18 ноября 2011 года

Фантазия людей, промышляющих нелегальными способами заработка в Интернете, поистине неисчерпаема. Сегодня существует множество методов обмана, которыми активно пользуются сетевые мошенники. Вместе с тем киберпреступники далеко не всегда действуют в одиночку: нередко схожие мошеннические схемы объединяют так называемые «партнерские программы», позволяющие успешно комбинировать спрос и предложение. Об одной из подобных схем нам хотелось бы чуть подробнее рассказать в этой небольшой заметке.

Как правило, в партнерских программах, действующих под громкой вывеской «систем покупки и продажи трафика», принимают участие с одной стороны желающие заработать владельцы различных интернет-ресурсов и с другой — промышляющие фишингом либо распространением вредоносного ПО сетевые мошенники. Действует этот механизм следующим образом. Владелец веб-сайта (зачастую это ресурсы категории «для взрослых», всевозможные сборники «кряков», нелицензионного программного обеспечения, рефератов и прочего «вареза») регистрируется на сайте партнерской программы и добавляет на страницы своего проекта специальный код, демонстрирующий пользователям при каждом их обращении к сайту специальное всплывающее окно. Содержащееся в окне изображение обычно имитирует какой-либо элемент интерфейса ОС Microsoft Windows (например, сообщение встроенной системы безопасности или брандмауэра), окно программы обмена сообщениями (QIP, ICQ, Skype, MSN Messenger) или антивирусного ПО. Нередко подобные «предупреждения» содержат информацию о том, что компьютер пользователя якобы инфицирован вирусами, для уничтожения которых нужно нажать на соответствующую кнопку. По щелчку мыши на таком баннере пользователь автоматически перенаправляется на другой сайт, где ему могут предложить заполнить какую-либо форму, оставив свои регистрационные данные, подписаться на платные услуги или попросту загрузить вредоносное ПО. Как правило, попытка закрыть всплывающее окно не дает ожидаемого результата или даже приводит к открытию еще нескольких дополнительных окон. Описанным способом могут распространяться троянцы семейств Trojan.WinLock, Trojan.SmsSend и Trojan.VKHost.

«Оплачивают музыку» в данном случае владельцы рекламируемых интернет-ресурсов. В выигрыше от реализации такой схемы остаются все участники процесса: владельцы размещающих недобросовестную рекламу веб-сайтов получают деньги за каждого перешедшего по ссылке пользователя, создатели рекламируемых ресурсов — за счет отправленных обманутыми жертвами СМС, реализации платных подписок или загрузки на компьютеры пользователей программ-вымогателей и других троянцев. Посредники же получают свой процент от проведенных платежей.

Адреса размещающих подобную рекламу ресурсов, а также URL страниц партнерских программ оперативно заносятся в базы Dr.Web в качестве не рекомендуемых для посещения. Компания «Доктор Веб» призывает своих пользователей проявлять бдительность и по возможности игнорировать подозрительные окна, появляющиеся на экране при посещении некоторых сайтов.

1 августа 2011 года

Компания «Доктор Веб» — ведущий российский разработчик средств информационной безопасности — предупреждает пользователей об участившихся в последнее время случаях заражения персональных компьютеров вредоносной программой Trojan.Mayachok.1. Данный троянец крадет средства со счетов клиентов мобильных операторов, предлагая пользователям ответить на входящее СМС-сообщение.

В конце прошлой недели была зафиксирована волна заражений, в ходе которой пользователи неожиданно столкнулись с невозможностью выйти в Интернет: вместо запрашиваемых ими сайтов в окне браузера демонстрировалось сообщение: «Канал вашего района перегружен, и мы вынуждены ограничить загрузку некоторых сайтов на время, пока канал не будет разгружен. […] Если работа в сети Интернет на текущий момент для вас критична, вы можете подключить резервный канал вашего района. Чтобы подтвердить намерение и крайнюю необходимость перейти на резервный канал, ответьте на входящее СМС-сообщение». Если пользователь следовал указаниям злоумышленников и вводил свой телефонный номер в соответствующую форму, а затем отвечал на входящее СМС, с его счета незамедлительно списывались средства.

Были зафиксированы случаи блокировки доступа в Интернет с подменой сайта «Ростелеком», однако этим аппетиты злоумышленников не ограничивались: вот неполный список интернет-ресурсов, страницы которых может подменить этот троянец: youtube.com, vkontakte.ru, odnoklassniki.ru, rostelecom.ru, support.akado.ru, my.mail.ru. Во всех случаях при попытке открыть в браузере какой-либо сайт Trojan.Mayachok.1 перенаправляет пользователя на заранее определенный URL, демонстрируя в окне браузера веб-страницу, предлагающую «активировать» или «подтвердить» аккаунт, указав свой номер телефона и ответив на входящее СМС-сообщение.

Один из подтвержденных методов распространения данной вредоносной программы — рассылка в социальной сети «В контакте», рекламирующая программу для просмотра посещающих страницу пользователя гостей. В описании этой программы имеется ссылка, по которой и загружается Trojan.Mayachok.1. Запустившись на инфицированном компьютере, троянец создает в папке system32 библиотеку с именем, сгенерированным на основе серийного номера текущего раздела жесткого диска, затем копирует себя во временную папку под именем flash_player_update.exe и начинает запускать этот файл с периодичностью в 10 секунд. Затем троянец вносит изменения в системный реестр Windows и перезагружает компьютер. После этого Trojan.Mayachok.1 сохраняет в папку
C:\Documents and Settings\All Users\Application Data\cf собственный конфигурационный файл, содержащий перечень блокируемых сайтов, адреса управляющих серверов и скрипты, которые встраиваются в запрашиваемые пользователем веб-страницы.

Данная троянская программа распознается при сканировании дисков компьютера и потому не страшна пользователям Антивируса Dr.Web и Dr.Web Security Space, а также Dr.Web Enterprise Security Suite и подписчикам услуги «Антивирус Dr.Web». Если вы уже стали жертвой данного троянца, обновите вирусные базы и проведите сканирование дисков вашего компьютера. Кроме того, можно воспользоваться средством аварийного восстановления системы Dr.Web LiveCD или лечащей утилитой Dr.Web CureIt!

Компания «Доктор Веб» еще раз рекомендует пользователям с осторожностью относиться к ссылкам на различные приложения, присутствующим в распространяемых среди пользователей социальных сетей рекламных рассылках.