою жертву безвозвратной потерей всех сохраненных на устройстве данных, хотя в действительности подобных действий они не выполняют.

Помимо отправки премиум-сообщений, у киберпреступников есть и другие источники незаконного заработка, в частности, кража конфиденциальной финансовой информации и незаконные денежные переводы при помощи зараженных банковскими троянцами мобильных устройств пользователей. Попадая на смартфон или планшет потенциальной жертвы, подобные вредоносные приложения могут не только обманом заполучить аутентификационные данные для доступа к управлению банковскими счетами, но и автоматически выполнить кражу всех денежных средств в случае, если у владельца зараженного устройства подключена услуга мобильного банкинга. В 2014 году число атак с применением различных банковских троянцев заметно выросло, а инциденты с их участием были отмечены во множестве стран. Например, среди угрожавших российским пользователям банковских троянцев были зафиксированы опасные вредоносные программы Android.BankBot.33.origin и Android.BankBot.34.origin, которые могли похищать деньги у своих жертв и автоматически переводить их на счета злоумышленников. Для этого троянцы отправляли СМС-запрос в службу мобильного банкинга ряда кредитных организаций, пытаясь получить информацию о доступных банковских картах и балансе счетов пользователей. Если работающие на мобильном устройстве троянцы получали положительный ответ, при помощи специальных СМС-команд они производили денежную транзакцию в пользу киберпреступников, при этом все поступавшие от системы безопасности банков уведомления скрывались от жертв атаки. В ряде случаев подобные троянцы могли красть и различную персональную информацию пользователей, например, номера телефонов, пароли от электронных почтовых ящиков и т. п.

Весьма активно киберпреступники использовали банковских троянцев и в Южной Корее. Многие из циркулировавших в этой стране Android-троянцев в 2014 году распространялись вирусописателями при помощи нежелательных СМС-сообщений, в которых содержалась ссылка на загрузку той или иной вредоносной программы. За последние 12 месяцев специалисты компании «Доктор Веб» зафиксировали более 1760 подобных спам-кампаний, жертвами каждой из которых могли стать от нескольких сотен до нескольких десятков тысяч человек.

Количество зафиксированных в 2014 году спам-кампаний, организованных с целью распространения Android-троянцев среди южнокорейских владельцев Android-устройств

Многие из обнаруженных в 2014 году южнокорейских Android-банкеров характеризуются чрезвычайно широким вредоносным функционалом, а также современными техническими решениями, заложенными в них вирусописателями. Например, некоторые троянцы (в частности, Android.Banker.28.origin) похищали ценную банковскую информацию пользователей как обманом, (имитируя внешний вид настоящих банковских приложений при их запуске), так и более радикально, удаляя соответствующие версии программ и заменяя их поддельными копиями. Большое число распространявшихся в Южной Корее троянцев-банкеров снабжалось разного рода защитой. Так, вирусописатели использовали всевозможные программные упаковщики, сложные методы запутывания кода, распространяли троянцев с составе других вредоносных программ и даже наделяли их возможностью удалять антивирусные приложения.

Нельзя не отметить и многофункционального банковского троянца Android.Wormle.1.origin, ставшего поистине интернациональной вредоносной программой. В ноябре 2014 года Android.Wormle.1.origin заразил более 15 000 мобильных Android-устройств жителей порядка 30 стран, включая Россию, Украину, США, Беларусь, Узбекистан, Казахстан, Таджикистан и Китай. Получая команды от злоумышленников, троянец мог не только незаметно перевести им деньги с принадлежащих жертвам банковских счетов, но также был способен выполнять множество других нежелательных действий, например, отправлять СМС, удалять установленные на зараженном устройстве программы и файлы, красть различную конфиденциальную информацию и даже осуществлять DDoS-атаки на веб-сайты. Кроме того, Android.Wormle.1.origin мог распространяться при помощи СМС-сообщений, содержащих ссылку на загрузку собственной копии.

Число пользователей, пострадавших в ноябре 2014 от троянца Android.Wormle.1.origin

Но главным событием прошедшего года стало появление в арсенале киберпреступников совершенно новых типов Android-троянцев, предназначенных для получения прибыли за счет пользователей мобильных устройств. Одними из таких вредоносных программ стали троянцы-блокировщики, «настольные» версии которых не дают спокойно жить многим пользователям до сих пор. Появление мобильных версий таких вредоносных программ было ожидаемым: огромный рынок мобильных Android-устройств и легкость создания подобных вредоносных приложений не могли остаться незамеченными киберпреступниками. Первые Android-блокировщики были обнаружены в мае 2014 года, и уже тогда среди них был зафиксирован чрезвычайно опасный экземпляр. Троянец, получивший по классификации компании «Доктор Веб» имя Android.Locker.2.origin, не просто блокировал заражаемые устройства, но и шифровал почти все ценные файлы пользователей, включая изображения, музыку, документы, архивы и видео. Фактически, Android.Locker.2.origin – первый в истории троянец-энкодер для ОС Android.

К «счастью» для пользователей, прочие Android-вымогатели, появившиеся в 2014 году, были не столь кровожадны и лишь блокировали экран мобильных устройств сообщением с требованием оплаты выкупа. Однако при этом в большинстве случаев пользователи получали полностью непригодный для работы смартфон или планшет, т. к. троянцы семейства Android.Locker препятствовали закрытию своего окна, не давали запустить прочие программы и открывать системные настройки.

Некоторые из этих троянцев имели еще более опасные функции. Например, обнаруженный в сентябре Android.Locker.38.origin помимо блокировки смартфона или планшета сообщением с требованием оплаты выкупа мог дополнительно установить свой пароль на выход устройства из режима ожидания, тем самым еще больше усложняя возможность удаления троянца из системы.

Менее чем за 8 месяцев с момента появления первых представителей семейства Android.Locker численность троянцев-вымогателей для ОС Android заметно возросла, и на конец 2014 года вирусная база Dr.Web содержала 137 записей для детектирования множества подобных вредоносных приложений.

Другим типом вредоносных программ, созданных в 2014 году злоумышленниками для обогащения за счет пользователей Android-устройств, стали троянцы-майнеры, предназначенные для добычи различных электронных криптовалют. Например, в марте были обнаружены троянцы Android.CoinMine.1.origin и Android.CoinMine.2.origin, распространявшиеся злоумышленниками в модифицированных ими популярных приложениях. Особенностью этих вредоносных программ было то, что они активизировались только в случае долгого отсутствия какой-либо активности со стороны пользователя. Т. к. данные троянцы задействовали аппаратные ресурсы зараженных смартфонов и планшетов, это могло негативно повлиять на работоспособность инфицированных устройств и стать, в худшем случае, причиной выхода их из строя.

Чуть позже вирусописатели «исправились», и выпустили в свет обновленные версии этих троянцев. В отличие от оригиналов, новые модификации вредоносных программ не использовали аппаратные ресурсы инфицированных мобильных устройств на полную мощность. Однако для пользователей это все равно не сулило ничего хорошего, т. к. их «девайсы» работали впустую и приносили прибыль вирусописателям.

Таким образом, по итогам 2014 года можно сделать вывод о том, что киберпреступники не только сохранили повышенный интерес к деньгам пользователей мобильных устройств под управлением ОС Android, но и значительно усилили атаки в данном направлении, желая получить еще больше выгоды за чужой счет. В связи с этим владельцам Android-смартфонов и планшетов необходимо с особой осторожностью относиться к устанавливаемым приложениям и при малейшем сомнении относительно той или иной программы отказаться от ее использования. Также всем без исключения пользователям рекомендуется установить антивирусное ПО, а пользователям банковских систем — постоянно контролировать историю операций с банковскими картами и счетами.

Кража конфиденциальных данных – еще один выгодный для киберпреступников вид незаконной деятельности – в 2014 году вновь стала актуальной проблемой для пользователей Android-устройств. Вирусописатели создали множество разнообразных троянцев-шпионов, а совершаемые с их помощью атаки были выявлены по всему миру. Так, обнаруженный в январе троянец Android.Spy.67.origin, получивший распространение в Китае, выполнял сбор и отправку на сервер злоумышленников различной конфиденциальной информации, среди которой была история СМС-сообщений, журнал вызовов и GPS-координаты. Кроме того, он мог активировать камеру и микрофон мобильного устройства, а также выполнял индексацию имеющихся фотографий, создавая для них специальные файлы-миниатюры. Android.Spy.67.origin обладал еще одной особенностью: при наличии root-доступа троянец нарушал работу ряда популярных в Китае антивирусных продуктов, удаляя их вирусные базы, а также устанавливал скрытую внутри него вредоносную программу, которая могла осуществлять инсталляцию других опасных приложений. Весной на просторах подпольных хакерских форумов вирусописатели начали продажу троянца Android.Dendroid.1.origin, который мог быть встроен в любое безобидное Android-приложение и позволял злоумышленникам со всего мира осуществлять на зараженных мобильных устройствах целый ряд противоправных действий. В частности, Android.Dendroid.1.origin мог перехватывать телефонные звонки и СМС-сообщения, получать информацию о текущем местоположении пользователя, записях его телефонной книги и истории веб-браузера, активировать встроенную камеру и микрофон, отправлять СМС-сообщения и т. п. Также в 2014 году были обнаружены весьма примечательные Android-троянцы, способные не только красть секретные сведения пользователей, но и выполнять по команде киберпреступников множество других вредоносных действий. В частности, в марте южнокорейские вирусописатели создали бэкдор Android.Backdoor.53.origin, взяв за основу легитимную программу, позволявшую осуществлять дистанционное управление мобильными устройствами. После запуска этот троянец скрывал свое присутствие в системе, удаляя собственный ярлык с главного экрана, после чего связывался со своими создателями и открывал им полный доступ к зараженному устройству. Другой не менее интересный бэкдор, получивший имя Android.Backdoor.96.origin, был выявлен в августе. Этот троянец мог выполнять кражу разнообразных конфиденциальных данных, таких как сведения об СМС-сообщениях, история звонков и посещенных веб-страниц, GPS-координаты, контакты из телефонной книги, и т. п. Также Android.Backdoor.96.origin имел возможность демонстрировать на экране различные сообщения, выполнять USSD-запросы, активировать встроенный микрофон устройства, записывать совершаемые телефонные звонки в аудиофайлы и загружать всю полученную информацию на принадлежавший злоумышленникам сервер.

Но одним из наиболее примечательных троянцев-шпионов в 2014 году стала вредоносная программа Android.SpyHK.1.origin, распространявшаяся среди жителей Гонконга. После запуска троянец передавал на управляющий сервер ряд общих сведений о зараженном мобильном устройстве, после чего ожидал поступления от своих создателей дальнейших указаний. В частности, Android.SpyHK.1.origin мог выполнять прослушивание телефонных разговоров, красть СМС-переписку, определить местоположение устройства, загружать на сервер хранящиеся на карте памяти файлы, активировать диктофонную запись, получить историю посещений веб-браузера, украсть контакты из телефонной книги и т. п.

Разнообразные шпионские Android-приложения, обнаруженные в 2014 году, в очередной раз подтверждают тот факт, что мобильные Android-устройства являются прекрасным источником ценной для злоумышленников информации. В связи с этим пользователям не стоит легкомысленно относиться к потенциальным рискам хищения секретных сведений и уповать на то, что те или иные персональные данные не заинтересуют киберпреступников: если для вас подобная информация кажется несущественной, то это не значит, что сетевые мошенники не найдут ей выгодное для себя применение.

Еще одной серьезной угрозой для пользователей ОС Android в 2014 году стали вредоносные программы, предустановленные на мобильных устройствах, либо встроенные в распространяемые злоумышленниками файлы-прошивки операционной системы. В течение прошедших 12 месяцев было выявлено большое число подобных инцидентов, самым ярким из которых стало появление первого в истории буткита для ОС Android. В частности, обнаруженный в январе троянец Android.Oldboot.1, заразивший большое число мобильных устройств, располагался в скрытом разделе файловой системы и при включении смартфона или планшета запускался до фактического старта ОС Android. После активации Android.Oldboot.1 извлекал из себя несколько компонентов и помещал их в системные каталоги, устанавливая их таким образом как обычные приложения. В дальнейшем эти вредоносные объекты подключались к удаленному серверу и на основании получаемых с него команд могли выполнять нежелательные для пользователей действия, главными из которых были незаметная загрузка, установка и удаление различных программ.

В феврале вирусные аналитики компании «Доктор Веб» обнаружили двух встроенных в предустановленную на бюджетных устройствах китайского производства операционную систему Android СМС-троянцев, основным предназначением которых была оплата использования китайского музыкального сервиса. Троянцы, получившие имена Android.SmsSend.1081.origin и Android.SmsSend.1067.origin, без спроса отправляли специально сформированные СМС-сообщения, каждое из которых могло стоить в рублевом эквиваленте 5-7 рублей. Также в ноябре на целом ряде бюджетных Android-устройств был обнаружен предустановленный злоумышленниками троянец Android.Becu.1.origin. Эта вредоносная программа обладала модульной архитектурой и могла использоваться вирусописателями для установки на целевые устройства других нежелательных программ.

В декабре вновь были выявлены троянцы, предустановленные злоумышленниками на различных мобильных устройствах. Например, вредоносная программа Android.Backdoor.126.origin позволяла киберпреступникам реализовывать разного рода мошенничества: троянец размещал среди СМС-сообщений пользователя специально сформированные СМС, содержимое которых задавалось вирусописателями. А другой троянец, получивший имя Android.Backdoor.130.origin, мог без ведома владельца инфицированного мобильного устройства отправлять СМС-сообщения, совершать звонки, демонстрировать рекламу, загружать, устанавливать и запускать приложения, а также передавать на управляющий сервер различную конфиденциальную информацию, включая историю звонков, СМС-переписку и данные о местоположении мобильного устройства, а также выполнять ряд других нежелательных действий.

Таким образом, вполне очевидно, что в настоящее время соблюдение базовых норм безопасности при использовании Android-устройств становится все менее достаточным и требует не только загрузки приложений из надежных источников и установки антивирусного ПО, но и серьезного подхода в выборе самих мобильных устройств. В частности, необходимо удостовериться в надежности производителя Android-смартфона или планшета, а также поставщика, выполняющего продажу конкретного аппарата. Кроме того, следует избегать использования вызывающих сомнение сборок операционной системы Android, а также отказаться от загрузки файлов прошивок из ненадежных источников.

Защитить пользователей ОС Android призван Антивирус Dr.Web для Android, обладающий всем необходимым арсеналом для обеспечения безопасности современных смартфонов, планшетов и иных мобильных устройств.

Однако помимо многочисленных атак на пользователей Android-устройств, злоумышленники не обошли стороной и владельцев смартфонов и планшетов под управлением iOS. Стоит отметить, что большинство зафиксированных вредоносных программ могли заразить лишь «взломанные» мобильные Apple-устройства, однако среди них был и троянец, способный инфицировать обычные iOS-смартфоны и планшеты. Например, в марте был обнаружен угрожавший китайским пользователям троянец IPhoneOS.Spad.1. Эта вредоносная программа определенным образом модифицировала параметры ряда рекламных систем, встроенных в различные iOS-приложения. В результате оплата за демонстрируемую в них рекламу направлялась на счета предприимчивых злоумышленников, минуя авторов этих пр

31 декабря 2014 года

Компания «Доктор Веб» представляет обзор вирусной активности для мобильных устройств по итогам 2014 года. Последние 12 месяцев стали весьма непростыми для пользователей мобильных устройств и оказались чрезвычайно насыщенными событиями вирусной тематики. Так, 2014 год ознаменовался появлением множества новых вредоносных Android-приложений. В частности, существенно выросло число банковских троянцев, разнообразные модификации которых атаковали пользователей из многих стран мира. Кроме того, в прошедшем году появились первые программы-вымогатели, а также «добытчики» электронных криптовалют, заражающие ОС Android. Одновременно с этим владельцам мобильных устройств угрожали различные троянцы-шпионы и многофункциональные вредоносные программы, получающие команды от киберпреступников, а также троянцы, скрывающиеся непосредственно в образах операционной системы Android. Вместе с тем вирусописатели не обошли стороной и приверженцев платформы iOS, «подарив» им сразу несколько вредоносных приложений.

Вирусная обстановка на «мобильном» фронте

Минувший год оказался чрезвычайно насыщенным в плане появления новых вредоносных приложений, созданных злоумышленниками для заражения мобильных устройств. В течение 12 прошедших месяцев появилось большое число разнообразных троянцев, а также опасных и нежелательных программ, которые киберпреступники использовали при атаках не только на Android-смартфоны и планшеты, но также и устройства под управлением других популярных мобильных платформ, в частности iOS. Вместе с тем, ОС Android по-прежнему продолжает занимать лидирующие позиции на рынке мобильных устройств, поэтому неудивительно, что основное внимание ориентированных на «мобильный» сегмент киберпреступников в минувшем году было вновь направлено в сторону пользователей именно этой операционной системы. Так, по итогам 2014 года вирусная база Dr.Web пополнилась 2 867 записями для различных вредоносных, нежелательных и потенциально опасных Android-программ и достигла объема в 5 681 вирусное определение, продемонстрировав рост на 102% по сравнению с аналогичным показателем 2013 года. А с момента появления в 2010 году первых вредоносных приложений для ОС Android число соответствующих им вирусных записей в базе Dr.Web увеличилось еще значительнее: в 189 раз или на 18 837%.

Динамика пополнения вирусной базы Dr.Web записями для вредоносных, нежелательных и потенциально опасных Android-программ в период с 2010 по 2014 год

Вместе с ростом количества троянцев, а также другого опасного и нежелательного ПО для мобильной платформы Google Android в 2014 году существенно увеличилось и число новых семейств Android-угроз. Если в 2013 году специалисты компании «Доктор Веб» выделяли 331 семейство вредоносных и опасных Android-приложений, то по состоянию на конец 2014 года их количество возросло почти на 11% и достигло 367.

Число известных специалистам компании «Доктор Веб» семейств вредоносных, нежелательных и потенциально опасных программ для ОС Android

На протяжении долгого времени одними из самых многочисленных вредоносных Android-приложений остаются троянцы, предназначенные для кражи у владельцев мобильных устройств различной конфиденциальной информации, либо позволяющие киберпреступникам зарабатывать иными незаконными способами. В минувшем году эта тенденция не только сохранилась, но и значительно усилилась вследствие появления большого числа представителей уже известных семейств вредоносных Android-программ, а также совершенно новых троянцев, идеи для создания которых «мобильные» вирусописатели позаимствовали из сегмента настольных компьютеров.

Наиболее часто встречающееся вредоносное ПО для ОС Android согласно объему записей вирусной базы Dr.Web

Злоумышленники продолжают зарабатывать на «золотых» СМС-сообщениях

Одним из самых распространенных способов незаконного заработка для атакующих мобильные устройства киберпреступников до сих пор остаются разного рода мошеннические действия, связанные с незаконной отправкой премиум-сообщений на короткие номера, а также подписка абонентов мобильных операторов на платные контент-услуги. В связи с этим вовсе неудивительно, что в безоговорочных лидерах среди существующих на данный момент вредоносных программ для ОС Android по-прежнему находятся СМС-троянцы семейства Android.SmsSend, как раз и предназначенные для этих целей. В минувшем году специалисты компании «Доктор Веб» выявили большое число новых троянцев данного семейства, в результате чего количество соответствующих им вирусных записей в базе увеличилось практически в 2 раза по сравнению с 2013 годом и составило 2689 единиц. В результате на долю троянских программ Android.SmsSend в настоящее время приходится почти половина всего известного вредоносного и опасного ПО для мобильной ОС от корпорации Google.

Число вирусных записей для СМС-троянцев Android.SmsSend в вирусной базе Dr.Web

Заработок при помощи отправки дорогостоящих СМС-сообщений киберпреступники получают и за счет других вредоносных приложений. В их числе – троянцы семейства Android.SmsBot, фактически представляющие собой дальнейшее развитие классических СМС-троянцев. Как и их собратья, данные вредоносные программы способны без ведома пользователей отправлять короткие текстовые сообщения с целью подписки абонентского счета жертвы на платные услуги. Однако их главное отличие состоит в том, что работой этих троянцев могут управлять непосредственно сами злоумышленники при помощи различных команд, что в значительной мере повышает функциональность данных вредоносных приложений. В частности, помимо отправки премиум-сообщений, троянцы Android.SmsBot могут выполнять кражу конфиденциальной информации, совершать телефонные звонки, осуществлять загрузку других вредоносных программ и прочие выгодные вирусописателям действия. Данные троянцы впервые появились в 2012 году, и с течением времени киберпреступники применяли их все более интенсивно. По состоянию на конец 2014 года вирусная база Dr.Web содержала 209 записей для подобных вредоносных приложений, в то время как в 2013 году это число равнялось лишь 24. Таким образом, за 12 месяцев численность семейства Android.SmsBot возросла почти в 9 раз или на 771%, что говорит о явной заинтересованности кибержуликов в использовании подобных вредоносных инструментов для собственного обогащения.

Число вирусных записей для троянцев семейства Android.SmsBot в базе Dr.Web

Однако предприимчивые злоумышленники на этом не остановились и расширили свой инструментарий для заработка на отправке премиум-сообщений за счет других вредоносных программ. В частности, в 2014 году получили массовое распространение троянцы нового семейства Android.Bodkel. Так же как троянцы Android.SmsSend, Android.SmsBot и другие подобные вредоносные Android-приложения, эти опасные программы предназначены для незаметной отправки дорогостоящих СМС-сообщений на премиум-номера. Кроме того, они способны красть конфиденциальную информацию пользователей, отправляя ее на принадлежащий киберпрестуникам сервер. Основная особенность троянцев Android.Bodkel заключается в том, что они стремятся получить доступ к функциям администратора мобильного устройства (эта стандартная опция присутствует в большинстве современных версий ОС Android), чтобы препятствовать своему дальнейшему удалению из зараженной системы. Если же пользователь все-таки предпринимает попытку деинсталляции одного из таких троянцев, предварительно исключая его из списка администраторов, вредоносные программы Android.Bodkel пытаются помешать этому, продемонстрировав сообщение с угрозой неминуемого уничтожения всех имеющихся данных, хотя в действительности никакого удаления информации или сброса настроек системы не производится.

Еще одной отличительной чертой этих вредоносных приложений является использование вирусописателями сильного усложнения (обфускации) кода. Это делается с целью затруднения анализа троянцев антивирусными компаниями и снижения вероятности их обнаружения защитным ПО. В течение 2014 года специалисты компании «Доктор Веб» обнаружили большое число вредоносных приложений семейства Android.Bodkel, а вирусная база Dr.Web пополнилась 113 записями, позволяющими обнаруживать множество модификаций этих троянцев.

«Мобильные» банковские троянцы – серьезная угроза личным финансам

Услуги дистанционного банковского обслуживания, в частности мобильного банкинга, продолжают набирать все большую популярность среди пользователей мобильных устройств. Данное обстоятельство просто не могло остаться незамеченным киберпреступниками, поэтому неудивительно, что с каждым годом они усиливают атаки на мобильные устройства пользователей с целью получения доступа к их банковским счетам с применением самых разнообразных троянцев. В этом плане не стал исключением и 2014 год, на протяжении которого специалисты компании «Доктор Веб» фиксировали большое число «мобильных» банкеров, предназначенных для заражения Android-смартфонов и планшетов жителей из разных стран. Попадая на мобильные устройства пользователей, эти вредоносные приложения способны похищать логины и пароли от банковских аккаунтов, перехватывать СМС-сообщения с проверочными mTAN-кодами и выполнять автоматические денежные переводы в пользу вирусописателей. Кроме того, подобные троянцы могут похищать различную конфиденциальную информацию владельцев Android-устройств, скрытно отправлять СМС-сообщения и выполнять другие противоправные действия.

В минувшем году для охотившихся за деньгами пользователей злоумышленников одним из наиболее привлекательных регионов стала Южная Корея с ее развитым рынком услуг дистанционного банковского обслуживания. Для распространения вредоносных Android-приложений среди южнокорейских клиентов кредитных организаций предприимчивые вирусописатели очень активно использовали рассылку нежелательных СМС-сообщений, в которых содержалась ссылка на загрузку того или иного Android-троянца. Так, согласно имеющейся статистике, за последние 12 месяцев киберпреступники организовали более 1760 подобных спам-кампаний, при этом в общей сложности специалисты компании «Доктор Веб» зафиксировали активность порядка 80 различных вредоносных Android-программ, а также множества их модификаций.

Количество зафиксированных в 2014 году спам-кампаний, организованных с целью распространения Android-троянцев среди южнокорейских владельцев Android-устройств

Чтобы вызвать у потенциальной жертвы интерес к полученному спам-сообщению и заставить ее перейти по ведущей на загрузку троянца ссылке, злоумышленники сопровождали рассылаемые ими СМС текстами различной социальной направленности. В частности, одними из самых популярных прикрытий для южнокорейских вирусописателей стали темы отслеживания почтовых отправлений, приглашений на различные мероприятия, такие как свадьбы и разнообразные встречи, а также сообщений о совершенных правонарушениях и предстоящих учениях по гражданской обороне. Кроме того, злоумышленники рассылали СМС-спам от имени банков, операторов связи и популярных онлайн-сервисов, и даже не брезговали использовать в качестве «горячей» приманки для своих жертв тему резонансных техногенных катастроф, несчастных случаев и стихийных бедствий.

Тематика спам-сообщений, использовавшихся киберпреступниками для распространения Android-троянцев среди южнокорейских пользователей

При переходе по ссылке из мошеннического сообщения южнокорейские владельцы Android-смартфонов и планшетов чаще всего перенаправлялись на вредоносный сайт, используемый в качестве площадки для хранения и распространения того или иного Android-троянца, либо попадали на страницу одного из популярных «облачных» сервисов, задействованных киберпреступниками с той же целью. Примечательно, что предприимчивые злоумышленники в большинстве случаев (в 66,78%), предпочитали использовать именно облачные сервисы хранения данных, либо иные бесплатные интернет-сервисы для размещения своих вредоносных приложений, что легко объясняется полным отсутствием необходимости затрачивать силы, время и средства на поддержание собственных онлайн-ресурсов.

Онлайн-площадки, выступавшие в качестве хостинга для распространяемых среди южнокорейских пользователей различных Android-троянцев

Масштабы проводимых южнокорейскими киберпреступниками спам-кампаний были таковы, что жертвами каждой из подобных атак могли стать от нескольких сотен до нескольких десятков тысяч человек. Например, в апреле специалисты компании «Доктор Веб» зафиксировали массовое применение вирусописателями троянца Android.SmsBot.75.origin, выполняющего кражу конфиденциальной информации пользователей и способного отправлять СМС-сообщения по команде его создателей. Эта вредоносная программа распространялась киберпреступниками среди жителей Южной Кореи с использованием мошеннических блогов, выдаваемых за принадлежащие службе курьерской почтовой доставки веб-страницы. Примечательно, что один из этих блогов посетило более 30 000 человек, а в общей сложности количество потенциальных жертв киберпреступников могло значительно превысить эту цифру. Вследствие аналогичной атаки, имевшей место в мае, количество потенциальных жертв злоумышленников могло быть еще более значительным, т. к. число пользователей, посетивших одну из созданных вирусописателями мошеннических веб-страниц, превысило уже 70 000 человек.

Примеры внешнего вида веб-сайтов, созданных вирусописателями для распространения различных Android-троянцев среди южнокорейских пользователей в 2014 году

Примеры использования киберпреступниками различных «облачных» сервисов в качестве хостинга для вредоносных Android-приложений, предназначенных для распространения среди южнокорейских пользователей

Многие из примененных при атаках на южнокорейских пользователей Android-троянцев обладали чрезвычайно широким вредоносным функционалом и были наделены разнообразными техническими особенностями. Например, большое число троянцев-банкеров (в том числе, Android.Banker.28.origin), предназначенных для кражи конфиденциальных сведений клиентов кредитных организаций Южной Кореи, использовали весьма интересный механизм похищения ценных сведений. При запуске они проверяли наличие на зараженном мобильном устройстве официальных приложений типа «Банк-Клиент» и в случае обнаружения одного их них имитировали его интерфейс, запрашивая у пользователя секретную информацию, такую как логин и пароль от банковской учетной записи, номер банковской карты, персональные данные жертвы и даже цифровой сертификат безопасности, используемый для транзакций. Иногда такие троянцы (например, Android.BankBot.35.origin) действовали более прямолинейно и просто-напросто предлагали «обновить» имеющийся мобильный банковский клиент. В действительности же вместо легального приложения устанавливалась его троянская копия, которая уже известным способом похищала необходимые киберпреступникам сведения.

В качестве защитных мер, призванных снизить риск обнаружения Android-троянцев антивирусным ПО, южнокорейские вирусописатели активно применяли всевозможные программные упаковщики и различные методы обфускации. Также киберпреступники очень часто «прятали» вредоносные Android-приложения внутри разнообразных дропперов семейства Android.MulDrop, которые играли роль переносчиков распространяемых троянцев, скрывая их от взора потенциальных жертв. Ярким примером использования комбинации подобных защитных приемов является вредоносная программа Android.SmsSpy.71.origin, различные версии которой были не только защищены сложным упаковщиком, но и распространялись в составе специально созданных вирусописателями троянцев-дропперов. Android.SmsSpy.71.origin предназначался для перехвата СМС-сообщений, кражи информации о контактах пользователя, блокировки звонков, а также выполнения по команде злоумышленников СМС-рассылок по выборочным или же всем имеющимся в телефонной книге номерам.

Стоит также отметить, что в ряде случаев южнокорейские Android-троянцы не просто «прятались» от пользователей или популярных в Южной Корее антивирусных программ, но также и весьма активно противодействовали последним, пытаясь удалить их в случае обнаружения в системе.

Двадцатка Android-троянцев, наиболее активно распространяемых киберпреступниками среди южнокорейских владельцев Android-устройств в 2014 году, представлена на следующей иллюстрации.

Распространяемые при помощи СМС-спама вредоносные Android-программы, наиболее часто используемые киберпреступниками при атаках на южнокорейских пользователей в 2014 году

Еще одним регионом с заметно усилившимся присутствием мобильных банковских троянцев в 2014 году стала Россия, где многие из распространяемых злоумышленниками Android-банкеров обладали широкими возможностями для кражи денежных средств со счетов своих жертв. В частности, особого внимания заслуживают вредоносные программы Android.BankBot.33.origin, Android.BankBot.34.origin и Android.BankBot.1, обнаруженные вирусными аналитиками компании «Доктор Веб» осенью. Так, троянец Android.BankBot.33.origin мог похищать денежные средства с банковских счетов пользователей, у которых подключена услуга мобильного банкинга. Вредоносная программа пыталась получить информацию о текущем балансе банковского счета, либо списке подключенных к мобильному телефону банковских карт, для чего отправляла соответствующий СМС-запрос в автоматическую систему обслуживания нескольких российских кредитных организаций, а также одной из популярных платежных систем. Если Android.BankBot.33.origin получал необходимый ответ, то при помощи специально сформированных СМС-команд он переводил доступные денежные средства на принадлежащий злоумышленникам счет. Помимо этого троянец имел возможность загружать в браузере инфицированного мобильного устройства фишинговые веб-страницы, при помощи которых мог похищать аутентификационные данные, необходимые для доступа к учетной записи онлайн-банкинга пользователя.

Похожим вредоносным функционалом был наделен и троянец Android.BankBot.34.origin. Помимо возможности незаметно выполнять денежные переводы с банковских счетов в пользу мошенников, эта вредоносная программа могла красть логины и пароли от учетных записей ряда популярных приложений, а также получать информацию о номере телефона жертвы и сведения о ее кредитной карте. Более того, благодаря способности по команде злоумышленников демонстрировать на экране зараженного устройства любые сообщения или диалоговые окна, Android.BankBot.34.origin мог использоваться киберпреступниками и для совершения самых разнообразных мошеннических действий. Также этот троянец был интересен тем, что его основной сервер управления располагался в анонимной сети Tor. Это позволяло авторам Android.BankBot.34.origin поддерживать высокий уровень скрытности, а также в значительной мере повышало устойчивость удаленного узла к вероятным попыткам его отключения. Однако на случай, если основной сервер управления все же оказывался недоступным, троянец имел возможность выполнять подключение к запасным управляющим центрам, находящимся в сети Интернет.

Еще одним интересным банковским Android-троянцем, атаковавшим российских владельцев мобильных устройств в 2014 году, стала вредоносная программа Android.BankBot.1, которую злоумышленники распространяли при помощи содержащих ссылку на загрузку копии вредоносного приложения СМС-сообщений. Как и другие подобные вредоносные приложения, Android.BankBot.1 мог украсть денежные средства с банковских счетов своих жертв, однако отличался от многих Android-троянцев тем, что большая часть его вредоносного функционала была реализована в Linux-библиотеках и расположена вне основного исполняемого файла вредоносной программы. Это могло стать причиной «невидимости» банкера для многих антивирусных приложений и поспособствовать более длительному нахождению Android.BankBot.1 на зараженных им мобильных устройствах.

Не остались без внимания киберпреступников и клиенты банков из других стран. Например, пользователи ОС Android из Бразилии в ноябре столкнулись с угрозой, исходившей со стороны размещенных в каталоге Google Play банковских троянцев-шпионов Android.Banker.127 и Android.Banker.128. После запуска на Android-устройствах эти вредоносные приложения могли продемонстрировать на экране мошенническую веб-страницу, запрашивающую у потенциальной жертвы аутентификационные данные для доступа к банковскому аккаунту, которые затем передавались авторам троянцев.

Отдельного внимания заслуживает банковский троянец Android.Wormle.1.origin, заразивший в ноябре минувшего года более 15 000 мобильных Android-устройств жителей порядка 30 стран, включая Россию, Украину, США, Беларусь, Узбекистан, Казахстан, Таджикистан и Китай. Получая команды от злоумышленников, эта вредоносная программа могла не только незаметно перевести им деньги с принадлежащих жертвам банковских счетов, но также была способна выполнять множество других нежелательных действий, например, отправлять СМС, удалять установленные программы и файлы, красть различную конфиденциальную информацию и даже осуществлять DDoS-атаки на веб-сайты. Кроме того, Android.Wormle.1.origin реализовывал механизм СМС-червя и мог распространяться при помощи СМС-сообщений, содержащих ссылку на загрузку собственной копии.

Число пользователей, пострадавших в ноябре 2014 от троянца Android.Wormle.1.origin

Новый источник заработка киберпреступников: блокировщики-вымогатели и троянцы-майнеры

Одной из ключевых тенденций минувшего года в сфере безопасности ОС Android стало появление сразу нескольких новых типов вредоносных приложений, созданных киберпреступниками для получения ими незаконного заработка. В частности, в мае были обнаружены первые в истории троянцы-вымогатели, блокирующие мобильные Android-устройства и требующие у пользователей выкуп за их разблокировку. Подобные вредоносные приложения открыли злоумышленникам очередной источник «легких» денег, поэтому неудивительно, что стремительный рост числа таких троянцев не заставил себя долго ждать. Так, если еще в мае вирусная база Dr.Web содержала только 2 записи для Android-вымогателей, то на конец 2014 года это число увеличилось на 6 750% и достигло 137 единиц.

Одним из самых заметных троянцев подобного рода стал обнаруженный в мае опасный блокировщик Android.Locker.2.origin, который одновременно являлся и первым полноценным энкодером для ОС Android. Запускаясь на зараженном мобильном устройстве, он зашифровывал хранящиеся на карте памяти файлы с расширениями .jpeg, .jpg, .png, .bmp, .gif, .pdf, .doc, .docx, .txt, .avi, .mkv, и .3gp, после чего блокировал экран сообщением с требованием оплаты их восстановления.

Однако стоит отметить, что на данный момент злоумышленники все же предпочитают более «щадящие» версии таких вредоносных приложений, поэтому подавляющее число известных Android-вымогателей просто-напросто блокируют мобильные устройства, обвиняя их владельцев в совершении всевозможных преступлений, например, просмотре и хранении незаконных порнографических материалов. Подобная тактика запугивания применялась киберпреступниками при атаках на пользователей ОС Android из самых разных стран, при этом ложные обвинения со стороны кибермошенников чаще всего выдвигались от имени полиции, следственных органов и других правительственных структур конкретной страны, где проживала потенциальная жертва такой атаки. Например, обнаруженные в июне троянцы-вымогатели Android.Locker.6.origin и Android.Locker.7.origin распространялись вирусописателями среди пользователей США и при запуске на Android-устройствах блокировали их нормальную работу якобы из-за обнаружения незаконного контента, после чего от имени ФБР требовали у жертвы оплатить «штраф» в $200 за разблокировку. Помимо этого, они также похищали данные из адресной книги пользователя (включая имена контактов, номера телефонов и email-адреса), отслеживали входящие и исходящие вызовы и при необходимости блокировали их. Кроме того, данные троянцы проверяли наличие на инфицированном устройстве ряда приложений, принадлежащих различным кредитным и финансовым организациям, и передавали всю собранную информацию на сервер злоумышленников.

Вместе с тем вирусописатели не ограничивались одной лишь «стандартной» блокировкой мобильных устройств различными сообщениями с угрозами. Например, обнаруженный в сентябре вымогатель Android.Locker.38.origin, как и большинство других подобных вредоносных приложений, блокировал экран зараженного смартфона или планшета сообщением с требованием оплаты выкупа за его разблокировку, однако помимо этого он мог установить свой пароль на выход устройства из режима ожидания, что значительно затрудняло борьбу с данным троянцем.

Однако Android-вымогатели – не единственная в ушедшем году «новинка» среди вредоносных программ для ОС Android. Получившие широкое распространение в середине 2013 года разнообразные троянцы-майнеры, заражающие компьютеры пользователей и эксплуатирующие их вычислительные ресурсы для добычи популярных криптовалют, таких как Bitcoin, Litecoin и других, явно вселили оптимизм в «мобильных» вирусописателей, поэтому уже в начале 2014 года появились первые подобные вредоносные приложения для устройств под управлением ОС Android. Так, в марте были обнаружены Android-майнеры (внесены в вирусную базу Dr.Web как Android.CoinMine.1.origin и Android.CoinMine.2.origin), предназначенные для добычи виртуальных валют Litecoin, Dogecoin и Casinocoin. Эти троянцы распространялись злоумышленниками в модифицированных ими популярных приложениях и активизировались в те промежутки времени, когда мобильное устройство не использовалось его владельцем. Т. к. данные вредоносные программы активно задействовали аппаратные ресурсы зараженных смартфонов и планшетов, это могло стать причиной их перегрева, ускоренного разряда аккумулятора и даже обернуться финансовыми потерями для пользователей вследствие чрезмерного потребления троянцами интернет-трафика.

А уже в апреле 2014 года появились новые версии данных троянцев, которые были обнаружены в каталоге Google Play и предназначались для добычи криптовалюты Bitcoin. Эти вредоносные приложения скрывались в безобидных «живых обоях» и также начинали свою противоправную деятельность, если зараженное мобильное устройство не использовалось определенное время.

В отличие от обнаруженных в марте аналогичных троянцев-майнеров, новые представители семейства Android.CoinMine получили от своих создателей ряд функциональных улучшений, которые ограничивали максимальное использование аппаратных ресурсов инфицированных мобильных устройств. Тем не менее, эти вредоносные приложения все же могли причинить определенный ущерб пользователям, например, стать причиной повышенных финансовых трат из-за существенного обмена данными в Интернете.

Кража конфиденциальных данных по-прежнему актуальна

Наряду со стремлением заработать на пользователях Android-устройств, вирусописатели с особым энтузиазмом пытаются украсть у них разнообразные конфиденциальные сведения, т. к. подобный ценный ресурс может принести предприимчивым злоумышленникам не меньшую выгоду. В 2014 году специалистами по информационной безопасности было зафиксировано большое число подобных атак, многие из которых осуществлялись с использованием весьма сложных и функциональных вредоносных приложений.

Например, в январе вирусная база Dr.Web пополнилась записью для атаковавшего китайских пользователей троянца Android.Spy.67.origin, распространявшегося злоумышленниками в качестве некоего программного обновления. Данная вредоносная программа устанавливалась под видом популярных приложений и создавала несколько соответствующих им ярлыков на главном экране атакуемого мобильного устройства. При запуске Android.Spy.67.origin удалял созданные им ранее ярлыки и выполнял сбор различной конфиденциальной информации пользователя, среди которой была история СМС-сообщений, журнал вызовов и GPS-координаты. Кроме того, он мог активировать камеру и микрофон мобильного устройства, а также выполнял индексацию имеющихся фотографий, создавая для них специальные файлы-миниатюры. Все полученные данные в дальнейшем загружались на принадлежащий злоумышленникам сервер. Android.Spy.67.origin обладал еще одной особенностью: при наличии root-доступа троянец нарушал работу ряда популярных в Китае антивирусных продуктов, удаляя их вирусные базы, а также устанавливал скрытую внутри него вредоносную программу, которая могла осуществлять инсталляцию различных приложений.

Весной 2014 года также было обнаружено немало интересных троянцев-шпионов, атакующих пользователей Android-устройств. Так, в начале марта киберпреступники начали коммерческое распространение очередного «мобильного» шпиона. Данный троянец, получивший имя Android.Dendroid.1.origin, мог быть встроен в любое безобидное Android-приложение и позволял злоумышленникам осуществлять на зараженном мобильном устройстве целый ряд противоправных действий, таких как перехват телефонных звонков и СМС-сообщений, получение информации о текущем местоположении пользователя, записях его телефонной книги и истории веб-браузера, активация встроенной камеры и микрофона, отправка коротких сообщений и ряд других. Android.Dendroid.1.origin продавался на закрытых хакерских форумах и фактически являлся свидетельством развития рынка незаконных услуг и сервисов для ОС Android.

Также в марте специалисты компании «Доктор Веб» обнаружили весьма интересный бэкдор, получивший имя Android.Backdoor.53.origin. Особенность данной вредоносной программы заключалась в том, что она распространялась злоумышленниками в модифицированном ими легитимном приложении Webkey, позволяющем пользователям осуществлять дистанционное управление мобильным устройством. В отличие от оригинала, троянская версия приложения не имела графического интерфейса и после установки скрывала свое присутствие в системе, удаляя собственный ярлык с главного экрана. После запуска Android.Backdoor.53.origin отправлял на удаленный сервер идентификаторы зараженного устройства, тем самым регистрируя его как успешно инфицированное, после чего злоумышленники могли получить над ним полный контроль, включая доступ ко многим персональным данным пользователей, а также аппаратным функциям атакованного смартфона или планшета.

Уже в августе 2014 года специалисты по информационной безопасности обнаружили другой опасный бэкдор для ОС Android, получивший по классификации компании «Доктор Веб» имя Android.Backdoor.96.origin. Данный троянец распространялся злоумышленниками под видом антивирусной программы и был способен выполнять на зараженном мобильном устройстве целый ряд противоправных действий. В частности, Android.Backdoor.96.origin мог украсть разнообразные конфиденциальные данные, такие как сведения об СМС-сообщениях, истории звонков и посещенных веб-страниц, GPS-координатах, контакты из телефонной книги, и т. п. Кроме того, вредоносная программа была способна демонстрировать на экране различные сообщения, выполнять USSD-запросы, активировать встроенный микрофон, записывать совершаемые телефонные звонки в аудиофайлы и загружать всю полученную информацию на принадлежавший злоумышленникам сервер.

Однако одним из наиболее функциональных Android-шпионов, обнаруженных в минувшем году, стал распространявшийся в конце сентября троянец Android.SpyHK.1.origin. Данная вредоносная программа предназначалась для заражения мобильных устройств протестующих на улицах жителей Гонконга и после запуска загружала на сервер злоумышленников большой объем общей информации об успешно инфицированном смартфоне или планшете. Затем троянец ожидал поступления от своих хозяев дальнейших указаний и мог выполнить по их команде целый ряд вредоносных действий, например, начать прослушивание телефонных разговоров, украсть СМС-переписку, определить местоположение устройства, загрузить на сервер хранящиеся на карте памяти файлы, активировать диктофонную запись, получить историю посещений веб-браузера, украсть контакты из телефонной книги и т. п. Фактически, Android.SpyHK.1.origin мог использоваться киберпреступниками как полноценное шпионское средство для получения самых подробных сведений о пользователях зараженных мобильных устройств.

Предустановленные на мобильных устройствах троянцы и первый буткит для ОС Android

Одним из способов распространения вредоносных приложений для ОС Android, нашедшим применение у киберпреступников, является внедрение троянцев в различные файлы – образы операционной системы, которые затем размещаются в сети Интернет и в дальнейшем загружаются пользователями, либо предустановка таких троянцев непосредственно на мобильных устройствах. Данная методика дает злоумышленникам ряд преимуществ. Во-первых, скрытые подобным образом вредоносные программы могут долгое время оставаться «в тени» и успешно функционировать, не привлекая к себе внимания. Во-вторых, даже в случае обнаружения «зашитого» в операционной системе троянца большинство пользователей вряд ли сможет что-либо с этим поделать, т. к. удаление такого незваного гостя потребует получение root-привилегий, либо установки заведомо чистой версии операционной системы с потерей всех имеющихся данных. В худшем же случае жертве остается лишь смириться с наличием на устройстве вредоносной программы, либо просто-напросто сменить используемый Android-смартфон или планшет.

В минувшем году было выявлено сразу несколько инцидентов с участием вредоносных Android-приложений, скрытых внутри распространяемых в Интернете файлов прошивок ОС Android, а также предустановленных на ряде мобильных устройств. Одним из самых заметных случаев с участием подобных троянцев стало обнаружение в январе вредоносного приложения Android.Oldboot.1, представляющего собой первый буткит для платформы Android. Данный троянец размещался злоумышленниками в загрузочной области файловой системы инфицированных Android-устройств, что позволяло ему не только запускаться на ранней стадии загрузки операционной системы, но также и значительно усложняло полное удаление троянца. После активации Android.Oldboot.1 извлекал из себя несколько компонентов и помещал их в системные каталоги, устанавливая их, таким образом, как обычные приложения. Впоследствии эти вредоносные объекты подключались к удаленному серверу и на основании получаемых с него команд могли выполнять нежелательные для пользователей действия, главными из которых были незаметная загрузка, установка и удаление различных программ.

Чуть позднее специалистами по информационной безопасности была обнаружена новая версия данного троянца, получившая ряд функциональных улучшений. В частности, некоторые из устанавливаемых вредоносной программой компонентов были значительно обфусцированы и после запуска удалялись, продолжая функционировать лишь в оперативной памяти. Сам же троянец Android.Oldboot обзавелся возможностью деинсталлировать ряд популярных антивирусных программ, присутствовавших на зараженных устройствах.

В феврале вирусные аналитики компании «Доктор Веб» обнаружили и изучили несколько новых вредоносных приложений, встроенных в различные образы операционной системы Android и выполнявших скрытую отправку СМС-сообщений. В частности, одна из этих троянских программ, внесенная в вирусную базу как Android.SmsSend.1081.origin, представляла собой аудиоплеер, который без предупреждения пытался зарегистрировать пользователей в китайском музыкальном онлайн-сервисе, отправив для этого СМС-сообщение, содержащее IMSI-идентификатор. Примечательно, что эта троянская программа не контролировала число пересылаемых СМС и выполняла их отправку при каждом своем запуске, всякий раз опустошая счет абонента на сумму, эквивалентную 5-7 рублям. Схожий по функционалу троянец, получивший имя Android.SmsSend.1067.origin, был встроен в одно из модифицированных системных приложений и также незаметно выполнял отправку подобных сообщений, однако вместо идентификатора SIM-карты в них указывался серийный номер мобильного устройства.

Не мене интересным оказался и «спрятанный» на ряде Android-устройств троянец Android.Becu.1.origin, обнаруженный вирусными аналитиками компании «Доктор Веб» в ноябре. Эта вредоносная программа была встроена злоумышленниками в прошивку большого числа бюджетных смартфонов и планшетов под управлением ОС Android и обладала модульной архитектурой. В частности, после своего запуска троянец скачивал с управляющего сервера дополнительные компоненты, основное предназначение которых заключалось в скрытной загрузке, установке и удалении тех или иных приложений по команде злоумышленников. Если один из компонентов троянца удалялся, Android.Becu.1.origin выполнял его повторную загрузку и установку, восстанавливая свою работоспособность. Кроме того, это вредоносное приложение могло блокировать все СМС-сообщения, которые поступали с определенных телефонных номеров.

Еще одной вредоносной программой, внедренной злоумышленниками на ряд мобильных Android-устройств, стал троянец Android.Backdoor.126.origin, обнаруженный в декабре. Получая указания от киберпреступников, эта вредоносная программа могла выполнять нежелательные для пользователей действия, например, размещать среди входящих сообщений различные СМС с заданным текстом, что позволяло предприимчивым вирусописателям реализовывать разнообразные мошеннические схемы. Также в декабре в вирусную базу Dr.Web была внесена запись для похожего троянца, который, впрочем, обладал гораздо более широким функционалом. Вредоносное приложение, получившее имя Android.Backdoor.130.origin, могло без ведома владельца зараженного мобильного устройства отправлять СМС-сообщения, совершать звонки, демонстрировать рекламу, загружать, устанавливать и запускать приложения, а также передавать на управляющий сервер различную конфиденциальную информацию, включая историю звонков, СМС-переписку и данные о местоположении мобильного устройства. Кроме того, Android.Backdoor.130.origin имел возможность удалять уже установленные на зараженном устройстве приложения, а также выполнять ряд других нежелательных действий.

Атаки на мобильные устройства Apple

Несмотря на то, что мобильные устройства под управлением ОС Android остаются главной целью многих киберпреступников, последние вовсе не оставляют попытки найти для себя дополнительный источник потенциального заработка и время от времени обращают свой взор на другие популярные мобильные платформы. В частности, в 2014 году злоумышленники реализовали целый ряд атак на мобильные устройства производства корпорации Apple, при этом опасности были подвержены не только владельцы «взломанных» iOS-смартфонов и планшетов, но и пользователи устройств, не подвергшихся программной модификации (т. н. «jailbreak»).

Так, в марте специалисты по информационной безопасности обнаружили троянца IPhoneOS.Spad.1, который угрожал китайским пользователям «взломанных» iOS-устройств и выполнял определенную модификацию параметров ряда рекламных систем, встроенных в различные iOS-приложения. В результате оплата за демонстрируемую в них рекламу направлялась на счета предприимчивых злоумышленников, минуя авторов этих программ. В апреле 2014 года стало известно о другом троянце, также атаковавшем подвергшиеся процедуре «jailbreak» мобильные Apple-устройства китайских пользователей. Троянец, получивший по классификации компании «Доктор Веб» имя IPhoneOS.PWS.Stealer.1, осуществлял на зараженных устройствах кражу аутентификационных данных учетной записи Apple ID, таких как логин и пароль. Компрометация этих конфиденциальных сведений могла серьезно отразиться на пострадавших пользователях, т. к. данная учетная запись предоставляла доступ к большинству сервисов компании Apple, включая каталог приложений App Store, файловое хранилище iCloud и ряду других онлайн-служб. Уже в мае китайские владельцы «взломанных» Apple-устройств вновь стали целью для вирусописателей, столкнувшись с троянцем IPhoneOS.PWS.Stealer.2. Как и IPhoneOS.PWS.Stealer.1, данная вредоносная программа похищала логин и пароль от учетной записи Apple ID, однако помимо этого могла загружать и устанавливать на зараженный смартфон или планшет другие приложения, включая те, что автоматически покупала в каталоге приложений App Store за счет ничего не подозревающих пользователей.

В сентябре специалисты по информационной безопасности обнаружили очередного троянца, предназначенного для заражения «взломанных» iOS-устройств. Данная вредоносная программа, внесенная в вирусную базу Dr.Web под именем IPhoneOS.Xsser.1, представляла собой весьма опасного троянца. В частности, по команде злоумышленников IPhoneOS.Xsser.1 мог совершать кражу целого ряда конфиденциальных данных, например, похищать содержимое телефонной книги, фотографии пользователя, разнообразные пароли, получать информацию об СМС-переписке, истории звонков и местоположении зараженного устройства. А в декабре пользователи подвергшихся процедуре «jailbreak» iOS-устройств столкнулись с еще одним опасным троянцем-шпионом, получившим имя IPhoneOS.Cloudatlas.1. Эта вредоносная программа была создана злоумышленниками с целью похищения у пользователей широкого спектра конфиденциальных данных, включая подробную информацию о зараженном устройстве (начиная с версии установленной операционной системы и заканчивая текущим часовым поясом), а также сведения об имеющихся учетных записях пользователя, включая логин для AppleID и приложения iTunes.

Каждый из этих зафиксированных случаев прекрасно иллюстрирует опасность использования мобильных iOS-устройств, на которых был выполнен взлом программной системы контроля целостности ОС. Однако иногда даже соблюдение базовых правил безопасности не является полной гарантией защищенности используемых «мобильных» помощников производства корпорации из Купертино. Ярким свидетельством этого служит зафиксированная в ноябре 2014 года очередная атака на владельцев Apple-устройств, жертвами которой могли стать не только хозяева «взломанных» смартфонов и планшетов, но также и обладатели не подвергшихся программной модификации iOS-устройств. В частности, специалистами по информационной безопасности был обнаружен троянец Mac.BackDoor.WireLurker.1, работающий на компьютерах пользователей под управлением Mac OS X и предназначенный для установки на подключаемые к ним Apple-смартфоны и планшеты вредоносного приложения IPhoneOS.BackDoor.WireLurker.

Mac.BackDoor.WireLurker.1 внедрялся вирусописателями в контрафактные копии разнообразного легитимного ПО (нередко - дорогостоящего), поэтому имел все шансы быть установленным беспечными пользователями, не желающими платить за программы и игры. После того как троянец заражал очередной «Мак», он ожидал подключения к нему с использованием шины USB подходящего мобильного устройства и сразу после присоединения очередного смартфона или планшета при помощи специального сертификата безопасности инсталлировал на него вредоносную программу IPhoneOS.BackDoor.WireLurker. Данный троянец предназначался для кражи разнообразной конфиденциальной информации пользователей, в частности, контактов из телефонной книги, а также СМС-сообщений, информация о которых после похищения передавалась на сервер киберпреступников.

Интересные мобильные угрозы 2014 года

Иногда в погоне за выгодой находчивые вирусописатели создают вредоносные приложения, отличающиеся по своему функционалу от большинства прочих троянцев. Одним из таких «уникумов» в 2014 году стала вредоносная программа Android.Subscriber.2.origin, предназначенная для подписки абонентских счетов пользователей на платные контент-услуги. Главное отличие данного троянца от прочих подобных поделок киберпреступников заключается в том, что Android.Subscriber.2.origin осуществляет подписку на платный сервис не традиционным способом – отправкой СМС-сообщения, - а регистрацией номера на мошенническом веб-сайте. Для этого троянец регистрирует на веб-портале номер телефона пользователя, после чего ожидает поступления СМС с кодом подтверждения выполнения операции. Получив необходимое сообщение, вредоносная программа скрывает его от жертвы, считывает содержимое СМС и автоматически отправляет полученный код на тот же веб-сайт, завершая тем самым регистрацию. Однако этим все «сюрпризы» Android.Subscriber.2.origin не исчерпываются. После того, как пользователь начинает получать якобы запрошенные им премиум-сообщения, троянец также скрывает их от своей жертвы, изменяет статус на «прочитано», меняет дату получения на 15 суток в прошлое и сохраняет среди прочих сообщений владельца зараженного мобильного устройства.

Однако вирусописатели не всегда создают те или иные вредоносные приложения с целью получения материальной или иной выгоды. Ярким примером этого является троянец-вандал Android.Elite.1.origin, обнаруженный вирусными аналитиками компании «Доктор Веб» в сентябре. Попадая на мобильное устройство, этот троянец форматировал подключенную к нему карту памяти, а также препятствовал нормальной работе целого ряда приложений для онлайн-общения и СМС-переписки, при их запуске блокируя экран устройства изображением с текстом OBEY or Be HACKED.

Кроме того, вредоносная программа выполняла массовую рассылку СМС-сообщений по всем найденным в телефонной книге телефонным номерам, что могло привести к полной потере денежных средств на счету мобильного телефона жертв.

Перспективы и будущие тенденции

Наблюдавшаяся в прошедшем году ситуация с многочисленными и разнообразными атаками на мобильные устройства позволяет с уверенностью предполагать, что в 2015 году владельцам смартфонов и планшетов придется с еще большей серьезностью относиться к обеспечению безопасности своих «мобильных» компаньонов.

Одной из наиболее острых проблем для владельцев мобильных Android-устройств в 2015 году, вероятнее всего, снова станет сохранение собственных денежных средств от посягательств на них со стороны кибержуликов. Стремительно развивающийся рынок мобильного банкинга представляет для интернет-мошенников весьма лакомый кусок, поэтому атаки с использованием разнообразных банковских троянцев усилятся. Не исчезнет и опасность со стороны вредоносных программ, отправляющих дорогостоящие СМС-сообщения. Кроме того, пользователям также стоит опасаться атак со стороны новых троянцев-вымогателей, за создание которых вирусописатели взялись с особым энтузиазмом: не исключено появление более изощренных атак с использованием подобных вредоносных инструментов. Вполне вероятно и появление очередных версий «мобильных» троянцев-майнеров.

Помимо возможных финансовых потерь вследствие атак киберпреступников, пользователям ОС Android стоит обратить внимание и на обеспечение сохранности конфиденциальных сведений: этот ценный ресурс наряду с деньгами – одна из излюбленных целей современных злоумышленников.

Однако пользователям других мобильных платформ также не стоит забывать о потенциальной опасности, т. к. в 2015 году весьма велика вероятность появления новых троянцев, предназначенных для заражения Apple-устройств. В связи с этим поклонникам данной платформы рекомендуется уделять больше внимания базовым правилам безопасности: не посещать подозрительные веб-сайты, не переходить по сомнительным ссылкам, по возможности отказаться от «взлома» устройств и установки вызывающих вопросы программ.